Newsgroup: it.comp.os.linux.sys
Titolo: Firewall squid e DNS

Ciao a tutti
il problema è questo:
A seguito di Threads precedenti ho finalmente configurato il firewall come 
(spero) deve essere.
Rimane un problema: In questo modo squid si rifiuta di partire.. con questo 
errore nei log:
Jul 21 12:07:06 server3 squid: Could not determine fully qualified hostname. 
Please set 'visible_hostname'
Inoltre il login degli utenti è lento, come se non trovasse "rapidamente" 
qualcosa...
Se la policy di INPUT è ACCEPT tutto funziona correttamente.
Riporto per completezza le poche righe di Firewall... Gongoleranno quelli 
che sono alle prime armi come me che faranno un primo passo senza grossi 
sforzi :-)
Grazie dei vostri consigli.
Giulio
-------------------------------------------
$IPTABLES -P INPUT ACCEPT
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD DROP
$IPTABLES -F FORWARD
$IPTABLES -t nat -F
#$IPTABLES -A OUTPUT -s 192.168.1.80 d ! $LOCALNET -j DROP
#
# Configurazione transparent proxy
#
#$IPTABLES -t nat -A PREROUTING -p tcp -d localhost --dport 80 -j ACCEPT
#$IPTABLES -t nat -A PREROUTING -p tcp -d / --dport 80 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $INTIF -p tcp --dport 80 -j 
REDIRECT --to-port 3128   <------ se qui scrivo "squid" non lo accetta... 
Perché?
#
#Accept local samba connections
#$IPTABLES -A INPUT -i $INTIF -p tcp --syn -s $LOCALNET --destination-port 
139 -j ACCEPT
#$IPTABLES -A INPUT -p tcp --syn -s trancas --destination-port 139 -j ACCEPT
$IPTABLES -A INPUT -i $LOCAL -s localhost -d localhost -j ACCEPT
#$IPTABLES -A OUTPUT -o $LOCAL -s localhost -d localhost -j ACCEPT
$IPTABLES -A INPUT  -i $INTIF -s localhost -d $LOCALNET -j ACCEPT
#$IPTABLES -A OUTPUT -o $INTIF -s localhost -d $LOCALNET -j ACCEPT
$IPTABLES -A INPUT  -i $INTIF -s $LOCALNET -d localhost -j ACCEPT
#$IPTABLES -A OUTPUT -o $INTIF -s $LOCALNET -d localhost -j ACCEPT
TCP_INPUT="ftp,ssh,time,domain,nntp,http,https,squid,3130,netbios-ns,netbios-dgm,netbios-ssn,microsoft-ds"
UDP_INPUT="ftp,ssh,time,domain,nntp,http,https,squid,3130,netbios-ns,netbios-dgm,netbios-ssn,microsoft-ds"
$IPTABLES -A INPUT  -i $INTIF  -s 
192.168.1.0/24
 -p tcp -m multiport --dport 
$TCP_INPUT -j ACCEPT
$IPTABLES -A INPUT  -i $INTIF  -s 
192.168.1.0/24
 -p udp -m multiport --dport 
$UDP_INPUT -j ACCEPT
#
echo "   FWD: Allow all connections OUT and only existing and related ones 
IN"
TCP_FORWARD="ftp,ssh,time,domain,nntp,http,https,3128,3130"
UDP_FORWARD="ftp,ssh,time,domain,nntp,http,https,3128,3130"
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -p tcp -m multiport --dport 
$TCP_INPUT -j ACCEPT
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -p udp -m multiport --dport 
$UDP_INPUT -j ACCEPT
#
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state 
ESTABLISHED,RELATED -j ACCEPT
#$IPTABLES -A FORWARD -j LOG
echo "   Enabling SNAT (MASQUERADE) functionality on $EXTIF"
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE

 $UDP_INPUT -j ACCEPT
Hai sbagliato a usare le variabili, direi.
Fabio

Fabio
Grazie
Giulio 

 Davide
Ok, identd usa la porta "auth" (113).
Nonostante abbia messo quella sia in "INPUT" che in FORWARD (dove non 
dovrebbe servire a niente) non cambia nulla.
Il resto funziona... ma il web non è raggiungubile e non arrivano messaggi 
di errore ...
Rimane che se metto la policy di INPUT in Accept tutto funziona. Quindi è 
solo un problema di porta inserita in INPUT...
Please HELP :-)
Grazie
Giulio 

 Lapsus...
Anche sui lapsus nella config firewall ci sarebbe qualche "blue
oyster tale" significativa, ma e' roba da stomaci forti.
Comunque, orsu': il problema potrebbe essere che non accetti il
traffico ESTABLISHED in INPUT, quindi quando la policy di INPUT
e' DROP, puoi fare solo da server e non da client (in parole un
po' povere ma, spero, comprensibili). Cio' ti impedisce di fare
un sacco di cose, tra cui risolvere i nomi (es: problema squid,
se non hai il fully qualified hostname della macchina in hosts,
devi risolverlo cn il dns, o problemi di timeout quando risolvi
nomi host per scopi di logging) e rallentamenti ident (non vedi
le risposte del client e devi aspettare il timeout) che possono
portare a rallentamenti nel login e al problema di squid.
Questo se ho letto bene, e se ho capito bene quello che mi pare
d'aver letto.
Fabio