Newsgroup: it.comp.os.linux.sys
Titolo: Firewall: niente più nslookup!

Ciao a tutti.
Come č possibile che se nel mio file /etc/resolv.conf inserisco i DNS del
mio ISP, mi funziona nslookup, mentre se li tolgo e lascio solo "nameserver
127.0.0.1" non gira piů?
Mi spiego meglio: ho configurato BIND 9.2.0 per fare da
"caching-nameserver", per cui all'interno della sua configurazione gli ho
impostato "forward first" con i DNS del mio ISP. Cosa posso aver sbagliato
nel costruire il firewall? Sicuramente ho dimenticato qlcs, ma non capisco
dove. Per far sě che un "nslookup" o un "dig" funzioni sul mio 127.0.0.1,
cosa devo andare a verificare? In quale catena dovrei aprire la porta 53
(TCP ed UDP).
Grazie per ogni aiuto...

 č e a che porte bussa.
Certo... ci provo... ma dove dovrei loggare per capire cosa succede quando
faccio un "nslookup" dal firewall/DNS stesso? in INPUT o FORWARD?
Altra domanda: come fare per abilitare i PING ed i TRACEROUTE dai miei
Client? Devo agire sul tipo di pacchetto, vero? ICMP?!?!? Solo che non so
andare oltre...
Thanx...

 andare oltre...
# Questo lo uso per far passare solo alcuni icmp tutti gli altri
# sono loggati e scartati
iptables -A check_icmp -p icmp --icmp-type echo-reply              -j ACCEPT
iptables -A check_icmp -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A check_icmp -p icmp --icmp-type time-exceeded           -j ACCEPT
iptables -A check_icmp -p icmp --icmp-type source-quench           -j ACCEPT
iptables -A check_icmp -p icmp $LOGPARAM --log-prefix "icmp-drop: "
iptables -A check_icmp -p icmp -j DROP
Il traceroute dovrebbe essere questo sottostante... l'indizio te l'ho dato.
# TTL Exceeded (traceroute)
#iptables -A check_icmp -p icmp --icmp-type 11 -j drop-ids
# block UDP-Traceroute
#iptables -A check_udp -p udp --dport 33434:33523 -j drop-and-log
Noto che gli anni passano ma le distribuzioni Linux restano sempre
le stesse... :-)
-- 
Saluti, Antonio Gallo - AGX per gli amici di Usenet
(o_         
http://www.antoniogallo.it
   Sito personale
//\         
http://www.badpenguin.org
    Progetto "Bad Penguin" (d)
V_/_        
http://www.linux.it/ILS
      Italian Linux Society 

 č e a che porte bussa.
Era un problema di "loopback device" che non avevo "abilitato" a funzionare
su se stesso! Che scemo!!!
Ora č tutto OK!
Grazie..

 #iptables -A check_udp -p udp --dport 33434:33523 -j drop-and-log
OK, di tutto quello che mi hai elencato (grazie), cosa puň veramente essere
PERICOLOSO? Io ad esempio ho lasciato che passino i pacchetti tipo 0
(echo-reply), ma ho rifiutato i pacchetti tipo 8 (echo) sulla mia
Interfaccia Internet, pensando cosě di non rispondere ai ping da fuori. E'
corretto?
Grazie...

 corretto?
Se ti guardi in giro ti accorgi in un'attimo che *TUTTO* è pericoloso



Non č una pratica che mi trova d'accordo ma solo perché io spesso e
volentieri sui server linux ci lavoro da remoto su reti esterne, quindi
se mi taglio via i ping non posso mai sapere al volo se una macchina č
su o giů. Certo, azioni massicce di ping possono saturare il traffico,
ma preferisco correre un po' questo rischio e garantirmi la sicurezza di
sapere sempre al primo colpo se una macchina č raggiungibile o meno.
--
Jarsil


Si puň anche fare un
/sbin/iptables -A FORWARD -p icmp --icmp-type echo-request -m limit 
--limit 1/s -j ACCEPT
-- 
Emanuele "SKULL" Balla
--------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for.  I only
coded it."
(Attributed to Linus Torvalds, somewhere in a posting)


Dunque io di solito lavoro con ipchains perché essendo un inguaribile
nostalgico conservatore uso ancora la fedele RH6.2 con Kernel 2.2.19 :-)
A occhio, per quel poco che conosco di IPTABLES, stai dicendo di
limitare il "numero" dei ping eseguibili sulla macchina, giusto?
A me questo non andrebbe comunque bene perchè spesso devo far ping per
lunghi periodi per controllare lo stato di macchine quando ad esempio
Interbusiness mi interviene sulle linee HDSL per lavori, o cose simili,
ma penso che per chi ha iniziato il thread dovrebbe essere sufficiente.
--
Jarsil


Per la precisione limiti il numero di pacchetti al secondo da far 
passare, per cui ti puň salvare i "ciapčts" anche se hai comunque 
bisogno del ping...
byez
