Newsgroup: it.comp.os.linux.sys
Titolo: Ping !

Salve,
rieccomi! Nel precedente post avevo chiesto consigli su un firewall, e
gentilmente mi avete risposto che potevo usare quello che si trova nella
redhat, solo che mi sembra molto semplice e non riesco a bloccare
tutte le richieste che cercano delle porte aperte. Guardando i log di
ethereal, ho visto che arrivano continuamente richieste e vari ping e ho il
terrore che qualcuno possa entrare nel mio pc e rovinare tutto il mio lavoro
!
Come posso inserire una regola in iptables che dica di rifiutare tutte le
richieste di ping dalla rete ?
Il fatto di bloccare le richieste di ping, puo' provocare dei problemi ai
programmi del mio mailserver (qmail, vpopmail ecc.)?
Grazie e alla prossima , ciao :-)

 programmi del mio mailserver (qmail, vpopmail ecc.)?
No, ma qualche volta e' comodo fare un ping e sapere che la macchina
e' viva.
Davide

 richieste di ping dalla rete ?
iptables -A INPUT -p icmp -m icmp --icmp-type echo-request -j DROP
in questo modo fai un drop di tutte le richieste ping che ti arrivano
(Nota: fai un po' di tuning della regola perche' scritta cosi' e' un po' 
 indecente...)
 
-- 
Trimack -- GPGKey 61A6ABFD on 
keyserver.linux.it
"Running Windows on a Pentium is like having a brand new Porsche but only
be able to drive backwards with the handbrake on."

 richieste di ping dalla rete ?
Ciao,
non serve una regola di iptables se vuoi disattivare del tutto le echo reply
basta inserire in rc.local ciň:
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
Spegne le risposte a tutti i pacchetti icmp.
invece con
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
"spegni" le risposte solo ai pacchetti icmp inviati in broadcast, tipo per
un discovery.
Ce ne sono altri 100 nella stessa dir di /proc
Se invece vuoi essere piů precisa legata a delle sottoreti o a degli host
devi usare iptables come postato sopra.
Ciao.
Techs

Scusa Trimack,
che significa "fai un po di tuning della regola " ?
Ciao


Ciao ragazzi,
vorrei un consiglio, vi mostro la configurazione che il lokkit di redhat
applica a iptables, tenendo in considerazione le porte aperte che ho dovuto
escludere per poter far funzionare i prg per il mailserver,
l'ultima riga l'ho aggiunta seguendo il consiglio di trimack, secondo voi
cosě questa configurazione puň andar bene ? Perchč lokkit utilizza REJECT e
non DROP, non č meglio non rispondere a certe richieste ?
Ciao


 non DROP, non č meglio non rispondere a certe richieste ?
INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Lokkit-0-50-INPUT - [0:0]
-A INPUT -j RH-Lokkit-0-50-INPUT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 80 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 25 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 53 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 953 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 110 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 993 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 995 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 143 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -i lo -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 0:1023 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 2049 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 0:1023 -j REJECT
-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 2049 -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 6000:6009 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 7100 --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p icmp -m icmp --icmp-type echo-request -j DROP
COMMIT
ciao :-)

> iptables -A INPUT -p icmp -m icmp --icmp-type echo-request -j DROP
-- 


   meno visibile dall'esterno.
Mi puoi spiegare perchè reject 'rende meno visibile il firewall dall'esterno'?
Se hai un firewall che droppa tutto quello che entra da internet, se fai
un portscan non vedi nulla (almeno credo).
cya
Banana

 un portscan non vedi nulla (almeno credo).
Appunto...
Se ti becchi un RST prodotto da un firewall non e' cosi' facile
distinguerlo da un RST dovuto alla mancanza di un applicazione in listen
(e' passato qualcosa in bugtraq o sikurezza sull'argomento)
Quando esegui una scansione e aspetti una risposta per mezz'ora i casi sono:
 1) Il pacchetto s'e perso (poco probabile)
 2) C'e un firewall che droppa (decisamente piu' probabile)
Mi sono pero' espresso male: intendevo "visibilita' del firewall" come
"possibilita' di capire se c'e' un firewall o meno".
Un firewall che droppa tutto (anche echo-request) e' difficile da "vedere"
ma se (in qualche modo) sono sicuro che e' online allora con una scansione "cieca"
scopro che e' un firewall filtrante.
Un firewall che fa reject lo posso vedere facilmente anche con un solo ping.
Ma i RST che ricevo durante una scansione sono dovuti ad un firewall 
oppure a porte *non aperte* (che e' diverso da *chiuse*)?
Ciao!


 macchina connessa 24/7 sia preferibile il reject, che ne dici?
Concordo, soprattutto con l'espressione "si potrebbe azzardare".
