Newsgroup: it.comp.os.linux.sys
Titolo: impostazione firewall

Ciao a tutti,
non capisco proprio perché con le impostazioni del firewall che ho fatto 
arrivano comunque dei tentativi di accesso a samba dall'esterno...
$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-ns -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-ns -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-dgm -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-dgm -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-ssn -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-ssn -j DROP
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state 
ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -j ACCEPT
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
$IPTABLES -A FORWARD -j LOG
Tutti finiscono come questo che riporto....
[2005/07/11 19:57:08, 0] lib/access.c:check_access(328)
  Denied connection from  (81.131.40.216)
[2005/07/11 19:57:08, 1] smbd/process.c:process_smb(883)
  Connection denied from 81.131.40.216
[2005/07/11 19:57:11, 0] lib/access.c:check_access(328)
  Denied connection from  (81.131.40.216)
[2005/07/11 19:57:11, 1] smbd/process.c:process_smb(883)
  Connection denied from 81.131.40.216
Quindi correttamente rifiutati, ma mi sarei aspettato non che samba 
rispondesse e rifiutasse, quanto proprio la non accessibilità dall'esterno. 
E' corretta l'aspettativa? La soluzione evidentemente no...
Mi potreste aiutare a capire meglio?
Grazie
Giulio 

$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT [cut bla bla samba]
Queste due regole sono una immane porcata.

 $IPTABLES -A FORWARD -j LOG
per quale masochistico motivo non dici a samba di bindarsi solo
sull'interfaccia interna?

 Queste due regole sono una immane porcata.
Puoi essere più chiaro?
Ecco tutto il resto.
Chiarisco... questo pc non fa da vero e proprio server samba, ma uso smb per 
poter accedere rapidamente alle dir che uso come server ftp.
Io dall'interno appoggio i files che gli utenti dall'esterno scaricano. Poca 
roba, non ci sono problemi particolari di sicurezza...
Più che altro fa da router per la rete interna.
#Clearing any previous configuration
#
#  Unless specified, the defaults for INPUT and OUTPUT is ACCEPT
#    The default for FORWARD is DROP (REJECT is not a valid policy)
#
echo "   Clearing any existing rules and setting default policy.."
$IPTABLES -P INPUT ACCEPT
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD DROP
$IPTABLES -F FORWARD
$IPTABLES -t nat -F
#$IPTABLES -A OUTPUT -s 192.168.1.80 d !
192.168.1.0/24
 -j DROP
# Configurazione transparent proxy
#
#
$IPTABLES -t nat -A PREROUTING -i $INTIF -p tcp --dport 80 -j 
REDIRECT --to-port 3128
#
# Se non fa da transparent proxy uso le due righe seguenti
#$IPTABLES -t nat -A PREROUTING -p tcp -d localhost --dport 80 -j ACCEPT
#$IPTABLES -t nat -A PREROUTING -p tcp -d / --dport 80 -j ACCEPT
echo "   FWD: Allow all connections OUT and only existing and related ones 
IN"
$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-ns -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-ns -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-dgm -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-dgm -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-ssn -j DROP
$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-ssn -j DROP
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state 
ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -j ACCEPT
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
$IPTABLES -A FORWARD -j LOG
echo "   Enabling SNAT (MASQUERADE) functionality on $EXTIF"
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE
Grazie
Giulio

 sull'interfaccia interna?
Io ho nel file smb.conf
   hosts allow = 192.168.1.  127.
Credevo fosse suff...
Altro sistema?
Grazie
Giulio 

 $IPTABLES -A FORWARD -j LOG
E questa non serve a nulla, visto che passa tutto prima.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 altro fa da router per la rete interna.
E allora,come ti hanno detto,fai si` che il server samba si bindi solo
sulla rete interna.

 Altro sistema?
http://www.oreilly.com/catalog/samba/chapter/book/ch04_06.html

 $IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-ssn -j DROP
E' perche' devi bloccare anche la 445/tcp, probabilmente.
 
Valgono i commenti gia' postati da altri.
Fabio

 E' perche' devi bloccare anche la 445/tcp, probabilmente.
Giusto: m'era sfuggito del tutto. :-)


    hosts allow = 192.168.1.  127.
metti in smb.conf
	interfaces = 
192.168.1.0/24
 
127.0.0.1/8
poi fai dei controlli con nmap e vedrai che sull'interfaccia esterna non
 ascoltera'.
PS: dubbio, il tuo caso e' un solo pc con due schede di rete che fa da
firewall e ha samba su vero? :-)

 firewall e ha samba su vero? :-)
Esatto :-)
Giulio 


Ora ho messo cosě... sembra funzionare....E' suff? scusate le continue 
domande, ma non mi riesco a rendere conto delle esatte precedenze delle 
varie regole.
Anche il problema quali vanno scritte prima e quali dopo?
echo "   Clearing any existing rules and setting default policy.."
$IPTABLES -P INPUT DROP
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD DROP
$IPTABLES -F FORWARD
$IPTABLES -t nat -F
#accetta tutto solo sulla interfaccia di rete interna . "rete privata" 
"sicura".
$IPTABLES -A INPUT  -i $INTIF  -p tcp  -j ACCEPT
$IPTABLES -A INPUT  -i $INTIF  -p udp  -j ACCEPT
#$IPTABLES -A OUTPUT -s 192.168.1.80 d !
192.168.1.0/24
 -j DROP
# Configurazione transparent proxy
#
#$IPTABLES -t nat -A PREROUTING -p tcp -d localhost --dport 80 -j ACCEPT
#$IPTABLES -t nat -A PREROUTING -p tcp -d / --dport 80 -j ACCEPT
$IPTABLES -t nat -A PREROUTING -i $INTIF -p tcp --dport 80 -j 
REDIRECT --to-port 3128
echo "   FWD: Allow all connections OUT and only existing and related ones 
IN"
#$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-ns -j DROP
#$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-ns -j DROP
#$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-dgm -j DROP
#$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-dgm -j DROP
#$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-ssn -j DROP
#$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-ssn -j DROP
#$IPTABLES -A INPUT   -i $EXTIF  -p tcp --dport netbios-ds -j DROP
#$IPTABLES -A INPUT   -i $EXTIF  -p udp --dport netbios-ds -j DROP
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state 
ESTABLISHED,RELATED -j ACCEPT
#$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -j ACCEPT
#$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT
$IPTABLES -A FORWARD -j LOG
echo "   Enabling SNAT (MASQUERADE) functionality on $EXTIF"
