Newsgroup: it.comp.os.linux.sys
Titolo: [Coyote Linux]Configurare il firewall

Dunque dunque, è un po di tempo che mi riprometto di configurare il 
iptables del mio router in modo da dare un po di protezione ai due 
windows-user che lo condividono con me e che non ne possono più di dover 
usare $firewall_merdoso_mangiaram. Il suddetto router consiste in un 
Pentium 166, 32mb di ram, senza hard disk con sopra una minidistro 
dedicata a fare da router-firewall.
Coyote linux, appunto. Versione 2.13
http://www.coyotelinux.com/
Mi sono letto un paio di HOWTO su iptables e ho vagamente capito come 
funziona. Però mi sono reso conto che coyotelinux per il firewall 
probabilmente non usa la catena "FORWARD" di default e inoltre ha un suo 
file di configurazione modificabile sia attraverso l'interfaccia html 
sia in locale o remoto (via ssh). Siccome il giocattolino mi sembrava di 
facile uso e abbastanza ordinato mi son messo a lavorare direttamente li:
access Y permit tcp any any 80 #Html Access
access Y permit tcp any any 20:21 #Ftp allow
access Y permit tcp any any 443 #https allow
access Y permit tcp any any 113 #ident (for IRC) allow
access Y permit udp any any 113 #ident (for IRC) allow
access N permit tcp any any 23 #telnet allow
access Y deny all any any all #Drop all access
peccato che cosy non funzioni nulla. praticamente se attivo l'ultima 
regola tutti i pacchetti, anche quelli a cui do il "permit" (ACCEPT) non 
passano. Qualcuno che usa questa distro sa dirmi qualcosa?

 non passano. Qualcuno che usa questa distro sa dirmi qualcosa?
Ad occhio, e senza conoscere l'accrocchio in questione, direi che la regola 
di deny vada messa in cima alla lista. 

 passano. Qualcuno che usa questa distro sa dirmi qualcosa?
Succede che ti sei dimenticato di un dettaglio: quando lavori sulla
chain FORWARD, devi tenere conto anche dei pacchetti che rientrano. A
occhio lasci passare SOLO i pacchetti diretti a quelle porte, che è
sbagliato, perchè in questo modo filtri le risposte e non ti funziona
nulla (come giustamente hai notato). Per far funzionare il tutto devi
usare il connection tracking e mettere una regola in cima alla catena
che ti lasci passare i pacchetti con state ESTABLISHED e RELATED.
Non posso fornirti esempi perchè non conosco coyotelinux e non so quindi
che direttive prende. Con iptables si fa cosi':
EXT=eth0
INT=eth1
iptables -A FORWARD -i $EXT -o $INT -mstate --state RELATED,ESTABLISHED
-j ACCEPT
iptables -A FORWARD -i $INT -o $EXT -p tcp --dport 22 -mstate --state
NEW -j ACCEPT
iptables -A FORWARD -i $INT -o $EXT -p tcp --dport 25 -mstate --state
NEW -j ACCEPT
iptables -A FORWARD -i $INT -o $EXT -p tcp --dport 80 -mstate --state
NEW -j ACCEPT
iptables -A FORWARD -i $INT -o $EXT -p tcp --dport 110 -mstate --state
NEW -j ACCEPT
E via cosi' per tutte le porte che ti servono.
Alla fine, metti un bel
iptables -P FORWARD DROP
E sei a posto. Verificare che lo stato della connessione sia NEW per
ogni porta che vuoi aprire è sicuramente opzionale...pero' da buon
paranoico lo metto sempre come condizione (non incide in modo
significativo sulle prestazioni).
Hope that helps,
Simone.


puo essere, provo.


Dunque dunque ho provato e non va lo stesso :/ In compenso ho installato 
la versione 2.20 di Coyote che ha una sintassi più semplice da gestire, 
però non mi accede alla rete interna di fastweb. Ovvero tutto ciò che è 
qualcosa.fastwebnet.it
 non va. Mmh credo però sia più che altro un 
problema di DNS, devo vedere.


Risolto. Adesso devo solo cercare di capire perchè emule da problemi.
Comunque, per quando riuscirò a mettere l emani su un po di HW decente, 
che distro mi consigliate di usare per un router/firewall?

 che distro mi consigliate di usare per un router/firewall?
IPCOP
http://www.ipcop.org/
;-)
LL

 che distro mi consigliate di usare per un router/firewall?
ipcop o m0n0wall