Newsgroup: it.comp.os.linux.sys
Titolo: Firewall... problema SSH

Hi all,  sto aggiungendo un po di regole su una macchina con IP fisso
che deve servire SSH. Uso ipchains e il problema è strano:
Usando autenticazione a chiave pubblica, quando dal client (quest'ultimo
senza alcun firewall) do' "ssh -l utente IP_SERVER" ci mette un bordello
di tempo a connettersi, mentre se sul server metto la policy di input ad
ACCEPT tutto funziona regolarmente. Ecco cosa ho fatto:
$IPC -F
$IPC -X
$IPC -P input DENY
$IPC -P output ACCEPT
$IPC -P forward DENY
$IPC -A input -i lo -j ACCEPT
$IPC -A input -p tcp ! -y --destination-port 1024:65535 -j ACCEPT
$IPC -A input -p tcp -d $IP 22 -j ACCEPT
Per la mia limitata esperienza quando un servizio va', ma va piano, ci
sono due possibilità, la prima che non riesca a risolvere i nomi (ma non
si tratta del mio caso) e la seconda che il firewall abbia problemi sui
pacchetti da/per l'interfaccia di loopback, ma la regola che accetta
tutto dall'interfaccia in questione c'è e il problema rimane.
Mi appello a voi ;-o)
Ciao
`matte




 wrote in message
news:a1uv12$kfv$1...@fe2.cs.interbusiness.it...


 ACCEPT tutto funziona regolarmente. Ecco cosa ho fatto:
Ho avuto lo stesso problema tempo fa. Nel mio caso ho fatto un po' di prove
modificando le acl del firewall su porte che mi sembravano significative (113
e 111) e ho scoperto che con ACCEPT o REJECT sulla 111 tutto andava a posto.
Ho tolto tutti i riferimenti a NIS/NIS+ in nsswitch.conf e ha cominciato a
funzionare correttamente. In particolare era la direttiva group che dava
problemi.
Purtroppo non ho ancora capito quale fosse il problema.
Prova e sappici dire se ha funzionato.
Fabio

 `matte
bye
-- 
David Mugnai
'The Geek shall inherit the earth.' - Linus 5:5

 Se la tua macchina non ha un DNS server, oppure deve fare una query ad
Il server SSH deve eccettare connessioni solo da un IP (e su questo ci
cambierò la regola dopo), questo è citato in /etc/hosts e quindi in
teoria query al DNS non ne dovrebbe fare.... 
Bho...non so cosa tentare.... mmmm
Ciao e grazie 

 e 111) e ho scoperto che con ACCEPT o REJECT sulla 111 tutto andava a posto.
Uhm, non ho proprio capito cosa intendi... mi sa che stiamo parlando di
cose diverse.... Il server dovrebbe andar a cercare la 111/3 del client
come avviene per i server IRC, e non trovando nulla ci mette molto? Se č
questo che intendi, il client non č firewallato, se ho capito male io
scusami ;-)
Grazie ugualmente...
Ciao

 come 6 messo a file hosts e dns?
Sta proprio li' il bello, l'host da cui tento di accedere è citato il
/etc/hosts. Server DNS  non ne uso al momento...
Sul log, hai ragione, mo aggiungo qualche log  e vedo....
Faccio un po di prove e poi vi dico...
Grazie ;-)
Ciao

 scusami ;-)
Io sto parlando della 111 del server dove viene eseguito sshd.
Mettendo DENY in input sulla 111 dovevo aspettare il timeout. Mettendo ACCEPT
o REJECT  non c'erano problemi. Ho tolto i riferimenti a NIS in nsswitch.conf
sul server ed ora č tutto a posto anche con DENY.
Ci sono arrivato con un po' per tentativi, non per logica. I riferimenti a nis
e nisplus erano subordinati all'uso dei file e sulla 111 non succede
assolutamente niente durante l'autenticazione: non ho ancora capito perchč si
comportasse cosě. Anzi: se per caso questa č anche la tua situazione e
scoprissi cos'č mi faresti un piacere :)
Se ti interessa puoi dare un occhio al thread con Richard Silverman su
comp.security.ssh.
Fabio

 scoprissi cos'č mi faresti un piacere :)
No, il mio era un errore banalissimo, ho cannato l'hostname in
/etc/hosts scambiando un .it con un .net .....ops :(
Grazie a tutti e scusatemi :D
CIao
`matte