Newsgroup: it.comp.os.linux.sys
Titolo: regole di firewalling + masquerading, per esperti (un po' lungo)

premetto che nelle regole ho volutamente evitato di smistare il traffico
con le interfacce, visto che spesso sposto il mio gateway da altre parti
che magari esco in internet con eth0 piuttosto che con ppp0.
l'indirizzo della mia lan č del tipo 192.168.0.x, le regole che seguono
sono quelle del gateway:
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/tcp_syncookies
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
echo "1" > $f
done
/sbin/ipchains -P forward DENY
/sbin/ipchains -A forward -s 
192.168.0.1/24
 -j MASQ
/sbin/modprobe ip_masq_ftp
/sbin/modprobe ip_masq_quake
/sbin/modprobe ip_masq_irc
/sbin/modprobe ip_masq_user
/sbin/modprobe ip_masq_raudio
/sbin/ipchains -P input DENY
/sbin/ipchains -A input -s 
192.168.0.1/24
 -p tcp --destination-port
20:23 -j ACCEPT
/sbin/ipchains -A input -s 
192.168.0.1/24
 -p udp --destination-port 22
-j ACCEPT
/sbin/ipchains -A input -s 
192.168.0.1/24
 -p tcp --destination-port 53
-j ACCEPT
/sbin/ipchains -A input -s 
192.168.0.1/24
 -p udp --destination-port 53
-j ACCEPT
/sbin/ipchains -A input -s 
192.168.0.1/24
 -p tcp --destination-port 515
-j ACCEPT
/sbin/ipchains -A input -s 
0.0.0.0/0
 -p tcp --destination-port 22  -j
ACCEPT
/sbin/ipchains -A input -s 
0.0.0.0/0
 -p udp --destination-port 22  -j
ACCEPT
/sbin/ipchains -A input -s 
0.0.0.0/0
 -p icmp -j ACCEPT
/sbin/ipchains -A input -s 
0.0.0.0/0
 -p tcp --destination-port
1024:5999  -j ACCEPT
/sbin/ipchains -A input -s 
0.0.0.0/0
 -p udp --destination-port
1024:5999  -j ACCEPT
/sbin/ipchains -A input -s 
0.0.0.0/0
 -p tcp --destination-port
6010:65535  -j ACCEPT
/sbin/ipchains -A input -s 
0.0.0.0/0
 -p udp --destination-port
6010:65535  -j ACCEPT
/sbin/ipchains -A input -i lo -j ACCEPT
Ora, navigando dal gateway tutto senbra funzionare benissimo, solo che
dagli altri computer della LAN, sebben riesca a stampare sulla stampante
di rete (collegata con il gateway anch'essa) e usare il dns (che gira
sul gateway anche lui), non riesco a navigare... Per esempio, se uso
lynx per accedere ad un sito, il domain viene convertito in ip
interrogando il dns del gateway, solo che dopo il programma si mette in
attesa di stabilire la connessione e rimane cosě. strano, il forwarding
č abilitato nella LAN con il masquerading...
di cosa non mi sono accorto, cosa mi sfugge?
PS: se levo le regole di input e lascio solo quelle di forwarding tutto
funziona a meraviglia anche dagli altri computer della rete locale
grazie dell'attenzione...
-- .
  _     _                                  _ 
 (_)   | |                                | |
  _____| |  ___   ____    ____  _____   __| |
 |  _   _) / _ \ |  _ \  / ___)(____ | / _  |
 | |  \ \ | |_| || | | || |    / ___ |( (_| |
 |_|   \_) \___/ |_| |_||_|    \_____| \____|
Windows NT crashed.
I am the Blue Screen of Death.
No one hears your screams.

/sbin/ipchains -A input -i lo -j ACCEPT
* qui ....... fammi sapere...
-----------------------------
Riccardo Ramacciani
url: 
www.ferrarigp.cjb.net
------------------------------

 
per ora mi sono limitato a fare:
ipchains -A input -s 
192.168.0.1/24
 -j ACCEPT
e funziona tutto... non ho comunque capito che cosa c'č di sbagliato
nelle mie regole
-- 


> 
Secondo la mia esperienza in input come in output e il resto il DENY
globale va messo alla fine di tutti gli ACCEPT altrimenti da più
importanza al DENY globale.
Capito?
Ciao
Riccardo
