Newsgroup: it.comp.os.linux.sys
Titolo: icphains, evaluazione regole

Salve,
Redhat 6.2, kernel 2.2.14-12, ipchains v. 1.3.9
Premettendo che mi sono letto almeno le parti salienti del
ipchains-HOWTO, Per la prima volta mi trovo ad impostare poche regole
per bloccare determinate porte alle connessioni in ingresso sul
firewall/gateway, con un problema sulla catena input che mi suggerisce
qualche errore concettuale da parte mia...
Output di "ipchains -L":
Chain input (policy ACCEPT):
target prot opt     source        destination  ports
REJECT tcp  ----l- !
10.10.10.0/24
 
myserver.net
 any -> printer
REJECT tcp  ----l- !
10.10.10.0/24
 
myserver.net
 any -> xdmcp
REJECT udp  ----l- !
10.10.10.0/24
 
myserver.net
 any -> xdmcp
Chain forward (policy DENY):
target prot opt     source        destination ports
MASQ   all  ------  
10.10.10.0/24
 anywhere    n/a
Chain output (policy ACCEPT):
La catena forward ha una regola per il masqerading della rete privata.
La catena input ha tre regole per rifiutare le connessioni sulle porte
515 e 7100 (e' qui che ho il problema, poi descrivero' meglio).
I comandi usati per impostare le catene sono i seguenti:
# svuota tutte le catene e resetta le policy
/sbin/ipchains -F
/sbin/ipchains -X
/sbin/ipchains -P input ACCEPT
/sbin/ipchains -P output ACCEPT
/sbin/ipchains -P forward ACCEPT
# Impedisce l'inoltro dei pacchetti (policy)
# sulla catena forward, come tattica di default
/sbin/ipchains -P forward DENY
# Appende la regola di mascherazione (rule)
# sulla catena forward per la rete privata
/sbin/ipchains -A forward -s 
10.10.10.0/24
 -i eth0 -j MASQ
# Blocca l'accesso a lpd e xdmcp (eccetto la rete privata)
/sbin/ipchains -A input -p TCP -s ! 
10.10.10.0/24
 -d 
myserver.net
printer -j REJECT -l
/sbin/ipchains -A input -p TCP -s ! 
10.10.10.0/24
 -d 
myserver.net
 xdmcp
-j REJECT -l
/sbin/ipchains -A input -p UDP -s ! 
10.10.10.0/24
 -d 
myserver.net
 xdmcp
-j REJECT -l
Il problema sta proprio qua: per come ho scritto le regole ed impostato
la policy di default, dovrebbe rifiutarmi tutti i pacchetti aventi
indirizzi sorgente diversi dalla rete privata (
10.10.10.0/24
) e
indirizzo destinazione 
myserver.net
 (il firewall stesso) alle porte 515
e 7100, ed accettare tutti gli altri.
Il problema e' che mentre la prima regola funzia, con tanto di reject
ricevuto dalla parte client e log su /var/log/messages del firewall, se
tento di collegarmi ad xdmcp non filtra proprio niente (come se le
regole successive a quella per la porta 515 non ci fossero).
Se ho capito bene l'HOWTO ed il concetto di filtraggio e catene,
dovrebbe invece fare cosi':
1) la prima regola soddisfatta per un pacchetto esegue l'azione (in
questo caso REJECT) prevista per quella regola
2) se una regola non e' soddisfatta si passa alla successiva (e non
doveva infatti passare ad evaluare le regole per xdmcp?)
3) Se nessuna regola e' soddisfatta (fine delle regole della catena), si
effettua l'azione prevista dalla policy di default (in questo caso
ACCEPT)
Dove sbaglio?
Scusate per la lunghezza e grazie
Bye G.L.

Gian Luca Sole wrote:
Come non detto, in realta' funzia tutto pefettamente: la porta 7100 e' xfs,
non xdmcp...   :-(   Troppo poco caffe' stamattina...
bye G.L.

 ACCEPT)
Si.
-- 
  Giuseppe "Cowo" Corbelli \/\ My software: 
http://cowo.yoda2000.net
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
-<! Computer programmers never die, they just raise an unhandled exception.!>-

 Hm. E' una svista vero? Perche' l'xdmcp e' la 177 mica la 7100.
Ecco, infatti, come gia' "autorispostomi"... un caffe' in piu' mi ci voleva...
:-)))
bye G.L.