Newsgroup: it.comp.os.linux.sys
Titolo: IPCop+BlockoutTraffic ovvero problema di firewall

Ho una LAN protetta dal firewall/proxy IPCop (una distribuzione 
dedicata) che di default blocca tutto il traffico in entrata e consente 
tutto il traffico in uscita. Ho aggiunto il port forwarding per il 
servizio FTP.
Il proxy effettua l'autenticazione degli utenti sul server di dominio 
via LDAP (Windows 2003 Server).
Installo l'add-on "BlockoutTraffic" che in sostanza aggiunge delle 
regole al firewall per bloccare tutto il traffico in uscita ad eccezione 
delle porte ammesse.
Funziona tutto: proxy con autenticazione LDAP, firewall in entrata e 
port forwarding. Ma quando abilito Blockout Traffic, non riesco piï¿œ a 
fare l'autenticazione del proxy con LDAP.
Lo scenario ï¿œ questo:
- 192.168.2.1	Firewall/proxy IPCop
- 192.168.2.2	Server di dominio
- 192.168.2.8	Il PC da cui lancio il browser
In iptables, Blockout Traffic aggiunge le seguenti rige:
Chain BOT_FORWARD (1 references)
num   pkts bytes target     prot opt in     out     source 
  destination
1        0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:110 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
2        0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:110
3        0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:995 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
4        0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:995
5        0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:25 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
6        0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:25
7        0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:465 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
8        0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:465
9        0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:143 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
10       0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:143
11       0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:993 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
12       0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:993
13       0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:389 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
14       0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:389
15       0     0 LOG        udp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:389 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
16       0     0 ACCEPT     udp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:389
17       0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:800 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
18       0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:800
19       0     0 LOG        tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:161 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
20       0     0 ACCEPT     tcp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:161
21       0     0 LOG        udp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:161 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
22       0     0 ACCEPT     udp  --  eth0   eth1    
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:161
23     679 42308 LOG        all  --  eth0   eth1    
0.0.0.0/0
 
 
0.0.0.0/0
           LOG flags 0 level 4 prefix
  `GREEN DROP '
24     679 42308 DROP       all  --  eth0   eth1    
0.0.0.0/0
 
 
0.0.0.0/0
Chain BOT_INPUT (1 references)
num   pkts bytes target     prot opt in     out     source 
  destination
1     1713  110K ACCEPT     tcp  --  eth0   *       
0.0.0.0/0
 
 
0.0.0.0/0
           MAC 00:06:7B:03:7D:D5 tcp
  dpt:445
2        0     0 LOG        tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:53 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
3        0     0 ACCEPT     tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:53
4      141  8742 LOG        udp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:53 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
5      141  8742 ACCEPT     udp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:53
6       37  6667 LOG        tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:800 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
7       51 10119 ACCEPT     tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:800
8        0     0 LOG        tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:123 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
9        0     0 ACCEPT     tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:123
10       0     0 LOG        udp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:123 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
11       0     0 ACCEPT     udp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:123
12       0     0 LOG        tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:68 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
13       0     0 ACCEPT     tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:68
14       0     0 LOG        udp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:68 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
15       0     0 ACCEPT     udp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:68
16       0     0 LOG        tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:67 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
17       0     0 ACCEPT     tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:67
18       0     0 LOG        udp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:67 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
19       0     0 ACCEPT     udp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           udp dpt:67
20      10  3402 LOG        tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:222 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
21      56 22790 ACCEPT     tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:222
22       0     0 LOG        tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:445 limit: avg
  10/min burst 5 LOG flags 0 level 4 prefix `GREEN ACCEPT '
23       0     0 ACCEPT     tcp  --  eth0   *       
192.168.2.0/24
 
 
0.0.0.0/0
           tcp dpt:445
24    2189  122K LOG        all  --  eth0   *       
0.0.0.0/0
 
 
0.0.0.0/0
           LOG flags 0 level 4 prefix
  `GREEN DROP '
25    2189  122K DROP       all  --  eth0   *       
0.0.0.0/0
 
 
0.0.0.0/0
Nel log dello stesso vedo:
14:36:48 GREEN DROP  eth0 TCP 192.168.2.2 389(LDAP) 00:16:35:3d:45:bb 
192.168.2.1 32769
14:36:46 GREEN ACCEPT  eth0 TCP 192.168.2.2 3995 00:16:35:3d:45:bb 
192.168.2.1 800(MDBS_DAEMON)
14:36:42 GREEN ACCEPT  eth0 TCP 192.168.2.8 3584 00:06:7b:03:7d:d5 
192.168.2.1 800(MDBS_DAEMON)
14:36:42 GREEN ACCEPT  eth0 TCP 192.168.2.8 3584 00:06:7b:03:7d:d5 
192.168.2.1 800(MDBS_DAEMON)
14:36:42 GREEN DROP  eth0 TCP 192.168.2.2 389(LDAP) 00:16:35:3d:45:bb 
192.168.2.1 32769
14:36:40 GREEN DROP  eth0 TCP 192.168.2.2 389(LDAP) 00:16:35:3d:45:bb 
192.168.2.1 32769
14:36:40 GREEN ACCEPT  eth0 TCP 192.168.2.8 3583 00:06:7b:03:7d:d5 
192.168.2.1 800(MDBS_DAEMON)
14:36:40 GREEN ACCEPT  eth0 TCP 192.168.2.8 3583 00:06:7b:03:7d:d5 
192.168.2.1 800(MDBS_DAEMON)
14:36:40 GREEN ACCEPT  eth0 TCP 192.168.2.8 3583 00:06:7b:03:7d:d5 
192.168.2.1 800(MDBS_DAEMON)
Non sono un esperto, quindi, a naso mi sembra che il problema sia alla 
prima riga del log delle 14:36:48 "GREEN DROP  eth0 TCP 192.168.2.2 
389(LDAP) ".
Qualche esperto mi sa aiutare?
Grazie
Gabriele

 Gabriele
Non mi definisco un esperto, ma ho anch'io ipcop con
BOT e web proxy e credo che il tuo problema dipenda
dal fatto che attivando BOT chiudi di default tutto il traffico,
anche quello che cerca di passare per il proxy (che nel tuo
caso e' l'ipcop stesso).
Credo che ti sia sufficiente creare una nuova accept rule
per green con source any e destination Ipcop.
Spero di non aver detto un'eresia e di essermi spiegato bene,
prova e fa sapere.
Ciao
Mauro

 Mauro
Perfetto.
In effetti l'errore concettuale che facevo era pensare: IPCop blocca in 
entrata e Blockout blocca in uscita.
Grazie mille.
Una curiosit�. A questa soluzione ci sei arrivato per logica/esperienza 
o � indicato nella documentazione e io non sono riuscito a trovarlo?

 o indicato nella documentazione e io non sono riuscito a trovarlo?
Un po' perche' c'ho sbattuto la testa anch'io, un po' per logica, un
po'
perche' mi sono reso conto tempo dopo che anche se avevo seguito
come al solito la legge universale del RTFM al link:
http://www.blockouttraffic.de/gettingstarted.php
mi ero lasciato scappare la riga :
"IPCop proxy is defined so it can be used in a BOT rule to
allow access to your IPCop Webproxy for surfing."
:-O
Avrei preso a testate lo spigolo piu' vicino ma almeno
ho avuto la soddisfazione di esserci arrivato comunque :-)
Ciao e buona serata