Newsgroup: it.comp.os.linux.software
Titolo: samba e firewall

Ormai non so piu' dove sbattere la testa.
Ecco la situazione: ho installato la SUSE 7 e ho configurato tutti i
servizi di rete per fare fare da server al computer e tutto funziona
bene compreso samba e il forward.
Ora ho deciso di installare un firewall e ho usato il modulo 0.83.1 di
webmin per configurare ipchains perche' ho provato a leggere gli howto
ma devo dire che ipchains non e' per niente semplice.
La configurazione che ho scelto e' quella template che consente
spuntando da un elenco le voci che interessano di scegliere quali
servizi far passare e quali no.
Ho applicato le modifiche e il firewall funziona, ma non passa piu'
samba. Se disattivo il firewall funziona, appena lo attivo non va
piu'.
Quali righe devo aggiungere nel file di ipchains per far passare
samba?
Ho scoperto le porte, e ho cercato di aggiungere a mano le righe, ma i
parametri di ipchains sono tanti e devo aver sbagliato qualche cosa,
perche' non va lo stesso. Se qualcuno ha delle stringhe funzionanti da
passarmi...
Grazie
james

 webmin per configurare ipchains perche' ho provato a leggere gli howto
Se non ci dici almeno che classe di IP usi come pensi che ti si possa
dare un aiuto concreto?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *


Scusa la mia ignoranza, cosa intendi per classe di IP?
La rete interna e' collegata con schede di rete, 192.168.0.1 e cosi'
via. Verso l'esterno un collegamento dial up con IP dianmico.
E' questo che volevi sapere?
james

 E' questo che volevi sapere?
Si, e' proprio quello che volevo sapere: 192.168.0.1 vuol dire che usi
una classe C per reti private (ti rimando alla lettura del NET-3-HOWTO
per la compresione di questi concetti). Detto cio' una possibile regola
per cio' che ti serve potrebbe essere questa, ammesso che tu voglia
accettare connessioni Netbios dall'esterno (hai solamente specificato
'far passare Samba' ma non in quale verso):
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
posto che:
#
# Set the location of $IPCHAINS.
IPCHAINS="/sbin/ipchains"
LOCALIP=`ifconfig $LOCALIF | grep inet | cut -d : -f 2 | cut -d \  -f 1`
LOCALMASK=`ifconfig $LOCALIF | grep Mask | cut -d : -f 4`
LOCALNET="$LOCALIP/$LOCALMASK"
echo "IP: $LOCALNET"
REMOTENET="
0.0.0.0/0
"
si ha
# NetBEUI/Samba
	$IPCHAINS -A input -p tcp -s $REMOTENET -d $LOCALNET 139 -j ACCEPT
	$IPCHAINS -A input -p udp -s $REMOTENET -d $LOCALNET 139 -j ACCEPT
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
cosi' accetti connessioni dall'esterno sulla porta 139.


	$IPCHAINS -A input -p udp -s $REMOTENET -d $LOCALNET 139 -j ACCEPT
...
Premettendo che non so molto di protocolli smb ne' di come li usino i
programmi, ho avuto exp in una rete m$ per cui erano necessarie anche le
porte 137 e 138. Necessarie... non so a cosa di preciso ma riempivano i log
e le ho lasciate aperte all'interno.
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.16
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! 3rd Law of Computing: Anything that can go wr
		fortune: Segmentation violation -- Core dumped !>-

 e le ho lasciate aperte all'interno.
Eheheh, il bello di m$ e' proprio questo: ti rende necessario qualcosa
senza farti capire il perche'.. Exploder ne e' una dimostrazione.. :-)
Cmq non e' che per caso c'era un elevato traffico NetBios su quella
rete, no? E' normale per Uindous sparare pacchetti in broadcast
appestando la rete se c'e' il Netbios abilitato.


appestando la rete se c'e' il Netbios abilitato.
Circa 40 macchine, 3 stampanti di rete e due gestori di licenze per
programmi windoze. Mi sa che il "servizio di risoluzione dei nomi" lo fa in
broadcast sulla 137 o mi sbaglio e lo fa la macchina master?
Per me io segherei via anche qualche altra porta ma ho bisogno "della
comunicazione funzionalmente completa" - parole del 'tecnico'.
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.16
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Take It All, Our Gold, Our Homes, Our Life, 
  		But We Didn't Kill Your Christ! !>-
  			Blind Guardian - The Script For My Requiem

 comunicazione funzionalmente completa" - parole del 'tecnico'.
.. "funzionalmente completa"? Cioe' ha detto tutto e nulla :-)
-- 
|Pierluigi De Rosa (
tho...@durin.khazad-dum.net
)|
|     E' nato il Cosenza Linux User Group	|
|   mail -s help 
cslug-...@lists.linux.it
	|
|      IRC: #cslug - 
irc.openprojects.net
	|

.. "funzionalmente completa"? Cioe' ha detto tutto e nulla :-)
Poi si e' spiegato meglio: server di stampa, postgre, server licenze,
terminal server (questi due su netbios) oltre ai soliti servizi std internet.
E' per quello che ho lasciato aperte tutte e 3 le porte nb, vai a sapere
come funziona il gestore di licenze.
Gia' che ci sono attacco una domanda:
supponiamo di avere una rete windoze (~40 macchine, sempre quella di prima)
indirizzi classe C e 1 gw verso internet (semplificando).
Un tizio mi chiede di poter accedere tramite netbios (condivisione risorse)
a una macchina della rete privata interna da un'altra macchina che con
questa rete non c'entra niente. Gli sputo sul muso o si puo' fare?
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.16
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Computer programmers never die, they just get lost in the processing. !>-

 questa rete non c'entra niente. Gli sputo sul muso o si puo' fare?
Mboh forse con l'opzione hosts allow
hosts allow = 
150.203.15.0/255.255.255.0
hosts allow = lapland, arvidsjaur
come dice nella man page ma vado a tentativi perche' io mi sono sempre
trovato ad avere a che fare con host della mia rete.


trovato ad avere a che fare con host della mia rete.
Vediamo se riesco a spiegarmi meglio
-------------------------------------------------------
             |                             |
            GW1                           GW2
            |                               |
192.168.168.X                               192.168.0.X
I 2 gw hanno IP pubblico e quello che si vorrebbe fare e' la condivisione
fra una macchina della rete privata di gw2 e una della rete privata di gw1.
Non sono molto fiducioso...
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.16
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Computers are not intelligent.  They only think they are. !>-

 Vediamo se riesco a spiegarmi meglio
hosts allow = 
192.168.168.0/255.255.255.0
dovrebbe fungere se ho capito bene il problema.


questa rete non c'entra niente. Gli sputo sul muso o si puo' fare?
Se e' una macchina sola, si', con ipmasqadm portfw.
Leonardo
-- 
".signature": bad command or file name

'far passare Samba' ma non in quale verso):
Io le connessioni alla macchina con samba voglio che vengano
effettuate SOLO dalla rete locale, mentre voglio che le macchine sulla
rete locale possano accedere anche all'esterno della rete.
Ciao e grazie

 rete locale possano accedere anche all'esterno della rete.
Ti consiglio una sana lettura che male non fara': il book online della
O'Reilly "Using Samba" della O'Reilly che trovi a questo URL..
http://www.oreilly.com/catalog/samba


Se e' una macchina sola, si', con ipmasqadm portfw.
Maggiori dettagli? :-)
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.16
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Asynchronous inputs are at the root of our race problems. !>-
                 D. Winker and F. Prosser

 c'entra niente. Gli sputo sul muso o si puo' fare?
Sputagli pure in faccia. :)
Puoi redirigere tutto il traffico che arriva sul server e sulle porte
netbios sulla macchina destinazione, ma poi si potra accedere solo a
quella (nemmeno al server) per quel servizio.
Il discorso sarebbe diverso se la rete interna avesse IP pubblici
protetti da firewall. In quel caso basterebbe aprire le porte verso le
macchine volute oppure (meglio) fare una VPN, vista la delicatezza
della connessione.
Se invece le reti fossero entrambe private, non passassero per Internet
e avessero il gateway in comune potresti (programmandoti le tabelle di
routing adatte) anche riuscirci.
Bye.
-- 
Signature under rework - Shuriken


Ok, ma quel libro serve per configurare samba. Quello l'ho gia' fatto
e funziona, e' la parte di ipchains che non mi e' chiara.
Io voglio che le macchine locali win possano collegarsi al server
samba su cui e' anche installato il firewall e inoltre possano uscire
con connessioni sulle porte netbios, ma non voglio che dall'esterno
possano arrivare connessioni su quelle porte.
Inoltre sono costretto ad attivare manualmente il firewall ogni volta
che lancio la connessione, perche' con i link al file
/etc/rc.d/firewall che ci sono in /etc/rc.d/rc3.d (sono 3:
firewallinit04 firewallsetup08 e firewallfinal99 e puntano tutti allo
stesso file) nell'avvio mi da un mucchio di errori perche' mi dice che
non trova l'interfaccia ppp0. E' naturale, ho una connessione dialup e
quindi la ppp0 c'e' solo quando mi collego, c'e' un modo per far si'
che il file con i dati di ipchains parta all'avvio (in modo da
attivare le restrizioni sulla rete locale), ma sia anche configurato
in modo che automaticamente all'avvio di ppp0 entrino in funzione
tutte le regole?
Spero di essere riuscito a spiegare il mio problema.
Grazie per l'aiuto.
james

 stesso file) nell'avvio mi da un mucchio di errori perche' mi dice che
[..]
Puoi provare a mettere l'esecuzione in /etc/ppp/ip-up


Maggiori dettagli? :-)
man ipmasqadm, ovviamente. In piu', "ipmasqadm portfw -h".
In genere mi aspetterei che
PFWD="ipmasqadm portfw -a"
for protocol in tcp udp; do for ports in `seq 137 139`; do
	$PFWD -P $proto -L $FWADDR $port -R $PCADDR $port
done; done
consenta una buona emulazione di Windows.


 consenta una buona emulazione di Windows.
ROFL !


ROFL !
Io dicevo sul serio.


 Io dicevo sul serio.
Seeh vabbe', con te non si sa mai quando dici sul serio e quando scherzi
:-) 
