Newsgroup: it.comp.os.linux.software
Titolo: [ Forse OT ] - Ipchains

Ho scritto uno scriptino per il firewall ipchians (kernel 2.2), quando 
faccio il login via ssh ci mette un po' per l'accesso, se lo stoppo 
entro immediatamamente. Dato che dovrei configurare qesto firewall su un 
bel po' di macchine non vorrei rischiare di intoppare in qualche blocco 
di accesso.
Lo script è questo:
#!/bin/bash
clear
echo "Attivazione Firewall..."
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
ipchains -F
ipchains -X
ipchains -P input   DENY
ipchains -P output  ACCEPT (Da impostare su DENY)
ipchains -P forward ACCEPT
# ACCETTA LE CONNESSIONI DI LOOPBACK
ipchains -A input  -i lo -j ACCEPT
ipchains -A output -i lo -j ACCEPT
# FORWARD DEI PACCHETTI PROVENINTI DALLA SCHEDA SAT
ipchains -A forward -s 
10.11.30.247/16
 -i aba_0 -j ACCEPT
ipchains -A input -i aba_0 -j ACCEPT
ipchains -A output -i aba_0 -j ACCEPT
##### REGOLE DI INPUT ######
# TCP
ipchains -A input -p tcp --sport 53 --dport 53 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 22 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 21 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 20 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 80 -j ACCEPT
ipchains -A input -p tcp --sport 1024: --dport 62000:64000 -j ACCEPT
##### 
10.68.0.0/24
ipchains -A input -p tcp -s 
10.68.0.0/24
 --sport 1024: --dport 80 -j ACCEPT
# UDP
ipchains -A input -p udp --sport domain --dport 53 -j ACCEPT
# ICMP
ipchains -A input -p icmp --icmp-type ping -j ACCEPT
ipchains -A input -p icmp --icmp-type pong -j ACCEPT
ipchains -A input -p icmp --icmp-type destination-unreachable -j ACCEPT
ipchains -A input -p icmp --icmp-type time-exceeded -j ACCEPT
##### REGOLE DI OUTPUT ######
# TCP
ipchains -A output -p tcp --sport 53 --dport 53 -j ACCEPT
ipchains -A output -p tcp --sport 22 --dport 1024: -j ACCEPT
ipchains -A output -p tcp --sport 62000:64000 --dport 1024: -j ACCEPT
##### 
10.68.0.0/24
ipchains -A input -p tcp --sport 80: --dport 1024: -j ACCEPT
# UDP
ipchains -A input -p udp --sport domain --dport 53 -j ACCEPT
# ICMP
ipchains -A output -p icmp --icmp-type ping -j ACCEPT
ipchains -A output -p icmp --icmp-type pong -j ACCEPT
ipchains -A output -p icmp --icmp-type destination-unreachable -j ACCEPT
ipchains -A output -p icmp --icmp-type time-exceeded -j ACCEPT

 ipchains -P forward ACCEPT
Se ssh ci mette molto tempo a connettersi e poi va, evidentemente è che
cerca di fare qualche identificazione o qualche sincronizzazione. Quando
capitano queste cose di solito ci sono di mezzo le porte 13 e 113, prova
a mettere quelle in REJECT, se proprio non vuoi aprirle in ACCEPT, e
vedi se ssh entra subito.
Poi scusa ma... per una macchina che deve fare da gateway, impostare le
policy di input su DENY e poi il forward su ACCEPT beh... mi sembra un
po' un controsenso!
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 faccio il login via ssh ci mette un po' per l'accesso,
hai provato a mettere
UseDNS no
in sshd_config ? lo so che non c'entra niente, ma questo ritarda notevolmente
sshd ...
ciao ...
-- 
#include <stdio.h>
int main(void){char c[]={10,65,110,116,111,110,105,111,32,98,97,114,98,111,110,
101,32,60,104,105,110,100,101,109,105,116,64,116,105,115,99,97,108,105,110,101,
116,46,105,116,62,10,10,0};printf("%s",c);return 0;}

Crononauta ha scritto:

No, non deve fare da gateway, è un player audio attaccato in vpn ed il 
forward mi serve per ruotare i pacchetti dalla scheda satellitare 
(aba_0) sulla eth0, uso mdp per la ricezioni dei dati multicast
Grazie, provo ad aprire la 113...