Newsgroup: it.comp.os.linux.software
Titolo: firewall

Ciao
sto configurando un firewall sul mio RedHat 7.0, usando la bibbia-HOWTO
"Linux IPCHAINS HOWTO".
Come il 99% degli home users, ho una lan e una connessione dial-up con
tin e quindi indirizzo internet dinamico.
Forse non ho ben capito l'howto (probabile), ma non riesco a impostare
il firewall correttamente a causa del fatto che, tranne in uno scenario
presentato, ma non con esempi, si usa una connessione con ip assegnato
(192.82.219.0)
Sapete darmi qualche riferimento/suggerimento?
Grazie e ciao
An'ji'loh


Attendi che qualcuno ti indichi dove trovare il Quick & Easy HOWTO.
Purtroppo non sò neanche se si scrive così.
Io l'ho usato per casa mia, funge discretamente bene.
Comunque é molto meglio se lo cerchi in it.comp.os.linux.iniziare,
direttamente nelle [FAQ], l'indirizzo da dove scaricare.
-- 
E-Mail address is: wile(at)cyberg(dot)it No spamming Please P.L.F. ;-)
	Sono contrario alle catene, tutte,
    ma in particolare quelle "legate" ai Santi.

Ciao Angelo Nicolini,
 > Forse non ho ben capito l'howto (probabile), ma non riesco a impostare
 > il firewall correttamente a causa del fatto che, tranne in uno scenario
 > presentato, ma non con esempi, si usa una connessione con ip assegnato
 > (192.82.219.0)
 > 
 > Sapete darmi qualche riferimento/suggerimento?
LOCALIF="ppp0"
IPCHAINS="/sbin/ipchains"
if [ -n "`ifconfig $LOCALIF`" ] ;  then
 LOCALIP=`ifconfig $LOCALIF | grep inet | cut -d : -f 2 | cut -d -f 1`
 LOCALMASK=`ifconfig $LOCALIF | grep Mask | cut -d : -f 4`
else
 echo "Sorry, Linea non attiva."
 LOCALIP=127.0.0.1
 LOCALMASK=255.255.255.255
fi
 
-- 
Pa.Ped, Como
http://www.fastflow.it/~paolop
ICQ: 4755831
VOTE AGAINST SPAM! 
http://www.politik-digital.de/spam/it/
Contro i brevetti software: 
http://petition.eurolinux.org/index_html

Io l'ho usato per casa mia, funge discretamente bene.
Quick & Easy Configuration HOWTO   al sito:
mrshark.sourceforge.net
Saluti, Libra.
-- 
     			      << Linux Powered >>	
              <><> e-mail: metti "libero" al posto di "NOSPAM" <><>


Intanto, l'ip e` dinamico ma pero` se tiri su il firewall dopo che ti
sei collegato, e` possibile usando abilmente i vari filtri (grep, 
awk) mettere nello script un comando che estrae l'ip dall'output di
`ifconfig' o altro comando similare, e lo mette in una variabile da
usare poi all'interno delle regole di ipchains.
Non e` comunque obbligatorio fare cosi`...
Ad esempio puoi considerare che i possibili attacchi arrivano solo
dall'interfaccia ppp0, quindi un buon approccio puo` essere di bloccare
tutto cio` che viene in input su ppp0 tranne le cose "buone"... cosi`
non ti incasini anche con la rete locale, e con il loopback, visto che
qualunque regola  scrivi la farai agire solo su ppp0, e nemmeno hai
bisogno di determinare il tuo ip (source e destination address sono
facoltativi con ipchains: anche un "-i ppp0" e` gia` un'indicazione
valida di per se`).
Se puo` servirti un esempio di questo, posso postarti le mie vecchie
regole di ipchains che ho conservato anche se sono passato a iptables.
Oppure, l'approccio piu` professionale e` di settare la catena input su
`deny' come default, e poi specificare solo le regole per accettare le
cose ``buone''...
Di quest'altra tecnica trovi un bell'esempione funzionante a
http://mrshark.cjb.net.
.. (ma non spaventarti per la lunghezza, e` meno 
complicato di come sembrerebbe a prima vista...)
-- 
    Pardo 
 
www.pardo.cjb.net

, Pa...@indirizzo.falso.non.mailare (Pardo) wrote:
A proposito, io ho lo stesso problema...
Si puo' fare partire il firewall al boot, e poi fare in modo che se ppp0 non esiste
se ne freghi, altrimenti filtri?
Se il fw parte e non trova l'interfaccia, sta quieto o s'incazza?
-- 
Paolo Gherpelli (aka Paolo 83 RE)
gherpelli at libero dot it
gherp at freemail dot it
Powered by Debian 2.2 / Linux 2.2.17 on a P2-266


Sta quieto, io l'ho sempre usato cosi`, non importa se l'interfaccia non
c'e` ancora.
-- 
    Pardo 
 
www.pardo.cjb.net

 c'e` ancora.
Quindi io mi installo fwctl che ho gia' usato su altre macchine ed e' una figata,
poi configuro come interfacce ppp0 (ma che IP gli dico? devo dirglielo?) e poi
appena l'interfaccia si attiva lui comincia?
Tot bello...


poi configuro come interfacce ppp0 (ma che IP gli dico? devo dirglielo?)
No!
Ad esempio io usavo con ipchains una roba cosi`:
#napster
ipchains -A input -i ppp0 -p tcp --dport 6699 -j ACCEPT
#identd
ipchains -A input -i ppp0 -p tcp --dport 113 -j ACCEPT
#ftp attivo
ipchains -A input -i ppp0 -p tcp -y --sport 20 --dport 1024:65535 -j ACCEPT
#dns
ipchains -A input -i ppp0 -p udp --sport 53 --dport 1024:65535 -j ACCEPT
#icq
ipchains -A input -i ppp0 -p udp --sport 4000 --dport 1024:65535 -j ACCEPT
#blocca tutto il resto
ipchains --log -A input -i ppp0 -p tcp --dport 0:1023 -j DENY
ipchains --log -A input -i ppp0 -p tcp -y --dport 1024:65535 -j DENY
ipchains --log -A input -i ppp0 -p udp -j DENY
...quindi come vedi si fa tutto senza indicare alcun ip, solo 
l'interfaccia da cui arrivano, e le porte.
-- 
    Pardo 
 
www.pardo.cjb.net

 l'interfaccia da cui arrivano, e le porte.
Sto adattando alle mie esigenze il firewall di MrShark ...
