Newsgroup: it.comp.os.linux.software
Titolo: ipchains, regole, sendmail

 Questo e` X, idem.
D'accordo, se così mi dicono mi metto tranquillo SU QUELLO.
Resta il fatto che per esempio la 25 è aperta è permette connessione, ma
non è quello il punto. Il punto è che del mio firewall se ne sbatte i
maroni ed è quello che mi fa inc...zare.
Se imposto un rule del tipo:
/sbin/ipchains -A input -p tcp -d 127.0.0.1 25 -j REJECT
mi dite perché IO da locale non riesco ad accedere alla porta 25
trovandomi risposto "connection refused" se telnetto a 127.0.0.1 25,
mentre uno esterno che prova ad accedere la trova aperta?????????????????
Il mio obiettivo era chiudere la 25 dall'esterno, perché ho visto che ero
open relay :-(((((
(RedHat 6.0)
Vista l'impossibilità di chiudere la 25, ho scelto la soluzione
Dopo varie prove ho visto che ero un open relay, e mi sono dato da fare
per configurare sendmail. Ovviamente ho rinunciato, e ho scelto la
soluzione drastica: ho aggiornato sendmail a quello della RedHat 6.1,
e pareva avere funzionato perché (sicuramente grazie al nuovo
/etc/
sendmail.cf
) non ero più open relay.
Dopo il riavvio, stamattina, mi scopro invece di nuovo open relay, e
allora ho visto che è quella suola di linuxconf che parte tra i servizi
all'avvio e va a riscrivere a modo suo 
sendmail.cf
 (infatti ho trovato
sendmail.old). Adesso, in preda a un raptus, ho ripristinato il vecchio
sendmail.cf
 e infatti dopo il killall -HUP sendmail di nuovo NON ero più
open relay.
Tutto ciò mi fa diventare una bestia, ho subito cassato linuxconf dai
servizi che partono in automatico, e pian piano sto associandomi a quelli
che sostengono che i programmi che smanettano i file di configurazione
automaticamente sono comodi ma fanno danno...
Però, per tornare al discorso iniziale: ora sendmail è a posto, tanto non
è utilizzabile come open relay e da questo punto sto tranquillo (spero).
Ma p*rca p*++ana, perché ipchains deve lasciare aperte porte che dico di
chiudere????? Perfino il Conseal di Winzozz obbediva, e se gli dicevo di
chiudere una porta la chiudeva!
-- 
Crononauta
==========
ICQ UIN: 4005815
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.htm
GP Legends: 
http://www.multiplayer.it/driving/

l'arroganza):
Che poi come al solito rima con ignoranza, Zefram mi ha già risposto a una
questione analoga sull'altro ng :-(
Glosh... è solo che ipchains con 127.0.0.1 NON interpreta (come Conseal)
"l'ip locale _col quale si è connessi_"... =:-O
Ahem... e questo mi ha spiegato tutti i miei problemi! =:-O



1) ipchains non blocca le porte, ma elimina o accetta pacchetti tcp/ip a
seconda di quello che gli dici di fare.
2) ipchains si comporta esattamente come gli dici tu. Infatti gli hai detto
che deve scartare i pacchetti tcp diretti alla porta 25 dell'indirizzo
127.0.0.1, e infatti da locale di rifiuta la connessione. Ma chi si connette
al tuo sistema da remoto non usa l'indirizzo 127.0.0.1, ma il tuo indirizzo
ip reale, per il quale non hai dato ad ipchains nessuna indicazione.
--
---------------------------------------------------
Francesco Tosi
Network & System Administrator
email: 
frt...@tin.it
ICQ: 30640076
---------------------------------------------------

 -j REJECT
vanno rifiutati, informando il mittente del rifiuto
Per chiudere la  porta devi, bloccare i pacchetti  che _arrivano_ _da_
fuori, cioè con un indirizzo sorgente diverso dal localhost.
/sbin/ipchains -A input -p tcp -s ! 127.0.0.1 25 -j REJECT
"-s !  127.0.0.1" significa i  pacchetti che arrivano da  un indirizzo
_diverso_ da 127.0.0.1
C> Ma p*rca p*++ana, perché ipchains deve lasciare aperte porte che dico di
C> chiudere????? Perfino il Conseal di Winzozz obbediva, e se gli dicevo di
C> chiudere una porta la chiudeva!
anche ipchains, come puoi vedere... :-)
leggiti con molta calma l'howto sul firewall.
Ciao
Marco
-- 
- Pierino, cosa sai dirmi di Laplace e Fourier?
- Che erano abilissimi trasformisti!
		-- Andrea `Zuse' Balestrero, "Matemastica e Deformatica"

_diverso_ da 127.0.0.1
Ti ringrazio della precisazione, ma in questo modo mi pare significhi:
"rifiuta i pacchetti che arrivano da indirizzi esterni diversi da
localhost DALLA porta 25 diretti verso una porta qualunque"
Se io voglio bloccare la MIA porta 25 ai pacchetti provenienti da
indirizzi diversi da localhost su qualunque porta, forse dovrei fare cosě
(correggimi se sbaglio):
-s ! 127.0.0.1 --destination-port 25 -j REJECT
O no?


mentre uno esterno che prova ad accedere la trova aperta?????????????????
Fa quello che gli hai detto!  Infatti il demone mail ascolta su tutte
le interfaccie del PC (lo,ethX,pppX). La tua regola vale solo per la
"lo" e nulla dice sulle altre interfaccie.
Se dopo la tua regola aggiungi:
/sbin/ipachins -A input -d --port 25 -j REJECT
(credo d'aver commesso un errore sulla specifica della porta per cui
vale la regola, non ricordo a memoria, sorry) allora verranno
rifiutati tutti i pacchetti verso la porta 25 su tutte le interfaccie
diverse da "lo".

> 
C> Ti ringrazio della precisazione, ma in questo modo mi pare significhi:
C> "rifiuta i pacchetti che arrivano da indirizzi esterni diversi da
C> localhost DALLA porta 25 diretti verso una porta qualunque"
no no, se  si tratta di un pacchetto entrante  o uscente č determinato
dalla 'catena': questa regola si riferisce all'input, non l'ouput.
Qui stiamo bloccando i pacchetti:
- entranti (input)
- sulla porta 25
- in TCP (-p tcp)
- con origine diversa dal localhost (-s ! 127.0.0.1)
C> Se io voglio bloccare la MIA porta 25 ai pacchetti provenienti da
C> indirizzi diversi da localhost su qualunque porta, forse dovrei fare cosě
C> (correggimi se sbaglio):
C> 
C> -s ! 127.0.0.1 --destination-port 25 -j REJECT
non  saprei...  nella mia  versione  di  ipchains  (1.3.4) non  esiste
neanche questo "--destination-port"...
C> O no?
o no!
mi riaggnacio pure ad un altro tuo messaggio:
C> Glosh...  č  solo che ipchains  con 127.0.0.1 NON  interpreta (come
C> Conseal) "l'ip locale _col quale si č connessi_"... =:-O
127.0.0.1 NON č  l'IP con cui sei connesso a qualche  cosa, ma il l'IP
del loopback: l'interfaccia che  identifica la macchina locale. Quando
ti connetti al provider ti  viene assegnato un ulteriore indirizzo per
l'interfaccia  ppp0, con  cui 'uscire'  su internet,  un altro  per la
scheda di rete (interfaccia eth0), ecc...
-- 
- Pierino, come si producono i venti?
- Moltiplicando i quattro per i cinque.

del loopback: l'interfaccia che  identifica la macchina locale. Quando
Eh me ne sono ben accorto! E' che ero stato traviato dal Conseal che avevo
provato sul Winzozz. In Conseal "127.0.0.1" significava "qualunque sia
l'indirizzo ip assegnatoti sulla rete", in sostanza eri "te stesso" in
ogni circostanza.
In Linux identifica, giustamente, solo l'interfaccia di loopback.


> neanche questo "--destination-port"...
C> 
C> Io ho la 1.3.8, e come flag posso specificare:
ah, ok!
la funzionalità non cambia, solo che con la vecchia versione non
occorreva l'identificatore davanti al numero della porta, bastava
mettercela e tanti saluti :-)1
C> In  Conseal "127.0.0.1" significava  "qualunque sia  l'indirizzo ip
C> assegnatoti  sulla  rete", 
è un comportamente un po' strano....
-- 
"Bisogna avere un caos dentro di se', per generare una stella danzante."
		-- Nietzsche

č un comportamente un po' strano....
Considerato che girava in windows, era gią tanto che andasse! ;-)
