Newsgroup: it.comp.os.linux.software
Titolo: Firewall con iptables

Salve ho intenzione di fare un firewall con iptables... ho un server con 2
schede di rete 1 per la lan e 1 per adsl...
chi si trova nella mia stessa situazione e vorrebbe collaborare è ben
accetto!
See you, Yoshy

 chi si trova nella mia stessa situazione e (vorrebbe) <--  | sono
scarsissimo di scrive volesse... ma avevo già spedito il messaggio :) |


In un messaggio del Thu, 08 Nov 2001 09:16:25 GMT Yoshy scriveva:

Nel senso che vuoi che legga la documentazione al posto tuo?
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 ha scritto nel messaggio
news:J3sG7.25553$zu5.9...@news1.tin.it...


 ha scritto nel messaggio
news:9sdk8k$jlm$1...@mordor.gruppocm-cs.it...


 uso, sia quella di iptables
Uhm, forse e' meglio se posti le parti del tuo script su cui hai qualche
dubbio e chi ne sa qualcosa ti rispondera'.


Ciao, io ho usato uno script "prefatto" e l'ho modificato in base alle mie
esigenze, lo script lo puoi trovare al seguente indirizzo:
http://www.sentry.net/~obsid/IPTables/rc.scripts.dir/current/
leggilo con attenzione, fai le modifiche che ritieni necessarie e poi se hai
problemi ci fai sapere.
Saluti.
Salvatore.

 (
http://www.e-infomax.com/ipmasq/
) - i
Visto che anch'io uso suse 7.2, che uso il di loro personal firewall
basato su ipchains, ho provato ad approfittare delle tue indicazioni per 
passare a iptables, ma quando sono andato al sito di cui sopra, nel file 
HOWTO ho trovato solo gli esempi per ipfwadm e ipchains mentre per iptables 
c'era scritto:
6.4. Stronger IP Firewall (IPTABLES) rulesets
This section will be filled in shortly.
Come hai fatto? hai fatto lo script completamente da solo oppure hai usato 
"examples/rc.firewall-2.4" reperibile sullo stesso sito?
Grazie

 ha scritto nel messaggio
news:2EwG7.25176$zl4.7...@news2.tin.it...


 
é infatti consigliabile controllare perchè nel file suddetto
http://www.e-infomax.com/ipmasq/howto/beta/examples/rc.firewall-2.4
 
si trova il seguente avvertimento 
#               Once IP Masquerading has been tested, with this simple 
#               ruleset, it is highly recommended to use a stronger 
#               IPTABLES ruleset either given later in this HOWTO or 
#               from another reputable resource.
ciao

..se l'esigenza e' quella di avere un firewall con due schede di rete, una
per la parte pubblica (server pubblici) ed una per la parte privata
(macchine interne alla rete), io ho trovato davvero interessante lo script
che si trova all'indirizzo:
http://www.sentry.net/~obsid/IPTables/rc.scripts.dir/current/
saluti.
Salvatore.

 ..se l'esigenza e' quella di avere un firewall con due schede di rete,
io uso poche linee setuppate in 3 giorni dall'inizio e con qualche
modifichetta successiva...  praticamente chiudo le porte a tutto
quello che viene da internet e loggo qualcosina :)
eventuali segnalazioni di controindicazioni sono ben gradite
-- cut --
#!/bin/bash
PATH=/sbin
# macros
stateINV="-m state --state INVALID"
stateNEW="-m state --state NEW"
stateNI="-m state --state NEW,INVALID"
logWARN="--log-level warning --log-prefix"
###################################################
# Flush chains to make a clean environment to work
iptables -F  INPUT
iptables -F OUTPUT
NETIF=ppp0
        fromNET="-i $NETIF"
        toNET="-o $NETIF"
##################
###  INTERNET  ###
##################
# incoming tcp/udp/icmp/igmp
        iptables -A INPUT -j DROP   $fromNET -m unclean
        iptables -A INPUT -j REJECT $fromNET $stateNEW -p tcp --dport auth
        iptables -A INPUT -j DROP   $fromNET $stateNEW -p tcp --sport :1023
        iptables -A INPUT -j DROP   $fromNET $stateNEW -p igmp # -d 224.0.0.1
        iptables -A INPUT -j LOG    $fromNET $stateINV -m limit --limit 3/minute 
 $logWARN "mytype=INVAL "
        iptables -A INPUT -j LOG    $fromNET $stateNEW -m limit --limit 3/minute
 $logWARN "mytype=NEW "
        iptables -A INPUT -j DROP   $fromNET $stateNI
#############
###  LAN  ###
#############
# outgoing netbios: DROP, dont LOG
        iptables -I OUTPUT -j DROP  $toNET -p udp --dport netbios-dgm
        iptables -I OUTPUT -j DROP  $toNET -p udp --dport netbios-ns
        iptables -I OUTPUT -j DROP  $toNET -p udp --dport netbios-ssn
-- cut --
Saluti,
	DiD0
-=<powered by linux redhat 7.2 on duron 1GHz & 640-adsl>=-