Newsgroup: it.comp.os.linux.software
Titolo: Urg: Ipchains ha blindato tutto... troppo

Ragazzi ho un problema...
Ho un server RedHat 7.3 con httpd, ftpd, ssh, sendmail ed ipchains
installati,ha 1 sola scheda di rete su ip pubblico.
Diciamo che ho sempre avuto una config. ipchains di default (quella che
crea in automatico il RH 7.x durante l'installazione).
Ora, dopo aver letto un po di tutorial qua e la mi sono costruito un
ipchains personalizzato ma non so per quale motivo mi blocca tutto...
non funziona più un solo servizio di quelli che ho messo in "ACCEPT".
Cosa ho sbagliato.. eppure sembra banale...
Grazie a chiunque mi sia di aiuto.
Natra
Questo il mio /etc/sysconfig/ipchains
-----------------------------------------
:input DENY
:forward DENY
:output ACCEPT
# Abilito la porta dell' FTP a chiunque
-A input -s 0/0 -d 0/0 21 -p tcp -y -j ACCEPT
# Abilito la porta dell SMTP a tutti (la limito in
/etc/mail/relay-domains)
-A input -s 0/0 -d 0/0 25 -p tcp -y -j ACCEPT
# Abilito la porta dell POP3P a tutti
-A input -s 0/0 -d 0/0 110 -p tcp -y -j ACCEPT
# Abilito la porta HTTP a tutti
-A input -s 0/0 -d 0/0 80 -p tcp -y -j ACCEPT
# Abilito la porta ssh solo alla sottorete pubblica aziendale
-A input -s xxx.yyy.zzz.64/
255.255.255.240
 -d 0/0 22 -p tcp -y -j ACCEPT
# Abilito il Samba solo per la sottorete pubblica aziendale
-A input -s xxx.yyy.zzz.64/
255.255.255.240
 -d 0/0 137:139 -p tcp -y -j
ACCEPT
-A input -s xxx.yyy.zzz.64/
255.255.255.240
 -d 0/0 137:139 -p udp -j
ACCEPT
# Abilito tutto il traffico dalla macchina locale
-A input -s 0/0 -d 0/0 -i lo -j ACCEPT
# Abilito tutto il traffico dalla sottorete pubblica aziendale
-A input -s xxx.yyy.zzz.64/
255.255.255.240
 -d 0/0 -p tcp -y -j ACCEPT
-A input -s xxx.yyy.zzz.64/
255.255.255.240
 -d 0/0 -p udp -j ACCEPT
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG


wrote:

hai abilitato l'ingresso dei pacchetti syn (-y) ma poi devi fare
passare anche i non syn!!!
quindi la regola e' di default disabilito tutto
accetto i syn e non syn solo dei servizi che mi servono (quindi devi
togliere il -y)
------------------------------------------------
Cesare Fontana
http://www.nexisonline.it/
------------------------------------------------

 togliere il -y)
g-r-a-z-i-e   C-e-s-a-r-e   ;-)
Natra

Ciao Cesare
sulla scorta delle tue preziose informazioni (togliere -y) ho riscritto il
file /etc/sysconfig/ipchains (vedi sotto), ma a parte il web e l' ssh non
gira niente.... ho provato a sniffare il traffico sia sulla secheda di rete
del client che richiede la posta, sia sul server che riceve la richiesta (su
cui gira ipchains) e come mi aspettavo c'è un dialogo tra la porta 110 del
servente e una porta >1024 del cliente...
Cosa sbaglio stavolta ?
(la macchina di cui sopra ha 1 scheda lan, e fa da server su rete pubblicza
per il web, posta, ftp,)
Grazie tante !!!
Natra
--------------------------------------------------
:input DENY
:forward DENY
:output ACCEPT
-A input -p icmp -j ACCEPT
# Abilito la porta dell' FTP a chiunque
-A input -p tcp -s 0/0 -d 0/0 21 -j ACCEPT
# Abilito la porta dell SMTP a tutti
-A input -p tcp -s 0/0 -d 0/0 25 -j ACCEPT
# Abilito la porta dell POP3P a tutti
-A input -p tcp -s 0/0 -d 0/0 110 -j ACCEPT
# Abilito la porta HTTP a tutti
-A input -p tcp -s 0/0 -d 0/0 80 -j ACCEPT
# Abilito la porta ssh solo alle reti sicure
-A input -p tcp -s aaa.bbb.ccc.64/
255.255.255.240
 -d 0/0 22 -j ACCEPT
# Abilito tutto il traffico dalla macchina locale
-A input -s 0/0 -d 0/0 -i lo -j ACCEPT
# Abilito tutto il traffico dalla intranet aziendale
-A input -s aaa.bbb.ccc.64/
255.255.255.240
 -d 0/0 -p tcp -j ACCEPT
-A output -s 0/0 -d 0/0 -j ACCEPT