Newsgroup: it.comp.reti.ip-admin
Titolo: Filtraggio connesioni HTTP

Sto settando un firewall sotto linux (IPFWADM)...un firewall filtrante
che dovrebbe proteggere non un server ma bensi un client (con ip
statico), il firewall agisce SOLO sulle connessioni in entrata in questo
modo: di default nega l'accesso a chiunque su qualunque porta, poi io
abilito i servizi necessari...(irc,http,mail,dns,news...) funziona
perfettamente tranne che con il traffico http, infatti io non riesco a
ricevere i pacchetti di risposta dai server web ( i pacchetti in uscita
non hanno problemi). Mi servirebbe sapere se la porta usata dal SERVER
per spedirmi i pacchetti  e' solo la 80 o se ne usa altre (come penso
che sia). Questo e' il listato che configura l'IPFWADMper quanto
riguarda l'http:
ipfwadm -I -i accept -P tcp -S 0.0.0.0 80 -D 193.76.202.13 1024:65535
ipfwadm -I -i accept -P udp -S 0.0.0.0 80 -D 193.76.202.13 1024:65535
In pratica acccetta connessioni  tcp e udp provenienti dalla porta 80 di
qualsiasi host e dirette a me su porte che vanno dalla 1024 alla 65535.
Tenete conto che il firewall nega qualsiasi altra connessione ( cmq ho
provvisto ad abilitare dns e auth (porta 113) ).
Con il firewall cosi' configurato non riesco a ricevere i pacchetti di
risposta dai server web :((
Uso una Slackware 3.5 con kernel upgradato a 2.0.35.
Grazie mille x le risposte....se potete mandatele direttamente alla mia
e-mail  
GA...@EPONET.IT

 1024 ) ) sposta la connessione dalla sua porta 80 ad una porta
libera ( sempre > 1024 ).
Per cui in effetti i pacchetti provenienti dalla porta 80 sono pochi.
Infatti il grosso del traffico avviene fra due porte maggiori dell'80
sia sul server che sul client.
Se non si facesse cosi' la porta 80 rimarrebbe "otturata" da una
conessione, ed il server non potrebbe accoglierne altre.
Chiarito questo punto credo che dovresti aggiungere anche una serie di
righe del tipo
ipfwadm -I -i accept -P tcp -S 0.0.0.0 1024:65535 -D 193.76.202.13
1024:65535
ipfwadm -I -i accept -P udp -S 0.0.0.0 1024:65535 -D 193.76.202.13
1024:65535
Oppure meglio
ipfwadm -I -i accept -P tcp -S 0.0.0.0 -D 193.76.202.13 1024:65535
ipfwadm -I -i accept -P udp -S 0.0.0.0 -D 193.76.202.13 1024:65535
Tanto quello necessario da proteggere e' il client ( -D 193.76.202.13
). E cosi' lo fai.
Magari se e' una macchina W95 blocca pure la porta back-orifice ( 3337
? vado a memoria ).
Ciao.

 conessione, ed il server non potrebbe accoglierne altre.
Su Topolino hanno iniziato a parlare di TCP ?
Una connessione HTTP viene aperta da parte del client con porta sorgente casuale
(>1023) e 80 come porta di destinazione e durante tutta la sua vita continua ad
avere le stesse porte di origine e destinazione.
La porta 80 del server non viene "otturata" perche' ogni pacchetto TCP proviene
da una coppia host/porta sorgente univoca.
Quindi, per esempio, tutto il traffico di una connessione HTTP avra' come porta
sorgente una casuale e come destinazione l'80 quando va dal client al server e
il viceversa quando va dal server al client.
Ciao.
-- 
 Daniele
-------------------------------------------------------------------------------
Why use Windows, since there is a door?
(By 
fac...@galileo.rhein-neckar.de
, Andre Fachat)
-------------------------------------------------------------------------------
 Se telecom italia aggiungesse uno scatto al giorno ad ogni abbonato, dal
 primo Gennaio avrebbe rubato 894.038.000.000 Lire.
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

Su Topolino hanno iniziato a parlare di TCP ?
Ammesso ( ma mi riservo ancora qualche dubbio ) che abbia detto una
ca%%ata, ci sono modi piu' educati di farlo notare ....

>avere le stesse porte di origine e destinazione.
 Ok...grazie...il problema l'ho trovato..era di sintassi, infatti per
specificare "qualunque host" bisogna scrivere
0.0.0.0/0
 (io scrivevo solamente 0.0.0.0, dimenticavo il mask). Solo una
cosa...per spedirmi i pacchetti usa solo il TCP o anche l' UDP ?????



 cosa...per spedirmi i pacchetti usa solo il TCP o anche l' UDP ?????
HTTP usa solo TCP per trasferire i dati.
Ciao,
-- 
Andrea