Newsgroup: it.comp.sicurezza.unix
Titolo: firewall rules per ntp

Salve a tutti gente,
sto preparando un firewall linux classico (LAN+DMZ+EXT+MON).
MI stavo domandando una cosa.
Ho un problema con le rules per l'ntp (123 UDP).
In uscita va bene, permetto le porte < 1024 di uscire verso la 123
esterna...
Ma per l'entrata ???
UDP non credo gestisca connessioni, quindi mi posso scordare il RELATED...
Uso IpTables su Kernel Linux 2.4...
L'unica possibilita' e' conoscere l'indirizzo esatto del time server... e
configurare l'entrata di pacchetti da quell'ip:123 verso il mio interno
per tutte le porte.
Cosa mi consigliate ?
Grazie 1000
Ruxian
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

interno per tutte le porte.
ntp utilizza un socket udp sulla 123, non da qualsiasi porta
con ipfilter io ho fatto cosi`:
pass in quick proto udp from 194.20.8.4 port = 123 to x.y.z.a port = 123 keep state group 100
pass in quick proto udp from 192.93.2.20 port = 123 to x.y.z.a port = 123 keep state group 100
ciao
-- 
:wq

 con ipfilter io ho fatto cosi`:
Ciao,
che strano pero'... ho delle tracce nei log che dicono
deny from xxx.xxx.xxx.xxx:123 to mio.ip.mio.ip:3399
xxx = server ntp
e la porta 3399 non e' sempre la stessa
Cosa ne pensi ?
mettendo accetta da xxx.xxx.xxx.xxx:123 to mio.ip.mio.ip:anyport
funzione e non scrive niente nei log
Magari ho trovato un ntp server sfigato !!!
Dici che chiama e risponde su 123---123 ???
Grazie


Dici che chiama e risponde su 123---123 ???
la mia esperienza mi dice questo, inoltre non penso che il keep state di
ipfilter implementi supporto per NTP. provato a cambiare server ntp ?
quei due ip che ho pastato prima sono 2 server validi ( 
tempo.ien.it
 e
canon.inria.fr
 [ se ben mi ricordo ] ).
tcpdump che dice ?
ciao
-- 
:wq

 tcpdump che dice ?
Sai che dice... che windows deve sempre fare il porco...
Linux chiama udp123 il server risponde sulla 123 di linux (123--123).
Windows chiama da 3399 verso 123 e il server risponde 123 verso 3399...
Incredibile...


Ruxian
ciao
-- 
:wq

 paio di bestemmie :)
questo ng mi ha risparmiato giornate di bestemmie...
senti... ti domando un'ultima cosa...
uso WinRoute Pro su una macchina windows...
Per ultima rule uso nega a tutti il traffico IP, tutte le porte da tutti i
sorgenti...
In questo modo se un pacchetto passa una regola viene accettato, e
scartato eventualmente dall'ultima regola...
Nelle regole posso gestire PERMIT, DROP e DENY...
Sai mica dirmi che differenza c'e' tra DROP e DENY ???
Su NetFilter non ho mai visto il DENY.
Ma ho scoperto che nmap impiega 169 secondi per una semplice scansione se
uso drop.... e 1 secondo se uso deny...
Mi sai dire qualcosa ?
Grazie


Mi sai dire qualcosa ?
a naso ( non conosco winroute ), penso che quando un pkt matcha una
regola DROP viene scartato senza nessuna risposta, con DENY invece viene
mandato un icmp unreachable di risposta. nmap lo riceve e quindi segnala
la porta come chiusa.
a naso eh, ma mi pare ragionevole come spiegazione :)
-- 
:wq

 la porta come chiusa.
e' lo stesso ragionamento che ho fatto io in effetti, volevo una
conferma...
direi a questo punto che e' meglio mettere drop... in questo modo non si
possono conoscere i servizi "blindati" dietro il firewall...
immagino che se nmap impiega 169 secondi e' perche' non ricevendo risposta
di porta chiusa... aspetta il timeout lecito...
quando tenti di collegarti ad un servizio che non c'e' (in una situazione
senza firewall) il sistema operativo non invia un messaggio icmp di
servizio non disponibile. giusto ?
sei daccordo ???


Ruxian
ciao e scusa la logorrea :P
-- 
:wq

ok, allora da quanto ho capito usero' deny...
cosi', sempre se ho capito bene, il firewall inviera' lo stesso messaggio
che invierebbe lo stack dell'os.
correggimi se sbaglio.
quello che voglio fare e non permettere di capire quali sono i servizi
protetti dal firewall... in pratica vorrei che quella macchina venisse
interpretata solo com web server, mentre in effetti fa un sacco di altre
cose... ma solo accessibili da particolari ip (quelli dell'ufficio).
con deny dovrei risolvere.
ruxian


con deny dovrei risolvere.
si, esatto :)
-- 
:wq

 esatto
piu' che un newsgroup stasera e' stata una chat...
grazi di tutto vjt !!!
spassatela stanotte.
vado a riposare le membra. ;-)))
Ruxian


vado a riposare le membra. ;-)))
anch`io, ciao :)
-- 
:wq

 per tutte le porte.
Questo potresti farlo comunque.
Fabio

 porta dove non e` in ascolto alcun servizio. 
Invia un RST, non un unreachable.
Fabio

 Incredibile...
Windows probabilmente usa una porta sorgente alta e non la 3399 in
modo specifico. Sono entrame implementazioni rfc compliant, direi.
Fabio

Invia un RST, non un unreachable.
devo smetterla di postare quando ho sonno. right.
-- 
:wq

 modo specifico. Sono entrame implementazioni rfc compliant, direi.
Infatti e' cosi'... indicavo la 3399 per esempio... e' una di quelle che
ho trovato nel log...


 cosa) anche per il traffico UDP.
SI, hai ragione ho fatto un errore di sbaglio ;-)))
Grazie anche a te per l'aiuto... 
Saluti
