slacky.eu

ciao a tutti,
premetto che sono utente di linux da pochi giorni, devo loggare tutto il traffico della mia lan su internet e ho pensato di usare una linux-box come router/gateway con iptables configurato per il nat e il masquerading (spero di nn aver detto troppe castronerie)!
questa è la configurazione di iptables che ho impostato e la parte router/gateway funziona benissimo! il problema sono i log: con dmesg mi fa vedere i log di "input" e "output" ma non i "forward"!!!

ho sbagliato qualcosa???

ps: per aggiungere data e ora nelle righe di log come posso fare?? :/

Ciao. Se ti posso dare un consiglio fossi in te per quanto concerne iptables mi muoverei in questo modo.
Dovresti impostare (solitamente si fa così) come la politica di INPUT con DROP (che è indubbiamente migliore rispetto a DENY), lo stesso vale per il FORWARD (ovviamente do per scontato che sulla macchina slackware hai 2 schede di rete con il modulo ip_filter abilitato con masquerade e NAT). La politica della catena di OUTPUT a mio giudizio la puoi lasciare semplicemente ad ACCEPT, a meno che hai esigenze particolari
Per quanto concerne i log, già con questo puoi loggare tutti i pacchetti droppati in INPUT iptables -A INPUT -m limit --limit 5/minute -j LOG --log-level 5 --log-prefix "DROP"
puoi successivamente e comodamente vederli facendo un grep DROP su /var/log/messages.
Anche questi altri due inoltre non sono male, poichè ti bloccano i tentativi di portscan e nel caso fanno un mirror del portscan
iptables -A INPUT -p tcp -j LOG -m limit --limit 500/hour --limit-burst 500 --log-prefix "MIRROR:"
iptables -A INPUT -p tcp -j MIRROR -m limit --limit 500/hour --limit-burst 500
Ovviamente ti consiglio caldamente di aspettare anche la risposta di persone del forum più autorevoli di me quali Lorys, Gallows o Paoletta, Masalapianta e Twister (ovviamente solo per citarne qualcuno, gli altri non la prendessero male )
Un saluto, spero di esserti stato utile.

questo è lo script che ho usato (preso da un howto qui su slacky), i pacchetti "droppati" sono quelli scartati per un qualche motivo (dipendente dalle policy applicate) giusto??

a me non interessa tanto vedere quali o per quale motivo vengo bloccati, ma DEVO sapere, per ogni singola macchina, quale sito (o indirizzo ip) è stato visitato e a che ora!

altra domandina: i log vengono cancellati automaticamente a fine sessione di lavoro?

Io ho sempre caricato semplicemente i vari moduli necessari, come quello del ip_filter tramite
echo > 1 /proc/sys/net/ipv4/ip_filter (la directory dovrebbe essere esatta, ma mi scuso prima se ho scritto in modo inesatto)
Per quanto riguarda le regole di iptables che hai messo mi sembrano un'ottima base di partenza, anche se a mio gusto preferisco sempre impostare una politica.
Tu dai la regola di droppare tutto in forward ad esempio tramite append, il che è giusto, ma a mio giudizio e gusto personale è ancora meglio se fai
iptables -P INPUT DROP
così setterai direttamente come politica di tutta la catena INPUT di droppare tutti i pacchetti
ovviamnete prima puoi dare altre stringhe ottime come
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
di modo da accettare tutte le connessione già stabilte ed attive
Queste sono soltanto configurazioni base, che puoi trovare su qualsiasi sito o guida.
Un altro consiglio che magari è di più difficile reperibilità è il seguente:
fatti uno script, chiamalo tipo start_firewall.sh e fallo partire all'avvio tramite rc.local
alla fine delle regole di una catena metti sempre la seguente regola finale
iptables -A INPUT -j RETURN
impedirà ad altre regole messe successivamente di agire. E' un modo per specificare la chiusura della catena se vogliamo.
Per quanto concerne i log, ti assicuro che saranno tantissimi e che ovviamente non si cancellano da soli , almeno nella configurazione che ho fatto io.
Se non ti interessa sapere quali sono i pacchetti DROPATI e perchè (come invece interessa a me, poichè devo seguire il lato sicurezza), le regole che hai messo vanno benissimo. Non so aiutarti sul fatto del perchè non vedi mai su messages log circa il FORWARD. Domanda stupida e sciocca, hai due interfaccie di rete nel server slackware? Perchè altrimenti il FORWARD è INUTILE. In ogni caso dentro /var/log/messages la data ed ora di qualsiasi azione presa, che sia un pacchetto droppato, un tentativo di accesso con ssh, o un messaggio del kernel, viene registrata.
Fammi sapere, aspetto una tua risposta, magari ti potrò fornire ulteriori chiarimenti.
Ti prego di non prendere per "oro colato" quello che scrivo
Non sono di certo ancora un guru, cerco solo di essere utile.
Per certezze maggiori, aspetta il divino intervento di altri
Un saluto,
il vostro Heidegger.
Per sempre
*-.*-.*-:*-:W SLACKWARE*-.*-.*_.*_.*

ho controllato in /var/log/messages ed effettivamente ci sono data/ora - input/output ma non i forward!!! perchè??? non riesco a capire! io ho bisogno di poter sapere quale computer della rete si è collegato con quale sito. questo per la legge antiterrorismo uscita a sett. 2005!!! è passata la polizia postale e mi fatto una testa così per i log dei computer!!! volevo evitare di comprare programmi come wingate o winproxy per windows, preferisco passare a linux!! anche perchè volevo convincere le "alte sfere" a passare, pian piano, tutti i pc a linux

ho anche letto che si può usare ULOG/ULOGD invece di LOG ma non ho trovato una guida per un newbee come me. sapresti consigliarmi qualcosa a riguardo?

Scusa ma ti ripeto una domanda stupida, nel server hai due schede di rete?
Il forward ti serve soltanto per il passaggio da un'interfaccia all'altra.
Per le altre cose che hai scritto sotto non so aiutarti, poichè mi trovo benissimo con LOG.
Magari aspetta la risposta da qualche persona più esperta di me
Un saluto,
Heidegger.

si si, ho due schede di rete, una collegata al router e una alla lan!!

Uhm allora sei sicuro di avere caricato ad esempio il modulo fondamentale tramite
echo > 1 /proc/sys/net/ipv4/ip_filter
???
Una curiosità, praticamente il tuo server fa anche da NAT?
Un saluto,
Heidegger.

dando lsmod dovrebbe listarmi i moduli caricati, giusto?
vanno bene? c'è un iptable_filter, va bene quello? io ho provato a dare il comando che mi hai suggerito ma devo ridigitarlo ad ogni avvio??? lo aggiungo al mio script?

basta che lo carichi una volta e comunque da quello che vedo ce l'hai caricato correttamente.
bye
Heidegger