slacky.eu

Salve a tutti!
<BR>Qualche tempo fa ho tirato su un firewallino con iptables per difendere la mia Linux box, rappresentata da una Slack 10.0, con kernel 2.6.7.
<BR>Per non perdere tempo vi riporto la configurazione:
<BR>
<BR># Impostazioni di default
<BR>iptables -P INPUT DROP
<BR>iptables -P OUTPUT ACCEPT
<BR>
<BR># Abilitazione dell´interfaccia di loopback
<BR>iptables -A INPUT -i lo -j ACCEPT
<BR>
<BR># Apertura delle porte SSH, DNS e Samba
<BR>iptables -A INPUT -p tcp -i eth2 --dport 22 -j ACCEPT
<BR>iptables -A INPUT -p tcp -i eth2 --dport 53 -j ACCEPT
<BR>iptables -A INPUT -p udp -i eth2 -m multiport --sport 137,138,139,445 -j ACCEPT
<BR>iptables -A INPUT -p tcp -i eth2 -m multiport --sport 137,138,139,445 -j ACCEPT
<BR>iptables -A INPUT -p udp -i eth2 -m multiport --dport 137,138,139,445 -j ACCEPT
<BR>iptables -A INPUT -p tcp -i eth2 -m multiport --dport 137,138,139,445 -j ACCEPT
<BR>
<BR># Regole anti-spoofing
<BR>iptables -A INPUT -s 10.0.0.0/8 -i eth2 -j DROP
<BR>iptables -A INPUT -s 172.16.0.0/12 -i eth2 -j DROP
<BR>iptables -A INPUT -s 192.168.1.0/24 -i eth2 -j DROP
<BR>
<BR>#Eccezioni
<BR>iptables -A INPUT -s 192.168.1.2/24 -i eth2 -j ACCEPT
<BR>iptables -A INPUT -s 192.168.1.11/24 -i eth2 -j ACCEPT
<BR>iptables -A INPUT -s 192.168.1.10/24 -i eth2 -j ACCEPT
<BR>iptables -A INPUT -s 192.168.1.55/24 -i eth2 -j ACCEPT
<BR>
<BR># Apertura di tutte le porte TCP e UDP non-note
<BR>iptables -A INPUT -p tcp -i eth2 --dport 1024:65535 -j ACCEPT
<BR>iptables -A INPUT -p udp -i eth2 --dport 1024:65535 -j ACCEPT
<BR>
<BR># Regola per impedire il PING dall´esterno
<BR>iptables -A INPUT -p icmp -i eth2 -j DROP
<BR>
<BR># Regole di stateful inspection
<BR>iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
<BR>
<BR>Come si può vedere, le impostazioni sono semplici e chiare: ho abilitato tutto il traffico verso l´esterno, chiudendo tutto in direzione opposta con l´eccezione di SSH, DNS e Samba.
<BR>Beh, sicuro di aver blindato il mio sistema, sono andato su uno di quei siti che testano la sicurezza di firewall e simili, <a href="http://scan.sygate.com" target="_blank" target="_new">http://scan.sygate.com</a>.
<BR>Sorprendentemente, l´output del test non è stato positivo: tutte le porte in ingresso risultano "chiuse", non bloccate, e quindi potenzialmente suscettibili di attachi provenienti dall´interno, cioè dalla WLAN.
<BR>Addirittura è possibile pingare dall´esterno il mio IP pubblico!
<BR>Ma come, la policy "-j DROP" dovrebbe "bloccare" il traffico sulla porta, non semplicemente "chiuderlo"!
<BR>Ora, se sul mio router wi-fi attivo il firewall, ecco che tutte le porte di cui sopra tornano a bloccarsi.
<BR>C´è qualcosa che ho sbagliato nella configurazione o devo inserire regole più restrittive?
<BR>
<BR>Grazie,
<BR>
<BR>Burroughs.<br>

Ciao,
<BR>anke io ho fatto un firewall con iptables, chidendo la chain INPUT (policy default DROP) e abilitando via via quello che mi serve.
<BR>Andando sul sito <a href="http://scan.sygate.com" target="_blank" target="_new">http://scan.sygate.com</a>. e facendo lo scan, mi risultano bloccate le porte.
<BR>comunque prova a mettere a ll´inizio del firewall la regola
<BR>iptables -F
<BR>che ripulisce tutte le chain (le riporta in default) prima di defineire le default e le regole seguenti, se nn fai così, tutte le volte che lanci il firewall modificato, le varie regole si aggiungono a quelle precedenti(che credevi sostituite dalla nuove).
<BR>può darsi che involontariamente ti fosse rimasta qualche regola strana e il test scan abbia rilevato qualche porta.
<BR>per il DNS il protocollo è udp (-p udp)
<BR>un´ultima cosa, è inutile droppare sulla chain INPUT se di default è chiuso il traffico in entrata
<BR>ciao
<BR><BR><BR>[ Questo Messaggio è stato Modificato da: strummer il 21-04-2005 09:01 ]<br>

Ciao,
<BR>
<BR>Sì, ho provato a fare un flushing (iptables -F) ma non è successo nulla, le porte continuano ad essere "closed" e non "blocked".
<BR>Qualche altra idea (io le mie le ho finite)?
<BR>
<BR>Burroughs.<br>

ciao
<BR>una domanda scusami con quale interfaccia di colleghi ad internet?
<BR>ti chiedo questo perchè con la chain di INPUT droppata, dovrest abilitare il traffico in entrata sulla porta 80 (--sport 80), almeno io se nn metto tale regola nn navigo su internet, in quanto il firewall mi blocca le risposte dei webservers.
<BR>quindi c´è qualcosa che nn mi torna... mi segui???
<BR>comunque per capirci meglio, quali porte risultano bloccate dallo scan del sito? le dport (sulle quali hai abilitato tutto il traffico in entrata proveniente da qualsiasi indirizzo)?
<BR>probabilmente abilitanto tutto il traffico in entrata, da qualsiasi indirizzo, su una destination-port (dove quindi gira un servizio) risulta chiusa (filtered) e nn bloccata....
<BR>ora che ci penso, io sul mio firewall sulle dport ho abilitato solo certi range d´indirizzi...
<BR><br>

<!-- BBCode Start --><I># Regole anti-spoofing
<BR>iptables -A INPUT -s 10.0.0.0/8 -i eth2 -j DROP
<BR>iptables -A INPUT -s 172.16.0.0/12 -i eth2 -j DROP
<BR>iptables -A INPUT -s 192.168.1.0/24 -i eth2 -j DROP
<BR>
<BR>#Eccezioni
<BR>iptables -A INPUT -s 192.168.1.2/24 -i eth2 -j ACCEPT
<BR>iptables -A INPUT -s 192.168.1.11/24 -i eth2 -j ACCEPT
<BR>iptables -A INPUT -s 192.168.1.10/24 -i eth2 -j ACCEPT
<BR>iptables -A INPUT -s 192.168.1.55/24 -i eth2 -j ACCEPT </I><!-- BBCode End -->
<BR>
<BR>scusa, non dovrebbero essere al contrario,
<BR>se il pacchetto viene droppato (per es. per 192.168.1.10) non arriverà alla regola (successiva) che lo lascia passare
<BR>o sbaglio?<br>

già...<br>

La mia rete è molto semplice: uso un router wi-fi sul quale disabilito il firewall integrato giusto per mettere alla prova iptables.
<BR>La macchina su cui lavoro è un notebook con una sola interfaccia di rete (la wi-fi) per cui il firewall che tento di tirar su non serve tanto alla rete in sé quanto a proteggere le connessioni sulla macchina (il notebook) che si connette ad Internet.
<BR>Detto questo, non penso di dover aprire la porta 80 visto che non ho tirato su alcun web server raggiungibile dall´esterno.
<BR>Mi serve invece -eccome!- abilitare in ingresso la porta 53 (TCP non UDP!) altrimenti non riuscirei né a scaricare il contenuto di un sito né a scaricare la posta e quant´altro.
<BR>Ora, quello di cui non mi capacito è perché le principali porte TCP sono chiuse ed addirittura (questo è quanto mi dice Sygate!) le UDP sono sprotette.
<BR>
<BR>Burroughs.<br>

scusa, mi sono espresso male.
<BR>con la chain di INPUT droppata, io devo abilitare il traffico proveniente sulla mia macchina che ha come porta sorgente la 80 (sport) appunto quella dei webservers che inviano le risposte al browser.
<BR>nn volevo dire che te hai un webserver.
<BR>certo che devi abilitare il dns, chi ha detto il contrario?!
<BR>solo che a quanto ne so io il dns comunica sul protocollo udp.
<BR>
<BR><br>

hai altre macchina attaccate a quel router?<br>