Pagina 2 di 2

Re: Creare un firewall

Inviato: mar 8 feb 2011, 14:09
da albatross
Se si tratta di una postazione normale che deve poter fare traffico in uscita verso tutto ti consiglio questa configuazione

iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

in questo modo permetti al pc di aprire tutte le porte verso l'esterno e permetti l'ingresso ai soli pacchetti che sono le risposte alle sessioni che hanno avuto origine dal tuo host.
Nella configurazione che hai fatto tu scarti tutti i pacchetti indirizzate verso le porte dei servizi noti (0-1023) ma lasci aperte tutto le altre fino a 64k
Nella parte sotto invece scarti i pacchett con flag SYN (ovvero tutti i pacchetti che cercano di stabilire una connession con il tuo host dall'esterno) lasciando perĂ² le porte esposte ad attacchi tramite flag FIN o ACK (vedi ad esempio FIN scan tramite nmap)

Se poi vuoi fare le cose per bene pui impostare il default per OUTPUT a DROP
e specificare le porte autorizzate in uscita con ...
iptables -A OUTPUT -p tcp -i $EXTIF --dport 80 -j ACCEPT
quello sopra vale per la navigazione internet
le altre porte "minime" da aprire sono
53 UDP/TCP --> DNS
443 TCP --> HTTPS