Curiosità iptables

Burroughs · Messaggio da **Burroughs** » mar 19 apr 2005, 17:52

Salve a tutti!
 Qualche tempo fa ho tirato su un firewallino con iptables per difendere la mia Linux box, rappresentata da una Slack 10.0, con kernel 2.6.7.
 Per non perdere tempo vi riporto la configurazione:
 
 # Impostazioni di default
 iptables -P INPUT DROP
 iptables -P OUTPUT ACCEPT
 
 # Abilitazione dell´interfaccia di loopback
 iptables -A INPUT -i lo -j ACCEPT
 
 # Apertura delle porte SSH, DNS e Samba
 iptables -A INPUT -p tcp -i eth2 --dport 22 -j ACCEPT
 iptables -A INPUT -p tcp -i eth2 --dport 53 -j ACCEPT
 iptables -A INPUT -p udp -i eth2 -m multiport --sport 137,138,139,445 -j ACCEPT
 iptables -A INPUT -p tcp -i eth2 -m multiport --sport 137,138,139,445 -j ACCEPT
 iptables -A INPUT -p udp -i eth2 -m multiport --dport 137,138,139,445 -j ACCEPT
 iptables -A INPUT -p tcp -i eth2 -m multiport --dport 137,138,139,445 -j ACCEPT
 
 # Regole anti-spoofing
 iptables -A INPUT -s 10.0.0.0/8 -i eth2 -j DROP
 iptables -A INPUT -s 172.16.0.0/12 -i eth2 -j DROP
 iptables -A INPUT -s 192.168.1.0/24 -i eth2 -j DROP
 
 #Eccezioni
 iptables -A INPUT -s 192.168.1.2/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.11/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.10/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.55/24 -i eth2 -j ACCEPT
 
 # Apertura di tutte le porte TCP e UDP non-note
 iptables -A INPUT -p tcp -i eth2 --dport 1024:65535 -j ACCEPT
 iptables -A INPUT -p udp -i eth2 --dport 1024:65535 -j ACCEPT
 
 # Regola per impedire il PING dall´esterno
 iptables -A INPUT -p icmp -i eth2 -j DROP
 
 # Regole di stateful inspection
 iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
 
 Come si può vedere, le impostazioni sono semplici e chiare: ho abilitato tutto il traffico verso l´esterno, chiudendo tutto in direzione opposta con l´eccezione di SSH, DNS e Samba.
 Beh, sicuro di aver blindato il mio sistema, sono andato su uno di quei siti che testano la sicurezza di firewall e simili, <a href="http://scan.sygate.com" target="_blank" target="_new">http://scan.sygate.com</a>.
 Sorprendentemente, l´output del test non è stato positivo: tutte le porte in ingresso risultano "chiuse", non bloccate, e quindi potenzialmente suscettibili di attachi provenienti dall´interno, cioè dalla WLAN.
 Addirittura è possibile pingare dall´esterno il mio IP pubblico!
 Ma come, la policy "-j DROP" dovrebbe "bloccare" il traffico sulla porta, non semplicemente "chiuderlo"!
 Ora, se sul mio router wi-fi attivo il firewall, ecco che tutte le porte di cui sopra tornano a bloccarsi.
 C´è qualcosa che ho sbagliato nella configurazione o devo inserire regole più restrittive?
 
 Grazie,
 
 Burroughs.

strummer · Messaggio da **strummer** » gio 21 apr 2005, 9:00

Ciao,
 anke io ho fatto un firewall con iptables, chidendo la chain INPUT (policy default DROP) e abilitando via via quello che mi serve.
 Andando sul sito <a href="http://scan.sygate.com" target="_blank" target="_new">http://scan.sygate.com</a>. e facendo lo scan, mi risultano bloccate le porte.
 comunque prova a mettere a ll´inizio del firewall la regola
 iptables -F
 che ripulisce tutte le chain (le riporta in default) prima di defineire le default e le regole seguenti, se nn fai così, tutte le volte che lanci il firewall modificato, le varie regole si aggiungono a quelle precedenti(che credevi sostituite dalla nuove).
 può darsi che involontariamente ti fosse rimasta qualche regola strana e il test scan abbia rilevato qualche porta.
 per il DNS il protocollo è udp (-p udp)
 un´ultima cosa, è inutile droppare sulla chain INPUT se di default è chiuso il traffico in entrata
 ciao
 [ Questo Messaggio è stato Modificato da: strummer il 21-04-2005 09:01 ]

Burroughs · Messaggio da **Burroughs** » gio 21 apr 2005, 17:32

Ciao,
 
 Sì, ho provato a fare un flushing (iptables -F) ma non è successo nulla, le porte continuano ad essere "closed" e non "blocked".
 Qualche altra idea (io le mie le ho finite)?
 
 Burroughs.

strummer · Messaggio da **strummer** » gio 21 apr 2005, 20:48

ciao
 una domanda scusami con quale interfaccia di colleghi ad internet?
 ti chiedo questo perchè con la chain di INPUT droppata, dovrest abilitare il traffico in entrata sulla porta 80 (--sport 80), almeno io se nn metto tale regola nn navigo su internet, in quanto il firewall mi blocca le risposte dei webservers.
 quindi c´è qualcosa che nn mi torna... mi segui???
 comunque per capirci meglio, quali porte risultano bloccate dallo scan del sito? le dport (sulle quali hai abilitato tutto il traffico in entrata proveniente da qualsiasi indirizzo)?
 probabilmente abilitanto tutto il traffico in entrata, da qualsiasi indirizzo, su una destination-port (dove quindi gira un servizio) risulta chiusa (filtered) e nn bloccata....
 ora che ci penso, io sul mio firewall sulle dport ho abilitato solo certi range d´indirizzi...

tommyblue · Messaggio da **tommyblue** » gio 21 apr 2005, 21:50

# Regole anti-spoofing
 iptables -A INPUT -s 10.0.0.0/8 -i eth2 -j DROP
 iptables -A INPUT -s 172.16.0.0/12 -i eth2 -j DROP
 iptables -A INPUT -s 192.168.1.0/24 -i eth2 -j DROP
 
 #Eccezioni
 iptables -A INPUT -s 192.168.1.2/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.11/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.10/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.55/24 -i eth2 -j ACCEPT 
 
 scusa, non dovrebbero essere al contrario,
 se il pacchetto viene droppato (per es. per 192.168.1.10) non arriverà alla regola (successiva) che lo lascia passare
 o sbaglio?

DaNiMoTh · Messaggio da **DaNiMoTh** » gio 21 apr 2005, 21:55

già...

Burroughs · Messaggio da **Burroughs** » ven 22 apr 2005, 18:43

La mia rete è molto semplice: uso un router wi-fi sul quale disabilito il firewall integrato giusto per mettere alla prova iptables.
 La macchina su cui lavoro è un notebook con una sola interfaccia di rete (la wi-fi) per cui il firewall che tento di tirar su non serve tanto alla rete in sé quanto a proteggere le connessioni sulla macchina (il notebook) che si connette ad Internet.
 Detto questo, non penso di dover aprire la porta 80 visto che non ho tirato su alcun web server raggiungibile dall´esterno.
 Mi serve invece -eccome!- abilitare in ingresso la porta 53 (TCP non UDP!) altrimenti non riuscirei né a scaricare il contenuto di un sito né a scaricare la posta e quant´altro.
 Ora, quello di cui non mi capacito è perché le principali porte TCP sono chiuse ed addirittura (questo è quanto mi dice Sygate!) le UDP sono sprotette.
 
 Burroughs.

strummer · Messaggio da **strummer** » ven 22 apr 2005, 20:01

scusa, mi sono espresso male.
 con la chain di INPUT droppata, io devo abilitare il traffico proveniente sulla mia macchina che ha come porta sorgente la 80 (sport) appunto quella dei webservers che inviano le risposte al browser.
 nn volevo dire che te hai un webserver.
 certo che devi abilitare il dns, chi ha detto il contrario?!
 solo che a quanto ne so io il dns comunica sul protocollo udp.

strummer · Messaggio da **strummer** » dom 24 apr 2005, 11:56

hai altre macchina attaccate a quel router?