Samba e iptables

Burroughs · Messaggio da **Burroughs** » gio 24 mar 2005, 11:24

Ho appena risolto un problema relativo ad iptables che se ne presenta un altro...
 Ho installato e configurato Samba sulla mia Slack; attualmente sono in workgroup con una macchina Windows XP Pro.
 Bene, la macchina Windows vede tranquillamente il client Linux, non posso però dire il contrario.
 Vi posto la mia configurazione di iptables:
 
 # Impostazioni di default
 iptables -P INPUT DROP
 iptables -P OUTPUT ACCEPT
 
 # Abilitazione dell´interfaccia di loopback
 iptables -A INPUT -i lo -j ACCEPT
 
 # Apertura delle porte SSH, DNS e Samba
 iptables -A INPUT -p tcp -i eth2 --dport 22 -j ACCEPT
 iptables -A INPUT -p tcp -i eth2 --dport 53 -j ACCEPT
 iptables -A INPUT -p udp -i eth2 --dport 137 -j ACCEPT
 iptables -A INPUT -p udp -i eth2 --dport 138 -j ACCEPT
 iptables -A INPUT -p tcp -i eth2 --dport 139 -j ACCEPT
 iptables -A INPUT -p tcp -i eth2 --dport 445 -j ACCEPT
 
 # Regole anti-spoofing
 iptables -A INPUT -s 10.0.0.0/8 -i eth2 -j DROP
 iptables -A INPUT -s 172.16.0.0/12 -i eth2 -j DROP
 iptables -A INPUT -s 192.168.1.0/24 -i eth2 -j DROP
 
 #Eccezioni
 iptables -A INPUT -s 192.168.1.2/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.11/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.10/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.55/24 -i eth2 -j ACCEPT
 
 # Apertura di tutte le porte TCP e UDP non-note
 iptables -A INPUT -p tcp -i eth2 --dport 1024:65535 -j ACCEPT
 iptables -A INPUT -p udp -i eth2 --dport 1024:65535 -j ACCEPT
 
 # Regola per impedire il PING dall´esterno
 iptables -A INPUT -p icmp -i eth2 -j DROP
 
 # Regole di stateful inspection
 iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
 
 In buona sostanza, ho abilitato il traffico in entrata sull´interfaccia eth2 relativamente alle quattro porte usate da Samba, la 137, 138, 139 e 445, ma, nonostante ciò, non riesco a connettermi alla macchina Windows.
 Qualche suggerimento?
 
 Burroughs.

strummer · Messaggio da **strummer** » gio 24 mar 2005, 11:54

Prova a mettere, nelle regole per samba, invece che porta destinazione (--dport) la porta sorgente (--sport):
 iptables -A INPUT -p udp -i eth2 --sport 137 -j ACCEPT
 iptables -A INPUT -p udp -i eth2 --sport 138 -j ACCEPT
 iptables -A INPUT -p tcp -i eth2 --sport 139 -j ACCEPT
 iptables -A INPUT -p tcp -i eth2 --sport 445 -j ACCEPT
 
 Perchè, credo, la macchina linux quando va una richiesta a samba, su una qualsiasi delle porte (137 138 139 445) manda un pacchetto (regola OUTPUT ACCEPT quindi il pacchetto in uscita verso samba parte) con la porta destinazione di samba e la porta sorgente una a caso, quando, invece il pacchetto torna indietro ha la porta sorgente (137 138 139 445) e la destinazione, quella a caso, da dove è partito dalla macchina linux.
 comunque guarda con il "netstat -natup" gli ip le porte relativi al servizio samba
 Quindi si dovrebbe abilitare il traffico in entrata proveniente dalle porte samba.
 
 Prova un pò, almeno io ho risolto così, problemi analoghi sulla ppp0.
 ciao

strummer · Messaggio da **strummer** » gio 24 mar 2005, 12:00

un altro consiglio, con iptables, logga sempre quello che fai, in modo da capire meglio come agisce il firewall, e poi agire di conseguenza sulle regole....
 ciao

DaNiMoTh · Messaggio da **DaNiMoTh** » gio 24 mar 2005, 12:05

Ma... in windows hai disattivato tutti i firewall, vero?
 
 
 ciao

Burroughs · Messaggio da **Burroughs** » gio 24 mar 2005, 18:55

Grazie, Strummer, ho risolto seguendo le tue indicazioni.
 Riguardo al fatto che la macchina Windows abbia un firewall, sì, ce l´ha e, dato il sistema operativo in questione, non lo disabilito.
 Mi limito soltanto (in Windows) ad abilitare il traffico sulla subnet 192.168.1.0, creando una zona di fiducia, ed evitandomi così problemi riguardo alla comunicazione fra gli host della LAN.
 Lo so che non è una saggia decisione, per via di possibili attacchi di spoofing, ma è il meglio che son riuscito a fare.
 Ciao e auguri a tutti di una serena Pasqua!
 
 Burroughs.

slack82 · Messaggio da **slack82** » mar 26 apr 2005, 15:07

salve nessuno mi sa dire come si disattivano le iptables con la slack? grazie

DaNiMoTh · Messaggio da **DaNiMoTh** » mar 26 apr 2005, 15:12

non ho capito

Puoi spiegarti meglio? Grazie

slack82 · Messaggio da **slack82** » mar 26 apr 2005, 17:06

le iptables di slack ce un comando per disabilitare tutte le regole del firewall di linux?

strummer · Messaggio da **strummer** » mer 27 apr 2005, 0:16

con iptables -F si puliscono le regole del firewall.
 le policy di default (iptables -P) rimarranno però come precedentemente dichiarato.

slack82 · Messaggio da **slack82** » ven 29 apr 2005, 9:55

ok grazie ho fatto e ho risolto ho trovato un tool che si chiama guarddog che fa ciò, ok ascolta in un qualche modo sono riuscito a far vedere la stampante, adesso ho un altro ciappino da risolvere, e cioè devo tirare su le macchine che non fanno parte del mio gruppo di lavoro e inserirle o nel mio dominiooppure tenendone traccia da qualche parte in modo che loro vedano la stampante e poi devo gestire tutta la faccenda degli utenti win2000.
 Ascolta cè una cosa che no nmi è chiara cosa me ne faccio di fare gli utenti Unix si samba?
 i miei utenti win2000 (una volta fatto ciò) devono potersi autenticare sul mio server samba e poi accedere alla stampante.
 Dimenticavo le Iptables le ho disabilitate al momento, poi bisdognerà impostare anche quelle per rendere + sicuro il server da accessi estranei o non importa?
 
 Spero di avere presto una risp