Изпечатай

[phantomlord]

Цитат

Искам да си настроя някакъв прост firewall

Ами виж Firestarter.

[NaDa]

http://www.shorewall.net/

[anakinn]

vlad73:
Това не можах да разбера как да го добавя в iptables.
Иначе го прочетох.
Клиента няма firewall. От моя Уиндоус, от друг и от още едно fbsd съм пробвал. Уиндоусите нямат файруол. Машините са от локалната мрежа, в която е и въпросния линукс генту.

Иначе firewall-a заприлича на това

#!bin/sh
ipt=/sbin/iptables
$ipt -F
$ipt -X
$ipt -t nat -X
$ipt -t nat -F
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
$ipt -t mangle -X
$ipt -t mangle -F
$ipt -P INPUT DROP
$ipt -P OUTPUT ACCEPT
$ipt -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$ipt -A INPUT -i lo -j ACCEPT
$ipt -A INPUT -p tcp -s 192.168.1.200 --dport 22 -j ACCEPT
$ipt -A INPUT -p tcp -s 192.168.1.200 --dport 2221 -j ACCEPT
$ipt -A INPUT -p tcp -s 192.168.1.12 --dport 2221 -j ACCEPT
$ipt -A INPUT -p tcp  --dport 443 -j ACCEPT
$ipt -A INPUT -p tcp  --dport 80 -j ACCEPT
$ipt -A INPUT -p tcp  -s localhost -j ACCEPT


10x to dr-who  

[vlad73]

ами гледам, че става така:

iptables -A INPUT -m helper --helper ftp-2221

но резултата ми е неизвестен '>

никаква промяна ли не настъпи с "modprobe ip_conntrack_ftp"?

[anakinn]

Значи пробвах с
ptables -A INPUT -m helper --helper ftp-2221
после с
ptables -A INPUT -m helper --helper ftp-2221 -j ACCEPT
но пак се достига до същото положение.

Този модул трябва от кернела да го добавя нали?
Къде по-точно мога да го намеря?

От ситуацията която виждам момчета правите странни работи които са излишни, във firewall-a се описва порт-а на който слуща ftp-to и няма нищо общо това на кой порт прави data-connection-a  другия комютър от който се закачате, проблема е във фтп сървърите ви, а не във firewall-a

Поздрави dr-who

с този firewall който си дал ти anakinn, ти е разрешен порт 2221
ако фтп-то слуша и работи без проблем на този порт, ип-тата:
192.168.1.200 и 1.12 както и локалхоста ти нямат проблем да влизат и да ползват фтп-то. Проблема ти е във фтп даемона, ако не можеш и локално да го ползваш. помисли вариантите за сменяне на даемона с друг такъв

$ipt -P INPUT DROP
$ipt -A INPUT -i lo -j ACCEPT
$ipt -A INPUT -p tcp -s 127.0.0.1 -j ACCEPT - излишно в случая

-----

DROP       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:21
ACCEPT     tcp  --  127.0.0.1            0.0.0.0/0
ACCEPT     all  --  192.168.0.0/24       0.0.0.0/0

-----

root@mail:~# ftp localhost
Connected to localhost.
220 mail.knackery.net NcFTPd Server (licensed copy) ready.
Name (localhost:antov):

-----

root@mail:~# ftp mail.knackery.net
Connected to mail.knackery.net.
220 mail.knackery.net NcFTPd Server (licensed copy) ready.
Name (mail.knackery.net:antov):

-----

Поздрави dr-who

[zeridon]

Така пичове всички изтървахте един много тънък момент  ftp клиента минава във passive пасивните портове са съвсем други и те трябва да са отворени на firewall-а

Виж кои са портовете които са описани за passive mode и ги отвори.

[anakinn]

zeridon:
кои портове да гледам - тези в netstat на линукса или тези, които виждам от фтп клиента (например FileZilla например - 33325,33327,33329)

В netstat виждам това
tcp        0      0 192.168.1.99:2221       192.168.1.200:2802      TIME_WAIT
tcp        0      0 192.168.1.99:5995       192.168.1.200:2803      ESTABLISHED
tcp        1      0 192.168.1.99:2221       192.168.1.200:2794      CLOSE_WAIT

[anakinn]

Най-накрая '>
в proftpd.conf
PassivePorts    2222 2222

и още нещо ако може да питам...
като пусна nmap -v -A -T4 -P0 -p1-60000 192.168.1.99
открива само 443 порт - което е хубаво, но показва много детайли за кернела и ОС-а. Това с iptables ли се скрива или нещо в kernela?

Всичко върви чудесно '>
Много Благодаря на всички, които помогнаха !!!

Не знам дали ще можеш да скриеш нещо, но може поне да затрудниш нещата с iptables - направи си port-scan защита - примерно с PSD пача на POM, или добави правила за SYN, FIN, RST port-scan чрез ограничаване на тези пакети с --limit match-a

[anakinn]

Нещо от типа на iptables -A INPUT -p -tcp-flags SYN,FIN RST -j DROP (или REJECT)

Обаче си помислих че е добра идея сървъра да "работи"
Т.е. Например ако има проблем с него, как мога да разбера дали е пуснат - най-лесно с пинг '>

Не е лесна работа това

[VladSun]

http://www.linux-bg.org/cgi-bin....а+стена