Linux και firewall (iptables)

[Vaguras]

Παιδιά καλησπέρα. Επειδή είχα μέρες να σας πρήξω είπα να ποστάρω τις νέες μου απορίες γύρω από το Linux. Αυτή τη φορά αφορούν το firewall στο Linux. Έκανα search στο forum βρήκα ένα πολύ καλό thread με ένα τεράστιο script του Maniakou και κάποιες αναφορές στο shorewall που το έχω κατεβάσει. Διάβασα τα howtos του http://www.netfilter.org που ομολογουμένως ήταν διαφωτιστικά αλλά και ένα πολύ καλό howto για τα iptables από http://iptables-tutorial.frozentux.net/iptables-tutorial.html

που μου έλυσε πολλές απορίες στο script του Maniakou.

Χρησιμοποιώ το slack 9.1 και σκέφτομαι να φορτώσω iptables για να μπαίνω ασφαλέστερα στο net. Επειδή όμως μπαίνω με dial-up οπότε και dynamic ip τι ρυθμίσεις πρέπει να κάνω στα παραδείγματα scripts του φίλου Maniakou ή σε αυτά που εμπεριέχονται στα howtos ώστε να μην ρυθμίζω κάθε φορά που μπαίνω το iptables (δηλαδή την νέα ip) ;;;

 

Επίσης με ένα φίλο μου στήσαμε σπίτι του ένα ψιλοδίκτυο με server linux (Ethernet hub) όπου εντός των ημερών θα προστεθεί μια dsl. Τα συγκεκριμένα scripts αρκούν για firewalls σε αυτό το δίκτυο;

Αν ναι πώς να τα συνδυάσω με το ip masquerade για να έχω και internet sharing στα άλλα μηχανήματα (που τρέχουν winxp);;;;

Σημειωτέον ότι ήδη έχω διαβάσει τα ανάλογα howtos (masquerade, dsl) απλά ζητάω τη συμβουλή σας για κάποια σημεία που θα πρέπει να προσέξω.

Ελπίζω να μην σας κούρασα…

[Maniakos]

To script που είχα κάνει post είναι απλά μια πολύ καλή βάση. Απο εκεί και πέρα δεν σημαίνει ότι δεν πρέπει να ασχοληθείς με αυτό για να το προσαρμόσεις. Δεν χρειάζεται να σε απασχολεί η IP , μπορείς να παίξεις με hosts ή και με interfaces , δηλαδή αντί για την dynamic IP σου απλά βάζεις ppp0 ή eth0. To netfilter στο slack 9.1 είναι ήδη εγκατεστημένο οπότε δεν χρειάζεται να ανησυχείς για αυτό.

[Vaguras]

Εντάξει φίλε μου αλλά απ'ότι κατάλαβα δεν αρκεί να αλλάξω τα destinations IP_ADDRESS με INTERFACES στα rulesets. Μαλλον θα πρέπει να τα γράψω από την αρχή.

Αλλάζω λίγο πορεία και ρωτώ:

Ποιες θεωρόυνται ποιο σημαντικές και επικίνδυνες ports για να κλείσω με τα iptables;. Το /etc/services file της iana.org με μπέρδεψε παρά με βοήθησε

[apoikos]

Γενικά έχει υπ' όψιν σου ότι στο καλό firewall δεν κλείνεις τις επικίνδυνες θύρες, αλλά αφήνεις ανοιχτές τις ακίνδυνες (δεν ξέρω αν καταλαβαίνεις τη διαφορά).

Βασικά για home use στο 99% των περιπτώσεων είσαι καλυμμένος με τα εξής:

iptables -F

iptables -P INPUT DROP

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp --dport η-θύρα-του-p2p-προγράμματος-που-χρησιμοποιείς -j ACCEPT

iptables -A INPUT -p udp --dport η-θύρα-του-p2p-προγράμματος-που-χρησιμοποιείς -j ACCEPT

iptables -A INPUT -p tcp --sport 20 -j ACCEPT

iptables -A INPUT -p udp --sport 20 -j ACCEPT (για active mode σε ftp)

 

Κατ' αυτόν τον τρόπο δε φαίνονται τα services σου απ' έξω και δέχεσαι εισερχόμενα πακέτα σχετικά μόνο με τις συνδέσεις που εσύ έχεις κάνει προς τα έξω. Γρήγορο και ασφαλές.

[Vaguras]

Το πιασα το νόημα φίλε apoikos και την κατάλαβα τη διαφορά εξάλλου έτσι γλιτώνεις κόπο και χρόνο...