Forum Debian Users Gang

Commit jest.
Nie przekleił się. ;)

Potrzeba było jeszcze:

apt-get install xtables-addons-dkms

Teraz mam

iptables -t raw -S
-P PREROUTING ACCEPT
-P OUTPUT ACCEPT
-A PREROUTING -p tcp -m set --match-set whitelist src -j ACCEPT
-A PREROUTING -p tcp -m multiport ! --sports 80,443 -m set --match-set bt_level1 src -j STEAL
-A PREROUTING -m set --match-set bt_spyware src -j STEAL
-A PREROUTING -m set --match-set bt_webexploit src -j STEAL
-A OUTPUT -p tcp -m set --match-set whitelist dst -j ACCEPT
-A OUTPUT -p tcp -m multiport ! --dports 80,443 -m set --match-set bt_level1 dst -j STEAL
-A OUTPUT -m set --match-set bt_spyware dst -j STEAL
-A OUTPUT -m set --match-set bt_webexploit dst -j STEAL

iptables -t filter -S
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i tun0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
-A OUTPUT -m state --state INVALID -j DROP

Czyli tablica filter się nie dodała?

Chain PREROUTING (policy ACCEPT 529K packets, 725M bytes)
pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     tcp  —  *      *       0.0.0.0/0            0.0.0.0/0            match-set whitelist src
    9   432 STEAL      tcp  —  *      *       0.0.0.0/0            0.0.0.0/0            multiport sports  !80,443 match-set bt_level1 src
    9  1494 STEAL      all  —  *      *       0.0.0.0/0            0.0.0.0/0            match-set bt_spyware src
    0     0 STEAL      all  —  *      *       0.0.0.0/0            0.0.0.0/0            match-set bt_webexploit src

Chain OUTPUT (policy ACCEPT 307K packets, 36M bytes)
pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     tcp  —  *      *       0.0.0.0/0            0.0.0.0/0            match-set whitelist dst
   24  1440 STEAL      tcp  —  *      *       0.0.0.0/0            0.0.0.0/0            multiport dports  !80,443 match-set bt_level1 dst
    0     0 STEAL      all  —  *      *       0.0.0.0/0            0.0.0.0/0            match-set bt_spyware dst
    0     0 STEAL      all  —  *      *       0.0.0.0/0            0.0.0.0/0            match-set bt_webexploit dst

Coś tam lata do tego celu STEAL. Dlaczego w liście bt_level1 są tylko tcp? Nie powinno być all?

To, ze udp jest wiecej mnie nie dziwi.
Dlaczego masz:

-A INPUT -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
-A INPUT -j REJECT --reject-with icmp-proto-unreachable

zamiast -j DROP
?

Mi się wydaję, że lepiej, żeby komputer był niewidoczny, ;)

Trochę inna sprawa z tym drop. Próbowałeś kiedyś skanować swój komputer? Przy reject odpowiadasz, że "nie". Przy drop nie odpowiadasz nic.(o ile dobrze pamiętam)
Zmieniłem sobie na DROP i różnicy nie widzę. Możesz napisać, co pogarsza zmiana REJECT na DROP?

Cel STEAL tak jak i DROP blokuje wszystko.
Wszystko na ten temat jest w manie i helpach.
REJECT odbija pakiet syn z komunikatem ICMP o błędzie, przy czym opcja tcp-reset działa tylko dla połączenia tcp, przy ustawieniu na udp wywali bląd.

Poza tym, jak ktoś tego nie rozumie, to ustawić reguły dla adresu   np 127.0.15.14 i skanować ten adres przy pomocy nmapa przy rożnych typach ustawień fw.

Albo postawić WM na vboxie czy kvm i testować komunikację po tap lub vboxnet między dwoma systemami.

Tablica raw ogarnia pakiety zanim zacznie je śledzić mechanizm conntrack.
Dlatego ma tylko dwa  łańcuchy, PREROUTING i OUTPUT.

Przykład testowania modułów xtables:

-A INPUT -d 127.0.2.1/32 -i lo -p udp -j REJECT --reject-with icmp-host-unreachable
-A INPUT -d 127.0.2.1/32 -i lo -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -d 127.0.2.2/32 -i lo   -j CHAOS --delude
-A INPUT -d 127.0.2.3/32 -i lo   -j CHAOS --tarpit
-A INPUT -d 127.0.2.4/32 -i lo -j STEAL
-A INPUT -d 127.0.2.5/32 -i lo -p tcp -j DELUDE
-A INPUT -d 127.0.2.6/32 -i lo -j DROP
-A INPUT -d 127.0.2.7/32 -i lo -p tcp -j TARPIT --tarpit 
-A INPUT -d 127.0.2.8/32 -i lo -p tcp -j TARPIT --honeypot 
-A INPUT -d 127.0.2.9/32 -i lo -p tcp -j TARPIT --reset 
-A INPUT ! -d 127.0.2.0/24 -i lo -j ACCEPT

Najweselsze wyniki nmap pokazuje przy DELUDE albo CHAOS --delude.

Ostatnio edytowany przez Jacekalex (2014-03-12 13:28:38)

Ja tam sobie testowałem to z all i nic się nie dzieje, także pewnie można bez problemu ustawić.

A jaki update?

Co do systemd -- to nie mam go i raczej nie prędko będę miał, także nic nie napiszę w tej sprawie.

Trochę inna sprawa z tym drop. Próbowałeś kiedyś skanować swój komputer? Przy reject odpowiadasz, że "nie". Przy drop nie odpowiadasz nic.(o ile dobrze pamiętam)
Zmieniłem sobie na DROP i różnicy nie widzę. Możesz napisać, co pogarsza zmiana REJECT na DROP?

Tak sobie czytam na sieci i znalazłem całkiem miłe wyjaśnienie:

Upewniłem się, że mój firewall blokuje dostęp do serwera MySQL, ale nie za bardzo pasuje mi to, że nmap przez proste skanowanie portów jest w stanie powiedzieć, że na moim serwerze teoretycznie zainstalowany jest serwer MySQL. Jak to jest możliwe? Odpowiedź tkwi w sposobie, w jaki firewall odpowiada na żądanie połączenia. Jeśli reguła łańcucha trafia w sposób postępowania typu DROP – przychodzący pakiet po prostu jest ignorowany. Jest to zupełnie inny sposób niż ten, który wykonywany jest przez system operacyjny, gdy żadna aplikacja nie nasłuchuje na danym porcie – wówczas system odpowiada na żądanie pakietem TCP RST. Dlatego dość sprytny skaner portów jest w stanie odróżnić, który port jest nieużywany, a który zwyczajnie filtrowany. Jeśli chcemy, aby nasz firewall zachował się identycznie jak system operacyjny wystarczy w/w regułę zastąpić następującym wpisem:
1
   
iptables -A INPUT -p tcp --dport 3306 ! -s 127.0.0.1 -j REJECT --reject-with tcp-reset

http://nfsec.pl/security/5607

Ten STEAL target został już porzucony jakiś czas temu — http://sourceforge.net/p/xtables-addons/xtables-add … c3bfc8926c7f/

Jak myślicie, na Dugu jest Mysql?

Ja wiem ze tu jest mysql, już tyle razy się wysypał i wywalił mi błęda o zbyt dużej liczbie połączeń, że się zastanawiam czy to ja może coś tu psuje. xD

Ok.
ale jak te rozważania mają się do desktopu na którym nie ma żadnych usług uruchmionych?