Forum Debian Users Gang

Tak czytałem o tym, że UFW zaśmieca reguły iptables -L, ale na desktopie powinien mi wystarczyć. Chce zablokować ten port na połączenia przychodzące i wychodzące, ponieważ on się łączy z moją przeglądarką. Port źródłowy – określa port aplikacji, z której wysłano dane. Port docelowy – określa port aplikacji, do której wysłano dane. Czyli jeżeli połączy się z moją przeglądarką, działa jednocześnie jako port źródłowy i docelowy?

A możesz polecić jakąś konfigurację lub poradnik do ustawienia iptables na laptopie? Ustawił bym input, forward, output na drop, a co mi jest potrzebne zezwoliłbym. Nie jest tego dużo jakieś porty do przeglądarek 80, 443, do menadżera pakietów, do PyCharm, Intellij, abym można było aktualizować te ide. Korzystam tylko z wifi i networkmanager. Usunąłbym ufw z systemu i wyczyścił konfigurację iptables -F ustawiając wszystko na nowo.
Taki przykładowy zestaw na desktop, ale wydaje mi się, że dużo wpisów z tego opisu jest mi niepotrzebne na laptopie, co mogę usunąć?

iptables -F
iptables -X

# te wpisy pominąłem raczej nie są mi potrzebne gdy korzystam z wifi i networkmanager?
# iptables -t nat -F
# iptables -t nat -X
# iptables -t mangle -F
# iptables -t mangle -X
iptables -P INPUT DROP 
iptables -P FORWARD DROP 
iptables -P OUTPUT ACCEPT 

#Blokuję nieprawidłowe pakiety 
iptables -A INPUT -p tcp -j DROP -m state --state INVALID 

#Dopuszczam ruch przychodzący 
iptables -A INPUT -p tcp --dport 80 -m limit --limit 5/s -j ACCEPT 
iptables -A INPUT -p tcp --dport 20 -m limit --limit 5/s -j ACCEPT 
iptables -A INPUT -p tcp --dport 21 -m limit --limit 5/s -j ACCEPT 
iptables -A INPUT -p udp --dport 20 -m limit --limit 5/s -j ACCEPT 
iptables -A INPUT -p udp --dport 21 -m limit --limit 5/s -j ACCEPT 


iptables -A INPUT -p tcp --dport 5001 -j ACCEPT 
iptables -A INPUT -p tcp --dport 5522 -m limit --limit 5/s -j ACCEPT 
iptables -A INPUT -p tcp --dport 50024 -j ACCEPT 
iptables -A INPUT -p udp --dport 50034 -j ACCEPT 
iptables -A INPUT -p tcp --dport 50040 -j ACCEPT 
iptables -A INPUT -p udp --dport 50041 -j ACCEPT 


#Dopuszczam ruch na DNSach 
iptables -A OUTPUT -p udp -o eth0 --dport 53 --sport 1024:65535 -j ACCEPT 
iptables -A INPUT -p udp -i eth0 --sport 53 --dport 1024:65535 -j ACCEPT 

#Dopuszczam powrót pinga 
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT 
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT 

#Dopuszczam do ruchu połączniua już nawiązane i powiązane 
iptables -A INPUT -m state --state RELATED -j ACCEPT 
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT 
iptables -A INPUT -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT 

#Dopuszczam ruch na interfejsie lokalnym 
iptables -A INPUT -s 127.0.0.1 -j ACCEPT 
iptables -A OUTPUT -d 127.0.0.1 -j ACCEPT

Ostatnio edytowany przez buster (2019-06-05 21:06:06)

Na przykład w ufw mam cały ruch przychodzący zablokowany, a odblokowany wychodzący. Otwarte dwa porty do przeglądarek w obie strony. Sądziłem że to polecenie zablokuje mi wychodzący port z przeglądarki.

ufw delete allow dany_port/tcp

Czy ono blokuje ruch wychodzący i przychodzący na danym porcie? Teraz doszedłem do wniosku, że to przeglądarka wysyła ruch na tym porcie, dlatego

ufw default deny incoming

Nie mogło go zablokować i netstat -tapen pokazuje mi cały czas nawiązane połączenie. Dzięki, nakierowałeś mnie na rozwiązanie, to UFW miało bug, dlatego nie blokowało mi tego portu. Na iptables jest wszystko w porządku. Czyli to polecenie

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

nawiązuje tylko połączenia wychodzące z mojej sieci/komputera. Używa modułu conntrack, który pozwala dopasowywać stany połączeń widziane przez mechanizm śledzenia conntrack. Możesz napisać coś więcej na czym to dokładnie polega? Dlaczego używasz nftables, w czym jest lepszy od iptables, jest szybszy, prostszy w konfiguracji? Czytałem że PF od OpenBSD jest też dobrą zaporą. Ale w czym jest dokładnie lepsza nie wiem, może chodzi o prostotę konfiguracji w stylu ufw?

Ostatnio edytowany przez buster (2019-06-05 21:09:27)

hi napisał(-a):

btw do którego jaja bangla iptables?

Wyjebongo, FW używam tylko na routerze :D