Forum Debian Users Gang

dzieki przetestuje,
czy przy tak skonfigurowanym iptables bede mogl pozniej zrobic tunelowanie w celu dostepu do mojego serwera (podsieci) z zewnatrz?

korzystam z
http://pl.wikipedia.org/wiki/Iptables

co w przypadku jezeli komputery w danej sieci dostaja dynamiczne IP, wiec serwer mojej podsieci tez takie dostanie. A co za tym idzie wydanie komendy:

iptables -A FORWARD -i eth0 -o ra0 -s 192.168.0.0/255.255.255.0 -d 0/0 -j ACCEPT

gdzie ra0 to IP zewnetrzny - mija sie z celem

dzieki działa, ustawiłem tak jak jest w artykułach


czyli moj plik firwall wyglada tak:

# wlaczenie w kernelu forwardowania
echo 1 > /proc/sys/net/ipv4/ip_forward
# czyszczenie starych regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
# ustawienie polityki dzialania
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# zezwolenie nna laczenie sie z naszym zewnetrznym ip po ssh

iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT

iptables -A INPUT -s 0/0 -d ip.ip.ip.ip -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -s 0/0 -d ip.ip.ip.ip -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 0/0 -d ip.ip.ip.ip -p udp --dport 22 -j ACCEPT
iptables -A OUTPUT -s 0/0 -d ip.ip.ip.ip -p udp --dport 22 -j ACCEPT
# polaczenia nawiazane
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
# udostepniaie internetu w sieci lokalnej
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT

przy czym lekko zmienilem punkt:

Zapisujemy plik. Zamiast ip.ip.ip.ip wpisujemy IP zewnętrzne naszego serwera.

tam gdzie jest ip.ip.ip.ip wstawilem wewnetrzne IP routera czyli 10.0.1.1, w przeciwnym razie porty 22, 80 byly zablokowane dla komputerow podlaczonych do switcha (eth1), a nie chce otwierać jakichkolwiek portów na zewnątrz stąd nie wpisałem nic z ACCEPT dotyczącego IP zewnetrznego (tego co ma eth0).

Jednak zauważyłem z innego komputera że mam otwarte zewnetrzne porty 80, 21 (jakim cudem?!!) oraz pinga. Być może dlatego że wcześniej próbowalem innych tutoriali.

Jak mam teraz zablokować zewnetrzne porty podczas gdy wstawka (o ftp) do firewalla nic nei daje:

iptables -A INPUT -s 0/0 -d IP_ZEWNETRZNE -p tcp --dport 21 -j DROP
iptables -A OUTPUT -s 0/0 -d IP_ZEWNETRZNE -p tcp --dport 21 -j DROP
iptables -A INPUT -s 0/0 -d IP_ZEWNETRZNE -p udp --dport 21 -j DROP
iptables -A OUTPUT -s 0/0 -d IP_ZEWNETRZNE -p udp --dport 21 -j DROP

co gorsze po odinstalowaniu serwera ftp, caly czas jest ten port widoczny jako otwarty?!

prosze o pomoc

dzieki za odpowiedz, faktycznie to będzie to..

tak zgadza sie skanowalem porty jakims windowym programem i wyszly otwarte ping i ftp

jeszcze jedna rzecz mnie dziwi:
jakim cudem mialem otwarty port 21 skoro nie ma nic o nim w pliku firewall??

a z pingiem to sa zwiazane te linijki bodajze

iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT

wiec tego nie otwierac?

zanim skonfigurowalem iptables za pomoca artykulu
http://dug.net.pl/texty/masq.php

to przeszedlem konfiguracje z
http://pl.wikipedia.org/wiki/Iptables
gdzie kilka polecen spowodowalo otworzenie portu 21 oraz pinga ze świata na router...
Teraz mam problem bo nie moge portu 21 zablokowac np poleceniem
iptables -A INPUT -s 0/0 -d IPZEWNETRZNE -p tcp --dport 21 -j DROP
iptables -A OUTPUT -s 0/0 -d IPZEWNETRZNE -p tcp --dport 21 -j DROP
iptables -A INPUT -s 0/0 -d IPZEWNETRZNE -p udp --dport 21 -j DROP
iptables -A OUTPUT -s 0/0 -d IPZEWNETRZNE -p udp --dport 21 -j DROP


Mam wrazenie ze jezeli NIE otworzylem ftp poleceniem
iptables -A INPUT -s 0/0 -d IPZEWNETRZNE -p tcp --dport 21 -j ACCEPT
tylko tym:
iptables -A INPUT -i eth0 -p tcp -m state --state NEW -d 192.168.0.1 --dport 21 -j ACCEPT

to nie moge zamnkac  tez i tym:
iptables -A INPUT -s 0/0 -d IPZEWNETRZNE -p tcp --dport 21 -j DROP

dalej nie wiem jak zamknąć port 21...

rozwiązałem problem i dziękuje za pomoc :]