Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2008-11-27 01:55:39
tmq - Użytkownik
- tmq
- Użytkownik
- Zarejestrowany: 2008-11-25
iptables firewall - co o tym myślicie?
Moja sieć:
Router LINKSYS AG241V2 <-------->eth0-serwer-eth1<-------->Switch 8p<----->AP
eth0 WAN - IP 10.0.0.254
eth1 LAN - IP 192.168.1.254
klientów: około 20 userów
Kod:
# wlaczenie w kernelu forwardowania echo 1 > /proc/sys/net/ipv4/ip_forward # czyszczenie starych regul iptables -F iptables -X iptables -t nat -X iptables -t nat -F # ustawienie polityki dzialania iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT # zezwolenie na laczenie sie z naszym zewnetrznym ip po ssh iptables -A INPUT -i lo -j ACCEPT iptables -A FORWARD -o lo -j ACCEPT iptables -A INPUT -s 0/0 -d 10.0.0.254 -p tcp --dport 22 -j ACCEPT iptables -A OUTPUT -s 0/0 -d 10.0.0.254 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -s 0/0 -d 10.0.0.254 -p udp --dport 22 -j ACCEPT iptables -A OUTPUT -s 0/0 -d 10.0.0.254 -p udp --dport 22 -j ACCEPT # polaczenia nawiazane iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED # udostepniaie internetu w sieci lokalnej iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT #wpuszczamy ftp iptables -A INPUT -i eth0 -p tcp --dport 20:21 -j ACCEPT iptables -A INPUT -i eth1 -p tcp --dport 20:21 -j ACCEPT #akceptujemy pingi z zewnatrz iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT #pozwalamy pingowac siebie iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT #pozwalamy pingowac hostom z LAN iptables -A FORWARD -p icmp --icmp-type echo-request -j ACCEPT iptables -A FORWARD -p icmp --icmp-type echo-reply -j ACCEPT #blokujemy wirusy iptables -A INPUT -p tcp --dport 135 -j DROP iptables -A OUTPUT -p tcp --dport 135 -j DROP iptables -A FORWARD -p tcp --dport 135 -j DROP iptables -A INPUT -p udp --dport 135 -j DROP iptables -A OUTPUT -p udp --dport 135 -j DROP iptables -A FORWARD -p udp --dport 135 -j DROP iptables -A INPUT -p tcp --dport 137 -j DROP iptables -A OUTPUT -p tcp --dport 137 -j DROP iptables -A FORWARD -p tcp --dport 137 -j DROP iptables -A INPUT -p udp --dport 137 -j DROP iptables -A OUTPUT -p udp --dport 137 -j DROP iptables -A FORWARD -p udp --dport 137 -j DROP iptables -A INPUT -p tcp --dport 138 -j DROP iptables -A OUTPUT -p tcp --dport 138 -j DROP iptables -A FORWARD -p tcp --dport 138 -j DROP iptables -A INPUT -p udp --dport 138 -j DROP iptables -A OUTPUT -p udp --dport 138 -j DROP iptables -A FORWARD -p udp --dport 138 -j DROP iptables -A INPUT -p tcp --dport 445 -j DROP iptables -A OUTPUT -p tcp --dport 445 -j DROP iptables -A FORWARD -p tcp --dport 445 -j DROP iptables -A INPUT -p udp --dport 445 -j DROP iptables -A OUTPUT -p udp --dport 445 -j DROP iptables -A FORWARD -p udp --dport 445 -j DROP iptables -A INPUT -p tcp --dport 1080 -j DROP iptables -A OUTPUT -p tcp --dport 1080 -j DROP iptables -A FORWARD -p tcp --dport 1080 -j DROP iptables -A INPUT -p udp --dport 1080 -j DROP iptables -A OUTPUT -p udp --dport 1080 -j DROP iptables -A FORWARD -p udp --dport 1080 -j DROP #koniec!!!
Czy macie jakieś sugestie, co dodać, co usunąć?
PS. Czytałem ostatnio o regułkach iptables, które odciążają ROUTER (tak jak w tym wypadku)
ilość połączeń potrafi mi go zwiesić, mogę to jakoś w tym firewallu ograniczyć?
Jest również problem z wejściem ssh od LAN, ale myślę, że z tym sobie jakoś poradzę
Proszę o wyrozumiałość, dopiero zaczynam przygodę z Linuxem
Offline
#2 2008-11-27 07:15:15
djjanek - 
Użytkownik
Re: iptables firewall - co o tym myślicie?
Skoro masz
Kod:
# ustawienie polityki dzialania iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT
to po co wpisujesz:
Kod:
#blokujemy wirusy iptables -A INPUT -p tcp --dport 135 -j DROP iptables -A OUTPUT -p tcp --dport 135 -j DROP iptables -A FORWARD -p tcp --dport 135 -j DROP iptables -A INPUT -p udp --dport 135 -j DROP iptables -A OUTPUT -p udp --dport 135 -j DROP iptables -A FORWARD -p udp --dport 135 -j DROP iptables -A INPUT -p tcp --dport 137 -j DROP iptables -A OUTPUT -p tcp --dport 137 -j DROP iptables -A FORWARD -p tcp --dport 137 -j DROP iptables -A INPUT -p udp --dport 137 -j DROP iptables -A OUTPUT -p udp --dport 137 -j DROP iptables -A FORWARD -p udp --dport 137 -j DROP iptables -A INPUT -p tcp --dport 138 -j DROP iptables -A OUTPUT -p tcp --dport 138 -j DROP iptables -A FORWARD -p tcp --dport 138 -j DROP iptables -A INPUT -p udp --dport 138 -j DROP iptables -A OUTPUT -p udp --dport 138 -j DROP iptables -A FORWARD -p udp --dport 138 -j DROP iptables -A INPUT -p tcp --dport 445 -j DROP iptables -A OUTPUT -p tcp --dport 445 -j DROP iptables -A FORWARD -p tcp --dport 445 -j DROP iptables -A INPUT -p udp --dport 445 -j DROP iptables -A OUTPUT -p udp --dport 445 -j DROP iptables -A FORWARD -p udp --dport 445 -j DROP iptables -A INPUT -p tcp --dport 1080 -j DROP iptables -A OUTPUT -p tcp --dport 1080 -j DROP iptables -A FORWARD -p tcp --dport 1080 -j DROP iptables -A INPUT -p udp --dport 1080 -j DROP iptables -A OUTPUT -p udp --dport 1080 -j DROP iptables -A FORWARD -p udp --dport 1080 -j DROP
Pierwsza regułki mówią że wszytko domyślnie blokuj (oprócz pakietów wyjściowych) a następnie na końcu blokujesz porty.
Offline