Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.

#1  2006-04-04 10:06:54

  Preibx - Użytkownik

Preibx
Użytkownik
Zarejestrowany: 2006-03-12

Iptables - ocena

Witam.
Wracam do tematu mojego firewalla. Debian Sarge 3.1 jądro 2.8.2
Oto początkowe założenia jakie chce spełnić mam nadzieje z Waszą pomocą
1)    maksimum bezpieczeństwa
2)    maksimum prostoty
3)    absolutnie konieczne komendy
4)    firewall stoi na stałym IP (serwer)
Co ma robić na początek firewall:
a)    chronić całą sieć lokalną
b)    chronić dostęp do serwera
c)    na serwerze są zasoby samba z których mają korzystać komputery w sieci lokalnej
d)    udostępniać Internet w sieci lokalnej (www, ftp, smtp, pop3)
I to na razie wszystko.
Proszę sprawdzić moją konfigurację i ocenić. Z góry bardzo dziękuje za wszystkie konstruktywne porady.



Kod:

#!/bin/sh

# wlaczenie w kernel'u forwardowania
echo 1 > /proc/sys/net/ipv4/ip_forward

# czyszczenie starych reguł
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F

# ustawienie polityki dzialania
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT

# puszczamy PING
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# polaczenia nawiazane
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED

# udostepniaie internetu w sieci lokalnej
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j MASQUERADE
iptables -A FORWARD -s 192.168.2.0/24 -j ACCEPT

# udostępnienie SAMBY w sieci lokalnej

iptables -A INPUT -s 192.168.2.0/24 -p udp --dport 137 -m state --state NEW -j ACCEPT
iptables -A INPUT -s 192.168.2.0/24 -p udp --dport 138 -m state --state NEW -j ACCEPT
iptables -A INPUT -s 192.168.2.0/24 -p tcp --dport 139 -m state --state NEW -j ACCEPT
iptables -A INPUT -s 192.168.2.0/24 -p tcp --dport 445 -m state --state NEW -j ACCEPT

Offline

 

#2  2006-04-04 10:40:38

  ba10 - Członek DUG

ba10
Członek DUG
Skąd: jesteś ?
Zarejestrowany: 2006-03-07
Serwis

Re: Iptables - ocena

Co do bezpieczeństwa to np. :

Kod:

#blokada ipspoofing
echo "1" >/proc/sys/net/ipv4//conf/all/rp_filter
#ochrona przed atakami syn cokkies
echo "1" >/proc/sys/net/ipv4/tcp_syncookies
#brak reakcji na fałszywe komunikaty o błedach
echo "1" >/proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
#ochrona przed atakami smurf
echo "1" >/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

"Jeżeli chcesz się nauczyć Linuksa, to pierwsze co musisz zrobić to odrzucić wszelkie przyzwyczajenia wyniesione z poprzedniego systemu. Twoja wiedza jest o tyle zgubna, że daje Ci poczucie że coś jednak wiesz — jednak w kontekście Linuksa prawdopodobnie nie wiesz jeszcze nic." Minio
Mój Blog, a później Tańczymy ;)

Offline

 

#3  2006-04-04 15:07:38

  Preibx - Użytkownik

Preibx
Użytkownik
Zarejestrowany: 2006-03-12

Re: Iptables - ocena

Dziękuje. Za rady. Czy coś można jeszcze uprościć w tym firewallu??

Offline

 

#4  2006-04-04 20:36:13

  BiExi - matka przelozona

BiExi
matka przelozona
Skąd: Gorlice
Zarejestrowany: 2004-04-16
Serwis

Re: Iptables - ocena

nie tego nie da sie juz bardziej uproscic

Offline

 

#5  2006-04-04 20:47:22

  korbol - Członek DUG

korbol
Członek DUG
Zarejestrowany: 2005-04-29

Re: Iptables - ocena

A FORWARD'a nie moznaby wywalić i domyslnie bylby n a ACCEPT.
Pytam z ciekawości.


Pozdrawiam

Offline

 

#6  2006-04-04 20:48:35

  BiExi - matka przelozona

BiExi
matka przelozona
Skąd: Gorlice
Zarejestrowany: 2004-04-16
Serwis

Re: Iptables - ocena

no niby mozna ale po co?

Offline

 

#7  2006-04-04 20:53:08

  pekape - Użytkownik

pekape
Użytkownik
Zarejestrowany: 2005-08-06

Re: Iptables - ocena

Czy zalecacie coś jeszcze do uruchomienia przy ładowaniu Firewalla?


MOJA STRONA PRYWATNA
www.danielkrol.eu
NAJLEPSZY HOSTING JAKI ZNALAZŁEM
http://www.netmark.pl/panel/aff.php?aff=047

Offline

 

#8  2006-04-04 20:54:53

  BiExi - matka przelozona

BiExi
matka przelozona
Skąd: Gorlice
Zarejestrowany: 2004-04-16
Serwis

Re: Iptables - ocena

narazie nie to Ci powinnowystarczyc

Offline

 

#9  2006-04-05 06:18:14

  pekape - Użytkownik

pekape
Użytkownik
Zarejestrowany: 2005-08-06

Re: Iptables - ocena

Dzięki dobrodziejko :)


MOJA STRONA PRYWATNA
www.danielkrol.eu
NAJLEPSZY HOSTING JAKI ZNALAZŁEM
http://www.netmark.pl/panel/aff.php?aff=047

Offline

 

#10  2006-04-18 11:39:29

  oress - Użytkownik

oress
Użytkownik
Skąd: Opole
Zarejestrowany: 2004-09-06

Re: Iptables - ocena

co do pinga to lepiej bedzie tak:

Kod:

iptables -A INPUT -p icmp -s 0/0 -m limit --limit 3/s --limit-burst 4 -j ACCEPT

Linux register user: #369347
http://img.uptime-project.net/img/12/95717.png http://img.uptime-project.net/img/2/53561.png

Offline

 

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
To nie jest tylko forum, to nasza mała ojczyzna ;-)