Forum Debian Users Gang

Tego skrypta możesz sobie w buty wsadzić.
Domyślna polityka INPUT na ACCPET, tony reguł choooj wie do czego,
krótko pisząc, "porady z ubuntuforums" :D
Jeżeli autor tego skrypta jeszcze nie siedzi w psychiatryku, to się jego pytaj, co tam wyrzeźbił.


Jeśli to desktop:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables  -A INPUT  -i lo -j ACCEPT
iptables  -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

to jest pełnowartościowy firewall z kontrolą stanu pakietu.

Jeśli to serwer, to zajrzyj tu:
http://pl.wikibooks.org/wiki/Sieci_w_Linuksie/Netfilter

Jak koniecznie chcesz przepis w typie *buntu, to tutaj też jest:
http://ubuntu.pl/forum/viewtopic.php?t=103825

Przy okazji, jak chcesz otworzyć jakiś port na taką czy inną usługę sieciową (dostępny z netu), to zainteresuj się modułami limit, hashlimit, connlimit, to do ochrony przed atakami dos,ddos, i podobnymi.

Tuning ustawień sieciowych kernela mam od bardzo dawna zrobiony tak:

for i in /proc/sys/net/ipv4/conf/*/rp_filter ; do  echo 2 > $i ;  done;
/bin/echo 1 > /proc/sys/net/ipv4/ip_forward
/bin/echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
/bin/echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
/bin/echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
/bin/echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
/bin/echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
/bin/echo 1 > /proc/sys/net/ipv4/tcp_syncookies
/bin/echo 1 > /proc/sys/net/ipv4/conf/all/arp_filter
/bin/echo "18192" > /proc/sys/net/ipv4/route/max_size

SOA#1

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-04-19 14:22:02)

Jacekalex -- mógłbyś napisać coś więcej o tym tuningu kernelowym, co konkretnie robią te opcje i czemu  ustawić je, tak jak je ustawiłeś?

A nie mógłbyś po prostu w paru zdaniach napisać? xD Jeden link nie działa, ten z pdf, ten drugi nie potrafi kodowania ustawić i się tego czytać z deka nie da. xD

morfik napisał(-a):

A nie mógłbyś po prostu w paru zdaniach napisać? xD Jeden link nie działa, ten z pdf, ten drugi nie potrafi kodowania ustawić i się tego czytać z deka nie da. xD

Faktycznie, Google jeszcze widzi dokument, a link wygasł (dokument.pdf)
Zapasowy masz tutaj (z domowych zapasów ;) )
http://jacekalex.sh.dug.net.pl/2.4routing.pdf

Kodowanie na stronie?
Taki z Ciebie "hakier", a nie potrafisz przestawić kodowania w przeglądarce na iso-8859-2?
W Firerfoxie to jest =>Widok=>Zestaw znaków=>Środkowoeuropejski (ISO)....  - trudne?

W kilku zdaniach opisać setkę parametrów sieciowych kernela?
Wszystkich, do ipv4, ipv6?

Dokumentacja kernela gryzie?

Jeśli chcesz moich wyjąsnień, to nie uczyłem się tego na pamięć, sam w razie czego patrzę do oficjalnej dokumentacji.
W /etc/sysctl.conf mam jeszcze tonę rożnych ustawień robionych metodą prób i błędów, aż w miarę dobrze  zaczęło chodzić to przeklęte PPPoE, na które się przeprowadził mój ISP.

Wygląda to tak:

net.ipv4.ip_forward = 1
net.ipv4.ip_dynaddr = 1
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
net.ipv4.conf.all.arp_ignore = 1
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.tcp_window_scaling = 1
net.ipv4.ip_default_ttl = 128
net.ipv4.tcp_tw_recycle=1
net.ipv4.tcp_tw_reuse=1
net.ipv4.tcp_syncookies = 1
net.netfilter.nf_conntrack_tcp_timeout_established = 1800
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 1
net.ipv4.conf.default.secure_redirects = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.ip_local_port_range = 32768 61569
net.ipv4.conf.net.arp_ignore = 0
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0
net.ipv6.conf.lo.disable_ipv6 = 0
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.tcp_syncookies = 1
net.ipv4.neigh.default.base_reachable_time = 86400
net.ipv4.neigh.default.gc_stale_time = 86400
net.ipv4.tcp_no_metrics_save = 1
net.ipv4.tcp_moderate_rcvbuf = 1
net.core.netdev_max_backlog = 2500
net.core.rmem_default = 524288
net.core.wmem_default = 524288
net.ipv4.tcp_wmem = 4096 87380 524288
net.ipv4.tcp_rmem = 4096 87380 524288
net.ipv4.tcp_mem = 524288 524288 524288
net.core.rmem_max = 524288
net.core.wmem_max = 524288
net.ipv4.neigh.default.gc_thresh1 = 4096
net.ipv4.neigh.default.gc_thresh2 = 8192
net.ipv4.neigh.default.gc_thresh3 = 16384
net.ipv4.tcp_rfc1337 = 1
net.ipv4.ip_no_pmtu_disc = 0
net.ipv4.tcp_sack = 1
net.ipv4.tcp_fack = 1
net.ipv4.tcp_window_scaling = 1
net.ipv4.tcp_timestamps = 1
net.ipv4.tcp_ecn = 0

I też nie pamiętam dokładnie, co jest do czego, od tego jest dokumentacja, żeby do niej zaglądać.
Zwłaszcza, że w miarę rozwoju kernela różne nowe opcje się pojawiają, a niektóre starsze wylatują od czasu do czasu.
Teraz cały podsystem sieciowy ma być spakowany do postaci wirtualnej maszyny, to się wiąże z zmianą iptables => nftables,
także się szykuje gruntowna rewolucja w ustawieniach kernela.

O całym podsystemie sieciowym Linuxa można by książki pisać, a nie w kilku zdaniach.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2014-04-20 08:13:24)

Serwus. Jacku dostrzegłem, że do pliku /etc/sysctl.conf, masz dodaną dwukrotnie opcję net.ipv4.tcp_syncookies. Przepraszam za małe odejście od głównego tematu.

A co sądzicie o ustawieniu z tej strony, https://wiki.debian.org/iptables ?

*filter

# Allows all loopback (lo0) traffic and drop all traffic to 127/8 that doesn't use lo0
-A INPUT -i lo -j ACCEPT
-A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT

# Accepts all established inbound connections
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allows all outbound traffic
# You could modify this to only allow certain traffic
-A OUTPUT -j ACCEPT

# Allows HTTP and HTTPS connections from anywhere (the normal ports for websites)
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT

# Allows SSH connections 
# THE -dport NUMBER IS THE SAME ONE YOU SET UP IN THE SSHD_CONFIG FILE
-A INPUT -p tcp -m state --state NEW --dport 30000 -j ACCEPT

# Now you should read up on iptables rules and consider whether ssh access 
# for everyone is really desired. Most likely you will only allow access from certain IPs.

# Allow ping
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT

# log iptables denied calls (access via 'dmesg' command)
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7

# Reject all other inbound - default deny unless explicitly allowed policy:
-A INPUT -j REJECT
-A FORWARD -j REJECT

COMMIT

O ile mi wiadomo, all dotyczy wszystkich aktualnie istniejących interfejsów, default ustala wartość domyślną dla nowo tworzonych interfejsów, np tup/tap/ipsec, czy kart sieciowych usb.

all 0 a eth0 1?
Sprawdź, co się stanie, jak dasz all, a potem zmienisz dla eth0,
i odwrotnie.
All powinien zmienić wartość dla wszystkich interfejsów, ale potem zawsze taką wartość można nadpisać dla każdej karty.

To do skrypta FW dorzuć np:

for i in /proc/sys/net/ipv4/conf/*/rp_filter ; do  echo 2 > $i ;  done;

Z każdym problematycznym parametrem możesz tak zrobić.
Wtedy na pewno będzie jak trzeba.

Sysctl.conf, to kolejny piękny ułatwiaczo/ulepszacz, któremu czasem coś wychodzi lepiej, czasem gorzej.

Jedyne, co w Linuxie działa zawsze, i zawsze można na to liczyć, to jest powłoka.

Doszukałem się w końcu o co chodzi z tymi wartościami w `all`.

As far as I researched for IPv4 some time ago, the "default" value gets
copied to newly created interfaces only once.
"all" on the other hand allways gets applied in addition to the current
setting, but it depends on the exact setting, if its ORed, ANDed, or
whatevered:
    log_martians         OR
    accept_redirects     AND
    forwarding           ?
    mc_forwarding        AND
    medium_id
    proxy_arp            OR
    shared_media         OR
    secure_redirects     OR
    send_redirects       OR
    bootp_relay          AND
    accept_source_route  AND
    rp_filter            AND
    arp_filter           OR
    arp_announce         MAX
    arp_ignore           MAX
    arp_accept
    app_solicit
    disable_policy
    disable_xfrm
    tag
(see include/linux/inetdevice.h:83 for IN_DEV_{AND,OR,MAX}CONF)

Putting a new value in "all" doesn't change the value you read from
"$interface", but it only gets computed and used internally.