Forum Debian Users Gang

Tak de facto połączenia IN OUT właściwie nie istnieją, Zwróc uwagę np. na SSH - klient inicjuje połączenie ale jest ono dwukierunkowe. Pod jakąś kategorię podpiąć ssh po stronie klienta? OUT? Bo ruch wychodzi-on inicjuje połączenie? Ale de facto więcej pakietów leci z serwera do klienta niż odwrotnie.

Firewall blokuje pakiety. Tzn jak pakiet próbuje opuścić nasz komputer albo jak próbuje się do niego dostać. W przypadku połączeń ciężko jest rozdzielić IN, OUT. W przypadku pakietów wewnątrz połączenia jest już łatwiej rozróżnić IN-OUT. Bo pakiet idzie w jedną albo w drugą stronę.

Ale oczywiście ktoś mądrzejszy może znać prawdziwszą prawdę ;)

2598

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:32:03)

To generalnie zależy od tego czy zapora jest stanowa czy bezstanowa. Ta pierwsza ma moduł conntrack, który umożliwia dopasowanie pakietów w oparciu o ich stany. A stanów mamy 3: NEW, ESTABLISHED, RELATED. Są jeszcze UNTRACKED i INVALID i chyba coś tam jeszcze. W każdym razie, zwykle są używane te dwa pierwsze, a wszystko pozostałe leci do ostatniego. Oczywiście to dotyczy TCP. Stany są rozpoznawane po nagłówku pakietu, w których są flagi i te powyższe stany identyfikują konkretne ustawienia flagi:



Za nowe połączenia odpowiada NEW i te pakiety mają ustawioną flagę SYN. I w sumie wystarczy zaporę pod te pakiety sobie dobrać, tak by zarządzać połączeniami w protokole TCP. Reszta nie ma znaczenia, bo jak się zablokuje te pojedyncze pakiety SYN, to komunikacja nigdy nie zostanie nawiązana, a jak się przepuszcza pakiety w stanie SYN, to i też wypadałoby przepuścić ESTABLISHED i RELATED, bo to chyba oczywiste. xD Dlatego zwykle są dwie reguły, jedną od ESTABLISHED i RELATED, druga od konkretnych pakietów SYN, np. połączenia na port 80, z adresu x.x.x.x należy przepuścić, itp.

Można też w netstat:

# netstat -tupan | grep -i established
Active Internet connections (servers and established)
tcp        0  40880 192.168.1.150:12345     89.252.16.43:60226      ESTABLISHED 1601/qbittorrent-no
tcp        0      0 192.168.1.150:56060     64.233.161.16:993       ESTABLISHED 2055/thunderbird

Można po procesach jechać, niekoniecznie po stanach. xD

Ostatnio edytowany przez morfik (2016-01-23 13:11:21)

Przecie napisali ci wyżej. xD Established znaczy połączenie ustanowione, a ustanowione połączenie wiążę ze sobą da punkty. Co najwyżej to możesz próbować łapać SYN_SENT, bo to oznacza, że twój komp wysłał gdzieś pakiet SYN, czyli próbował nawiązać połączenie. Ale to się odbywa tak szybko, że raczej większości prób połączeń w ten manualny sposób nie wyłapiesz. xD Podobnie z tymi pakietami SYN, które docierają do kompa. Jak chcesz się to bawić, to log w iptables, tam wyłapie wszystkie pakiety SYN w obu kierunkach.

Interesują cię pakiety wychodzące, które zostały przypisane do jakiegoś otwartego połączenia (stan established). Mogę zapytać dlaczego? xD

No i co ci po takim wpisie?:

tcp      6 28326 ESTABLISHED src=192.168.1.150 dst=64.233.161.16 sport=56060 dport=993 src=64.233.161.16 dst=192.168.1.150 sport=993 dport=56060 [ASSURED] mark=2 use=2

Ostatnio edytowany przez morfik (2016-01-23 13:47:50)

Czyli: all connections + established + outgoing + src (moje IP )

Nie wiem co to jest. xD

Jeśli cię interesują połączenia wychodzące, to loguj sobie na zaporze pakiety w stanie SYN w łańcuchu OUTPUT i będziesz miał "połączenia wychodzące" z twojego kompa. xD

Ostatnio edytowany przez morfik (2016-01-23 14:06:36)

A z logów firewalla nie możesz budować regułek dla niego?

Moge, to sposob podany przez "morfika" jest O,k.
Natomiast ja szukalem i szukam prostego sposobu monitoringu i administracji ustanowionego ruchu wychodzacego za pomoca CLI.
Mysle, ze to ciekawa sprawa.

@morfik

Co najwyżej to może być ruch przychodzący i wychodzący

Mysle, ze tak jest precyzyjniej, a w konsekwencji wracamy do punktu wyjscia, ze analize ruchu wychodzacego musimy zaczac od modulu conntrack i logowaniu pakietow z flaga SYN w lancuchu OUTPUT, lub restrykcyjne regoly iptables np:

iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -j REJECT

A z CLI bedzie trzeba sie pozegnac?

Ostatnio edytowany przez Novi-cjusz (2016-01-23 14:41:27)

@Jacekalex
Za wysokie progi jak na moje nogi, niestety nie potrafie wlasciwie wprowadzic moich indywidualnych danych sieciowych do podanego przez ciebie skryptu.
Prosze o maly tutek.

@uzytkownikubunt
Jestes w wielokrotnym bledzie:
- nie mam z tego nawet 1 grosza i pewnie nie bede mial.
- chce miec wyzszy poziom bezpieczenstwa, bo mi sie wiele rzeczy w Internecie nie podoba
- odnosnie zaplaty to docieraja sprzeczne sygnaly, w tej chwili to juz naprawde nie wiem co myslec.
- bardzo sobie cenie mozliwosc korespondencji z inteligientnymi ludzmi, dzieki ktorym moge sie czegos nowego nauczyc!!! Wole rozwiazywac z Wami jakis problem, niz ogladac TV, to jest znacznie ciekawsze..
- forum DUG stalo sie czescia mojej codziennosci i czesto w nocy wymyslam problem (na moja skale) zastanawiajac sie jak Wy byscie go rozwiazali.
- Jezeli chodzi o nauke to dzieki Wam zrobilem ogromne postepy, poniewaz jeszcze niedawno nie wiedzialem nic
- Wlozylem bardzo wiele pracy, zeby przeniesc sie z Windows na Debiana. samo nie przyszlo, wiele rzeczy jest trudniejszych a ja mam stare nawyki. Moge uczciwie powiedziec, ze jak sie sam ucze to zabiera ok 10x wiecej czasu, niz z Wasza pomoca, a efekt ten sam.
  czesto nawet nie wiem czy to czego sie ucze jest aktualne i wlasciwe. To co jest latwe dla adminow dla samouka jest droga cierniowa. Gdybym mial mozliwosc isc na kurs z wykladowcami, ale nawet tam nie wszyscy wszystko rozumieja i ciagle pytaja.
- Bezpieczenstwo Sieci to bardzo rozlegly i obszerny temat na ktory napisano wiele madrych ksiag np "Sieciowy wojownik" Temat ktory ciagle ewoluuje, nikt nie urodzil sie geniuszem sieciowym, wszyscy na poczatku dostali ta wiedze od kogos, a nastepnie
  z takich czy innych motywow ja juz sami dalej rozwijali. Ty tez zawdzieczasz swoje umiejetnosci najpierw temu kto ciebie nauczyl podstaw, a nastepnie wlasnej domyslam sie, ze wieloletniej pracy.
- Na nauke Debian (systemu niszowego z dobrymi perspektywami - ponizej 1% rynku) mam rzeczywiscie ograniczony czas, ale wykorzystuje kazda chwile, bo to autentycznie polubilem i doprowadze do konca. Bez Was byloby 10x trudniej.
- Swoja droga mysle, ze dzielenie sie widza powinno sprawiac przyjemnosc, a nie byc wylacznie siermieznym obowiazkiem.