Forum Debian Users Gang

Bo port docelowy w INPUT jest skierowany na twoją maszynę, a ty nawiązałeś połączenie z serwerem na necie.

Połączenie może zostać ustanowione jak masz 5 rzeczy określonych: protokół, src-ip, src-port, dst-ip, dst-port. Jak ty nawiązujesz połączenie z serwerem www, to masz protokół: tcp, dst-ip 1.2.3.4, dst-port 80. Znasz też src-ip (twój własny), a src-port? Jest on dynamicznie dobierany z puli wolnych portów, zwykle te pięciocyfrowe (porty efemeryczne). Potem jak serwer ci odpowiada, to robi on to z portu 80 na ten port wybrany przez twój system. Potem jak ci pakiet wraca, to iptables patrzy te twoje reguły i widzi dst-port 80/443 i nie dopasowuje pakietów, bo te są przeznaczenie na te porty co masz w netstat: 41448 i 41450.

Ja dodam tylko, że w ogóle masz wyłączony firewall, przepuszcza wszystko.

Jacekalex napisał(-a):

Ja dodam tylko, że w ogóle masz wyłączony firewall, przepuszcza wszystko.

6      715  142K DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0

Porzuca wszystko co nie zostało zdefiniowane.

Tak jak morfik napisał. Żeby zrobić co chciałeś to reguły 1,2,3,4 pewnie musiałbyć dać do łańcucha OUTPUT, a w INPUT zostawić tylko 1 i 5-tą. Przy czym prawdopodobnie będziesz chciał jeszcze korzystać z DNS i DHCP, czyli należałoby dodać do OUTPUT również UDP o odpowiednich portach.

Tak, tak, wiem, że jeszcze mi brakuje kilku serwisów otwartych. Chciałem tylko zaczerpnąć informacji na prostym przykładzie, żeby łatwiej było wyjaśniać.

Dlaczego polityki domyślne trzymasz na ACCEPT?

Moim zdaniem zarówno w INPUT jak i FORWARD powinieneś je ustawić na blokowanie,
a potem regułami zezwalać na konkretne typu połączeń.

Piotrus Pan napisał(-a):

Ok, czyli mam zdefiniowane INPUT (czyli to co do mnie idzie od serwera) na te 80/443 ale mój komputer wysłał (OUTPUT) przez 41448 i 41450 więc droga powrotna od serwera do mnie też będzie przez 41448 i 41450. Serwer 443-> 443 Router 41448 -> 41448 mój PC
To teraz pytanie powstaje, dla czego komunikacja poszła przez 41448 i 41450? To jest związane z tym, że jestem na podsieci i router nie może tej komunikacji odebrać na portach 80/443 bo zamknąłby wtedy komunikację na tych portach dla innych urządzeń? Dobrze rozumiem?
Jeszcze jakbym te reguły zdefiniował na OUTPUT to wszystko powinno być cacy, prawda?

To nie jest "przez", tylko "z" i "do". Jak wysyłasz zapytanie na port 443, to leci ono "do" tego portu na serwerze, a jak wraca, to leci "z" tego portu. Podobnie z tymi twoimi portami. Wysyłasz pakiet "z" portu 41448, a gdy pakiet wraca, to leci do 41448 portu. W INPUT nie masz tego portu, to ci iptables nie dopasowuje pakietu. Poza tym, te porty efemeryczne są tylko ważne na czas jednego połączenia i ulegają zmianie, dlatego są efemeryczne.

Piotrus Pan napisał(-a):

Zastanawia mnie też dla czego zdecydowana większość poradników dla iptables definiuje reguły na INPUT? Bo wydaje mi się że większość ludzi jest zawsze za routerem i będzie miała tą samą sytuację jak ja. Rozumiem, że jakbym się łączył bezpośrednio to reguły na INPUT działałyby poprawnie.
https://help.ubuntu.com/community/IptablesHowTo

Bo zapora ma głównie sens na serwerach, czy innych maszynach udostępniających usługi sieciowe, jak ten przykładowy serwer www. Ty nie masz serwera www, dlatego nie potrzebny ci otwarty port docelowy, na który ludzie z netu będą mogli słać pakiety, tak jak to ty teraz robisz wchodząc, np. na to forum.

Piotrus Pan napisał(-a):

Jeżeli chodzi o tą regułę 5 z tymi ustalonymi pakietami. Ja to testowałem, wyłączyłem przeglądarkę, nawet kabel sieciowy odłączyłem, więc nie powinno być już istniejących połączeń.

Ale co testowałeś? Czy zlicza pakiety? Jak uwalisz kabel, to nie będzie zliczać nic w INPUT, za wyjątkiem interfejsu lo. Połączenia mogą istnieć ale być zawieszone i czekać na timeout protokołu TCP ale wartości są różne. Popatrz se w /proc/net/nf_conntrack . Poza tym, w dalszym ciągu twój komp może próbować nawiązać połączenie i odświeżać te wpisy albo nawet tworzyć nowe, mimo, że nie jesteś podłączony do sieci.