форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Информационная безопасность (Public)
Изначальное сообщение		[ Отслеживать ]

"Зацените iptables"		+/–
Сообщение от d1mak (ok) on 24-Дек-09, 20:39
Добрый вечер форумчане)) . Вот собственно какой вопрос поставил я себе centos 5.4 и решил я через него раздать инет в локалку. Раньше работал только с freebsd и тамошим ipfw. Но вот решил перейти на линух. Подскажите правильно я настроил iptables или может чтото лишнее. Буду обоснованной критике ))). Что мне нужно 1)пока тока натроить INPUT FORWARD 2)ssh 3)ftp 4)vnc 5)и еще в дальнейшем эта машина будет заменять и мой рабочий комп # Generated by iptables-save v1.3.5 on Wed Dec 23 16:37:43 2009 *nat :PREROUTING ACCEPT [12:2319] :POSTROUTING ACCEPT [71:4558] :OUTPUT ACCEPT [80:5661] ### "Это NAT -A POSTROUTING -s 192.168.10.0/255.255.255.0 -j SNAT --to-source 192.168.0.3 COMMIT *filter :INPUT DROP [19:2599] :FORWARD ACCEPT [0:0] :OUTPUT DROP [9:1103] :services - [0:0] ### ну это 127.0.0.1 -A INPUT -i lo -j ACCEPT ### Это пропускаю норм. соединения -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT ### Это моя цепочка сам не знаю зачем сделал ) просто решил попробовать -A INPUT -j services ### nmap показал что у меня открыты эти порты хотя по дефолту вроде как drop что мне не очень понятно? Но я всетаки решил их закрыть -A OUTPUT -p tcp -m tcp --sport 111 -j DROP -A OUTPUT -p tcp -m tcp --sport 631 -j DROP -A OUTPUT -p tcp -m tcp --sport 766 -j DROP -A OUTPUT -p tcp -m tcp --sport 2207 -j DROP -A OUTPUT -p tcp -m tcp --sport 2208 -j DROP -A OUTPUT -p tcp -m tcp --sport 5810 -j DROP -A OUTPUT -p tcp -m tcp --sport 5811 -j DROP -A OUTPUT -p tcp -m tcp --sport 6010 -j DROP -A OUTPUT -p tcp -m tcp --sport 6011 -j DROP -A OUTPUT -o lo -j ACCEPT -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT ### dns -A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT ### http -A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT ### https -A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT ###icq -A OUTPUT -p tcp -m tcp --dport 5190 -j ACCEPT ### ftp  только с определенного айпишника -A services -s ххх.ххх.ххх.ххх -p tcp -m tcp --dport 21 -j ACCEPT ###ssh -A services -p tcp -m tcp --dport 22 -j ACCEPT ###ну это мне vnc нужен аж целых 2 -A services -p tcp -m tcp --dport 5910 -j ACCEPT -A services -p tcp -m tcp --dport 5911 -j ACCEPT COMMIT Вот собственно и все пока до цепочки forward еще не добрался интересно правильно ли я это сделал.
Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Зацените iptables"		+/–
Сообщение от aaa (??) on 25-Дек-09, 07:26
>[оверквотинг удален] >решил их закрыть >-A OUTPUT -p tcp -m tcp --sport 111 -j DROP >-A OUTPUT -p tcp -m tcp --sport 631 -j DROP >-A OUTPUT -p tcp -m tcp --sport 766 -j DROP >-A OUTPUT -p tcp -m tcp --sport 2207 -j DROP >-A OUTPUT -p tcp -m tcp --sport 2208 -j DROP >-A OUTPUT -p tcp -m tcp --sport 5810 -j DROP >-A OUTPUT -p tcp -m tcp --sport 5811 -j DROP >-A OUTPUT -p tcp -m tcp --sport 6010 -j DROP >-A OUTPUT -p tcp -m tcp --sport 6011 -j DROP Тогда эти правила надо в INPUT, но и без них можно обойтись. С вашей цепочкой OUTPUT Вы с этой машины не на один ftp не попадете.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "Зацените iptables"		+/–
	Сообщение от d1mak (ok) on 25-Дек-09, 09:17
	>[оверквотинг удален] >>-A OUTPUT -p tcp -m tcp --sport 5810 -j DROP >>-A OUTPUT -p tcp -m tcp --sport 5811 -j DROP >>-A OUTPUT -p tcp -m tcp --sport 6010 -j DROP >>-A OUTPUT -p tcp -m tcp --sport 6011 -j DROP > >Тогда эти правила надо в INPUT, но и без них можно обойтись. > > >С вашей цепочкой OUTPUT Вы с этой машины не на один ftp >не попадете. а при закрытии порта и в  INPUT и в OUTPUT надо добавлять ? Потому что я потом nmap"ом посмотрел они вроде filtered. А про ftp это вы верно подметили не успел просто еще ). А в целом как нормально или требует доработки?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Зацените iptables"		+/–
	Сообщение от SOLDIER on 25-Дек-09, 12:18
	А на кой черт вообще запрещать что-то в цепочке OUTPUT? Вы уверены, что правильно поняли смысл цепочек в iptables? OUTPUT - это цепочка, используемая ЛОКАЛЬНЫМИ приложениями (сервисами) самой машины.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Зацените iptables"		+/–
	Сообщение от SOLDIER on 25-Дек-09, 12:19
	Апдейт. И ставить политику по дефолту в OUTPUT в DROP - это сильный ход. :)))) Далеко пойдете.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "Зацените iptables"		+/–
	Сообщение от d1mak (ok) on 25-Дек-09, 12:49
	>Апдейт. И ставить политику по дефолту в OUTPUT в DROP - это >сильный ход. :)))) Далеко пойдете. А почему OUTPUT в DROP нельзя ставить ? Это уже лишнее?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Зацените iptables"		+/–
	Сообщение от SOLDIER on 25-Дек-09, 14:08
	>>Апдейт. И ставить политику по дефолту в OUTPUT в DROP - это >>сильный ход. :)))) Далеко пойдете. > >А почему OUTPUT в DROP нельзя ставить ? Это уже лишнее? Потому что НОРМАЛЬНЫЙ пользователь Линукс (да и Виндоуз, да и любой ОС) в состоянии разобраться что и почему него запущено на компьютере.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "Зацените iptables"		+/–
	Сообщение от d1mak (ok) on 25-Дек-09, 14:43
	>>>Апдейт. И ставить политику по дефолту в OUTPUT в DROP - это >>>сильный ход. :)))) Далеко пойдете. >> >>А почему OUTPUT в DROP нельзя ставить ? Это уже лишнее? > > Потому что НОРМАЛЬНЫЙ пользователь Линукс (да и Виндоуз, да и любой >ОС) в состоянии разобраться что и почему него запущено на компьютере. > спасибо буду разбираться дальше )
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "Зацените iptables"		+/–
	Сообщение от d1mak (ok) on 26-Дек-09, 21:38
	>>>Апдейт. И ставить политику по дефолту в OUTPUT в DROP - это >>>сильный ход. :)))) Далеко пойдете. >> >>А почему OUTPUT в DROP нельзя ставить ? Это уже лишнее? > > Потому что НОРМАЛЬНЫЙ пользователь Линукс (да и Виндоуз, да и любой >ОС) в состоянии разобраться что и почему него запущено на компьютере. > Со всеми портам разобрался а вот с эти не могу 770 tcp кто его использует что за служба?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "Зацените iptables"		+/–
	Сообщение от p0gank (ok) on 26-Дек-09, 22:02
	>Со всеми портам разобрался а вот с эти не могу 770 tcp >кто его использует что за служба? netstat -lpn | grep 770
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "Зацените iptables"		+/–
	Сообщение от p0gank (ok) on 26-Дек-09, 22:07
	> Потому что НОРМАЛЬНЫЙ пользователь Линукс (да и Виндоуз, да и любой >ОС) в состоянии разобраться что и почему него запущено на компьютере. > Вот именно исходя из этого мнения, что нормальный пользователь Линукс в состоянии знать что у него работает/будет работать на компьютера, и ставится OUTPUT в DROP.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "Зацените iptables"		+/–
	Сообщение от Andrey Mitrofanov on 25-Дек-09, 13:31
	>политику по дефолту в OUTPUT в DROP - это сильный ход. :)))) Далеко пойдете. А мне нравится. :-] http:/openforum/vsluhforumID10/3779.html#4 [...] *filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT DROP [0:0] [...] -A OUTPUT -o lo -j ACCEPT -A OUTPUT -m state --state RELATED -j ACCEPT -A OUTPUT -m limit --limit 1/sec -j LOG --log-prefix "'OUT-unknown:'" -A OUTPUT -j DROP
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "Зацените iptables"		+/–
	Сообщение от SOLDIER on 25-Дек-09, 14:19
	>[оверквотинг удален] >[...] >*filter >:INPUT DROP [0:0] >:FORWARD DROP [0:0] >:OUTPUT DROP [0:0] >[...] >-A OUTPUT -o lo -j ACCEPT >-A OUTPUT -m state --state RELATED -j ACCEPT >-A OUTPUT -m limit --limit 1/sec -j LOG --log-prefix "'OUT-unknown:'" >-A OUTPUT -j DROP То есть на самом компьютере Вы не собираетесь запускать ни одного приложения (браузера, к примеру), которое будет выходить в Интернет (варианты - менеджеры пакетов - apt-get, yast, emerge etc)? Верх мудрости - закрывать самому себе выход.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "Зацените iptables"		+/–
	Сообщение от Andrey Mitrofanov on 25-Дек-09, 16:59
	> То есть на самом компьютере Вы не собираетесь А-а-га. Там, по ссылке, был _учебный_ (но полностью работающий - и соответствующий постанове) пример. %) Вот пример http:/openforum/vsluhforumID10/4099.html#7 с невырожденным OUTPUT (=присутствующим interface+client), если интересно---
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "Зацените iptables"		+/–
	Сообщение от d1mak (ok) on 25-Дек-09, 12:47
	>А на кой черт вообще запрещать что-то в цепочке OUTPUT? Вы уверены, >что правильно поняли смысл цепочек в iptables? OUTPUT - это цепочка, >используемая ЛОКАЛЬНЫМИ приложениями (сервисами) самой машины. Спаибо ). значит закрою тока в INPUT .
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема