Forum Debian Users Gang

bryn1u · 2014-04-23 22:07:46

Witam,

Z iptables mam stycznosc 1 raz. Kupilem sobie ksiazke i przerabiam przyklad, ktory na dzien dobry dal mi w tylek i odrazu sie zablokowalem. Probuje przeanalizowac co jest nie tak, lecz nie moge nigdzie znalezc bledu. Co prawda przyklad jest dla eth1, ale dodalem ponizej regulke, ktora powinna mi pozwolic logowac sie na ssh.
Pomoze ktos ?

Kod:

#!/bin/sh

IPTABLES=/sbin/iptables
MODPROBE=/sbin/modprobe
INT_NET=192.168.10.0/24


# flush existing rules and set chain policy setting to DROP"

$IPTABLES -F
$IPTABLES -F -t nat
$IPTABLES -X
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

# load connection-tracking modules

$MODPROBE ip_conntrack
$MODPROBE iptable_nat
$MODPROBE ip_conntrack_ftp
$MODPROBE ip_nat_ftp

# input chain

$IPTABLES -A INPUT -m state --state INVALID -j LOG --log-prefix "DROP INVALID" --log-ip-options --log-tcp-options
$IPTABLES -A INPUT -m state --state INVALID -j DROP
$IPTABLES -A INPUT -m state --state ESTABILISHED,RELATED -j ACCEPT

# anti-spoofing rules

$IPTABLES -A INPUT -i eth1 -s ! $INT_NET -j LOG --log-prefix "SPOOFED PKT"
$IPTABLES -A INPUT -i eth1 -s ! $INT_NET -j DROP

# accept rules

$IPTABLES -A INPUT -p tcp --dport 22 -j ACCEPT      (teoretycznie, zeby nie zablokowac dostepu do ssh)

$IPTABLES -A INPUT -i eth1 -p tcp -s $INT_NET --dport 22 --syn -m state --state NEW -j ACCEPT
$IPTABLES -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# default input log rule

$IPTABLES -A INPUT -i ! lo -j LOG --log-prefix "DROP" --log-ip-options --log-tcp-options

# output chain

$IPTABLES -A OUTPUT -m state --state INVALID -j LOG --log-prefix "DROP INVALID" --log-ip-options --log-tcp-options
$IPTABLES -A OUTPUT -m state --state INVALID -j DROP
$IPTABLES -A OUTPUT -m state --state ESTABILISHED,RELATED -j ACCEPT

# accept rules for allowing connections out

$IPTABLES -A OUTPUT -p tcp –dport 22 –syn -m state –state NEW -j ACCEPT
$IPTABLES -A OUTPUT -p tcp –dport 80 –syn -m state –state NEW -j ACCEPT
$IPTABLES -A OUTPUT -p tcp –dport 4321 –syn -m state –state NEW -j ACCEPT

# output log rule

$IPTABLES -A OUTPUT -o ! lo -j LOG –log-prefix "DROP" –log-ip-options –log-tcp-options

# forward chain

$IPTABLES -A FORWARD -m state --state INVALID -j LOG --log-prefix "DROP INVALID" --log-ip-options –log-tcp-options
$IPTABLES -A FORWARD -m state --state INVALID -j DROP
$IPTABLES -A FORWARD -m state --state ESTABILISHED,RELATED -j ACCEPT

# anti-spoofing rules

$IPTABLES -A FORWARD -i eth1 -s ! $INT_NET -j LOG --log-prefix "SPOOFED PKT"
$IPTABLES -A FORWARD -i eth1 -s ! $INT_NET -j DROP

Z gory dziekuje,
Pozdrawiam,

Ostatnio edytowany przez bryn1u (2014-04-23 22:11:49)

uzytkownikubunt · 2014-04-23 22:18:43

700

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 00:50:40)

winnetou · 2014-04-23 23:01:31

bryn1u - zasada jest prosta: najpierw odblokowujesz wszystko co chcesz przepuścić z/do serwera a dopiero potem blokujesz resztę i ewentualnie "czarujesz" z połączeniami przychodzącymi.
Iptables działa jak każdy interpreter: linjka po linijce. Jeśli trafi na regułkę która pasuje do danego połączenia przerywa działanie.

Jacekalex · 2014-04-24 01:56:57

Iptables ma dwie cechy przewodnie:
Reguły ACCEPT, DROP i REJECT kończą przetwarzanie pakietu natychmiast.
Inne już różnie, zależy od konkretnej sytuacji/reguły.

Dlatego bardzo ważna jest kolejność reguł.

Dodatkowo, najpierw pakiet jest dopasowywany do kolejnych reguł, jeśli nie dopasuje do żadnej konkretnej reguły, to stosuje zasadę z polityki domyślnej.

Jak się o tym pamięta, i pisze regułę po regule, sprawdzając co regułę-trzy, czy z chronionymi usługami można się prawidłowo łączyć, to to się robi prosty jak konstrukcja cepa, i wypasionego FW się postawi w pół godzinki, wliczając w to jedno piwko.

Poważna jazda będzie dopiero za kilka miechów, przy przesiadce na nftables, choć podobno ma powstać translator reguł.

I dobrze konfigurację testować w domu, a na serwer wrzucać gotową
i sprawdzoną.

I nie ma się co szczypać, jak ktoś zna PF-a, to w iptables każda reguła kończąca działa jak reguła quick z PF.
PF też w nowszych wersjach domyślnie traktuje reguły, jakby miały parametr keep state, w iptables trzeba dorzeźbić dodatkowo regułki

Kod:

...-m conntrack --ctstate ...

Poza tym to żadna magia, tylko nie warto robić copy& paste z jakichś gotowych skryptów, a potem dumać dwa tygodnie, dlaczego cośtam nie działa, i pierdolić się w debugowanie FW modułem TRACE.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2014-04-24 02:04:15)

morfik · 2014-04-24 02:46:21

Coś ta książka jakaś przeterminowana, nie mówię bynajmniej o nftables tylko np. o modułach:

Kod:

ip_conntrack
ip_conntrack_ftp
ip_nat_ftp

Tych modułów, przynajmniej u mnie nie ma. A sam ip_conntrack , z tego co kiedyś znalazłem, został chyba zastąpiony przez xt_conntrack .

Dodatkowo ten -m state jest już od wieków przestarzały i się zamiast niego używa -m conntrack .

Co to za książka, jeśli można wiedzieć — by nie kupować. xD

winnetou --raczej na odwrót, najpierw blokujesz all, a potem przepuszczasz co potrzebujesz. xD

Poważna jazda będzie dopiero za kilka miechów, przy przesiadce na nftables, choć podobno ma powstać translator reguł.[/quote]
Z tego co ja wyczytałem gdzieś tam, to będzie można używać tych samych konstrukcji co przy iptables oraz, że to co działa obecnie na iptables będzie działało na nftables — http://netfilter.org/projects/nftables/ :

The nftables project provides a backward compatibility layer that allows you run iptables/ip6tables (using the same syntax) over the nftables infrastructure:[/quote]
A i tu jeszcze masz linka z opisem całego iptables — http://www.iptables.info/en/iptables-contents.html

Ostatnio edytowany przez morfik (2014-04-24 02:53:40)

Offline

Time (s)	Query
0.00010	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00095	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.217.252.194' WHERE u.id=1
0.00061	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '18.217.252.194', 1732573440)
0.00039	SELECT * FROM punbb_online WHERE logged<1732573140
0.00058	DELETE FROM punbb_online WHERE ident='18.117.75.53'
0.00326	DELETE FROM punbb_online WHERE ident='18.188.223.120'
0.00058	DELETE FROM punbb_online WHERE ident='18.224.56.127'
0.00062	DELETE FROM punbb_online WHERE ident='3.135.214.139'
0.00035	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=25681 AND t.moved_to IS NULL
0.00048	SELECT search_for, replace_with FROM punbb_censoring
0.00346	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=25681 ORDER BY p.id LIMIT 0,25
0.00076	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=25681
Total query time: 0.01218 s

Forum Debian Users Gang

Ogłoszenie

#1 2014-04-23 22:07:46

bryn1u - Użytkownik

IPTABLES - regulka - samozablokowanie

Kod:

#2 2014-04-23 22:18:43

uzytkownikubunt - Zbanowany

Re: IPTABLES - regulka - samozablokowanie

#3 2014-04-23 23:01:31

winnetou - złodziej wirków ]:->

Re: IPTABLES - regulka - samozablokowanie

#4 2014-04-24 01:56:57

Jacekalex - Podobno człowiek...;)

Re: IPTABLES - regulka - samozablokowanie

Kod:

#5 2014-04-24 02:46:21

morfik - Cenzor wirtualnego świata

Re: IPTABLES - regulka - samozablokowanie

Kod:

#6 2014-04-24 07:03:33

bryn1u - Użytkownik

Re: IPTABLES - regulka - samozablokowanie

#7 2014-04-24 09:25:35

Jacekalex - Podobno człowiek...;)

Re: IPTABLES - regulka - samozablokowanie

#8 2014-04-24 15:28:03

morfik - Cenzor wirtualnego świata

Re: IPTABLES - regulka - samozablokowanie

#9 2014-04-25 07:15:23

bryn1u - Użytkownik

Re: IPTABLES - regulka - samozablokowanie

#10 2014-05-15 22:42:55

noSound - Użytkownik

Re: IPTABLES - regulka - samozablokowanie

#11 2014-05-15 22:52:06

winnetou - złodziej wirków ]:->

Re: IPTABLES - regulka - samozablokowanie

#12 2014-05-16 09:28:34

noSound - Użytkownik

Re: IPTABLES - regulka - samozablokowanie

Stopka forum

Informacje debugowania