Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2006-04-04 10:06:54
Preibx - 
Użytkownik
- Preibx
- Użytkownik
- Zarejestrowany: 2006-03-12
Iptables - ocena
Witam.
Wracam do tematu mojego firewalla. Debian Sarge 3.1 jądro 2.8.2
Oto początkowe założenia jakie chce spełnić mam nadzieje z Waszą pomocą
1) maksimum bezpieczeństwa
2) maksimum prostoty
3) absolutnie konieczne komendy
4) firewall stoi na stałym IP (serwer)
Co ma robić na początek firewall:
a) chronić całą sieć lokalną
b) chronić dostęp do serwera
c) na serwerze są zasoby samba z których mają korzystać komputery w sieci lokalnej
d) udostępniać Internet w sieci lokalnej (www, ftp, smtp, pop3)
I to na razie wszystko.
Proszę sprawdzić moją konfigurację i ocenić. Z góry bardzo dziękuje za wszystkie konstruktywne porady.
Kod:
#!/bin/sh # wlaczenie w kernel'u forwardowania echo 1 > /proc/sys/net/ipv4/ip_forward # czyszczenie starych reguł iptables -F iptables -X iptables -t nat -X iptables -t nat -F # ustawienie polityki dzialania iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT iptables -A INPUT -i lo -j ACCEPT # puszczamy PING iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT # polaczenia nawiazane iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED # udostepniaie internetu w sieci lokalnej iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j MASQUERADE iptables -A FORWARD -s 192.168.2.0/24 -j ACCEPT # udostępnienie SAMBY w sieci lokalnej iptables -A INPUT -s 192.168.2.0/24 -p udp --dport 137 -m state --state NEW -j ACCEPT iptables -A INPUT -s 192.168.2.0/24 -p udp --dport 138 -m state --state NEW -j ACCEPT iptables -A INPUT -s 192.168.2.0/24 -p tcp --dport 139 -m state --state NEW -j ACCEPT iptables -A INPUT -s 192.168.2.0/24 -p tcp --dport 445 -m state --state NEW -j ACCEPT
Offline
#2 2006-04-04 10:40:38
ba10 - Członek DUG
Re: Iptables - ocena
Co do bezpieczeństwa to np. :
Kod:
#blokada ipspoofing echo "1" >/proc/sys/net/ipv4//conf/all/rp_filter #ochrona przed atakami syn cokkies echo "1" >/proc/sys/net/ipv4/tcp_syncookies #brak reakcji na fałszywe komunikaty o błedach echo "1" >/proc/sys/net/ipv4/icmp_ignore_bogus_error_responses #ochrona przed atakami smurf echo "1" >/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
"Jeżeli chcesz się nauczyć Linuksa, to pierwsze co musisz zrobić to odrzucić wszelkie przyzwyczajenia wyniesione z poprzedniego systemu. Twoja wiedza jest o tyle zgubna, że daje Ci poczucie że coś jednak wiesz — jednak w kontekście Linuksa prawdopodobnie nie wiesz jeszcze nic." Minio
Mój [url=jarekw.eu]Blog[/url], a później [url=tanczymy.com]Tańczymy[/url] ;)
Offline
#3 2006-04-04 15:07:38
Preibx - Użytkownik
- Preibx
- Użytkownik
- Zarejestrowany: 2006-03-12
Re: Iptables - ocena
Dziękuje. Za rady. Czy coś można jeszcze uprościć w tym firewallu??
Offline
#4 2006-04-04 20:36:13
BiExi - matka przelozona
#5 2006-04-04 20:47:22
korbol - Członek DUG
- korbol
- Członek DUG
- Zarejestrowany: 2005-04-29
Re: Iptables - ocena
A FORWARD'a nie moznaby wywalić i domyslnie bylby n a ACCEPT.
Pytam z ciekawości.
Pozdrawiam
Offline
#6 2006-04-04 20:48:35
BiExi - matka przelozona
#7 2006-04-04 20:53:08
pekape - Użytkownik
- pekape
- Użytkownik
- Zarejestrowany: 2005-08-06
Re: Iptables - ocena
Czy zalecacie coś jeszcze do uruchomienia przy ładowaniu Firewalla?
MOJA STRONA PRYWATNA
www.danielkrol.eu
NAJLEPSZY HOSTING JAKI ZNALAZŁEM
http://www.netmark.pl/panel/aff.php?aff=047
Offline
#8 2006-04-04 20:54:53
BiExi - matka przelozona
#9 2006-04-05 06:18:14
pekape - Użytkownik
- pekape
- Użytkownik
- Zarejestrowany: 2005-08-06
Re: Iptables - ocena
Dzięki dobrodziejko :)
MOJA STRONA PRYWATNA
www.danielkrol.eu
NAJLEPSZY HOSTING JAKI ZNALAZŁEM
http://www.netmark.pl/panel/aff.php?aff=047
Offline
#10 2006-04-18 11:39:29
oress - Użytkownik
- oress
- Użytkownik
- Skąd: Opole
- Zarejestrowany: 2004-09-06
Re: Iptables - ocena
co do pinga to lepiej bedzie tak:
Kod:
iptables -A INPUT -p icmp -s 0/0 -m limit --limit 3/s --limit-burst 4 -j ACCEPT
Linux register user: #369347
[img]http://img.uptime-project.net/img/12/95717.png[/img] [img]http://img.uptime-project.net/img/2/53561.png[/img]
Offline
Informacje debugowania
| Time (s) | Query |
|---|---|
| 0.00009 | SET CHARSET latin2 |
| 0.00004 | SET NAMES latin2 |
| 0.00101 | SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.144.93.34' WHERE u.id=1 |
| 0.00069 | REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.144.93.34', 1732690964) |
| 0.00046 | SELECT * FROM punbb_online WHERE logged<1732690664 |
| 0.00067 | SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=3094 AND t.moved_to IS NULL |
| 0.00008 | SELECT search_for, replace_with FROM punbb_censoring |
| 0.00247 | SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=3094 ORDER BY p.id LIMIT 0,25 |
| 0.00098 | UPDATE punbb_topics SET num_views=num_views+1 WHERE id=3094 |
| Total query time: 0.00649 s | |