Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
Strony: 1
- Forum Debian Users Gang
- » Sieci i serwery
- » Problem z regulami iptables - blokada skanów wycina ssh
#1 2009-03-29 16:17:43
z3d - Użytkownik
- z3d
- Użytkownik
- Zarejestrowany: 2008-09-28
Problem z regulami iptables - blokada skanów wycina ssh
Witam szanowne grono, mam problem dotyczący iptables.
Napisałem z pomoca netu konfig który ciężko ale chodzi. Jako ostatni element dodałem do niego blokadę skanowania. Teraz podczas startu zapory nie mogę zalogowac sie na ssh? Drugi problem jaki posiadam :) dotyczy błędnego logowania komunikatów wysyłanych prze iptables. Konfigurację sysloga-ng przeprowadziłem prawidłowo co potwierdza się w dziennikach, jednak kiedy od # blokadę skanownia cały ruch przechodzi mi do jednego pliku (kiedy jest # dzienniki dzielą sie prawidłowo)? Czy ktoś mógłby mi pomóc? Bardzo mi zależy na uruchomieniu tej zapory. Bardzo prosze o pomoc. Pozdrawiam Michał
Kod:
#!/bin/bash # # USTAWIENIA POCZATKOWE # # PRZYPISANIE ZMIENNEJ ORAZ SCIEZKI DO PLIKU IPT=/sbin/iptables # # PRZYPISANIE ZMIENNEJ ORAZ SCIEZKI DO PLIKU MODPROBE=/sbin/modprobe # # PRZYPISANIE ZMIENNEJ ORAZ SCIEZKI DO PROGRAMU ECHO ECHO=/bin/echo # echo "#" echo "# KONFIGURACJA ZAPORY SIECIOWEJ ROZPOCZETA ..." echo "#" echo "#" echo "# CZYSZCZENIE ŁANCUCHOW Z POPRZEDNICH REGUL" iptables -t filter -F INPUT iptables -t filter -F FORWARD iptables -t filter -F OUTPUT # echo "# LADOWANIE MODULU SLEDZENIA POLACZEN" $MODPROBE ip_conntrack # echo "#" echo "######### PRZETWARZANIE REGUŁ BEZPIECZENSTWA: " echo "#" # echo "# USTAWIENIE DOMYSLNEJ POLITYKI" $IPT -P INPUT DROP $IPT -P FORWARD DROP $IPT -P OUTPUT ACCEPT # echo "# IGNOROWANIE PAKIETOW ICMP" #$ECHO 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts #$ECHO 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all # echo "# IGNOROWANIE ICMP REDIRECT" $ECHO 0 > /proc/sys/net/ipv4/conf/all/accept_redirects # echo "# IGNOROWANIE FALSZYWYCH KOMUNIKATOW O BLEDACH" $ECHO 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses # echo "# IGNOROWANIE PAKIETOW SOURCE ROUTE" $ECHO 0 > /proc/sys/net/ipv4/conf/all/accept_source_route # echo "# WLACZENIE OCHRONY PRZED SPOOFINGIEM" $ECHO 1 > /proc/sys/net/ipv4/conf/all/rp_filter # echo "# WLACZENIE OCHRONY PRZED SYN COOKIES" $ECHO 1 >/proc/sys/net/ipv4/tcp_syncookies # echo "# LOGOWANIE W/W PAKIETOW" $ECHO 1 > /proc/sys/net/ipv4/conf/all/log_martians # echo "# URUCHAMIANIE BLOKADY SKANOWANIA PORTOW" # Skanowanie SYN (nmap -sS) #iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH SYN -j LOG --log-prefix "proba skanowania: " #iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH SYN -j DROP # # Metoda ACK (nmap -sA) #iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH ACK -j LOG --log-prefix "proba skanowania: " #iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH ACK -j DROP # # Skanowanie FIN (nmap -sF) #iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN -j LOG --log-prefix "proba skanowania: " #iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN -j DROP # # Metoda Xmas Tree (nmap -sX) #iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN,URG,PSH -j LOG --log-prefix "proba skanowania: " #iptables -A INPUT -m conntrack --ctstate NEW -p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN,URG,PSH -j DROP # # Skanowanie Null (nmap -sN) #iptables -A INPUT -m conntrack --ctstate INVALID -p tcp --tcp-flags ! SYN,RST,ACK,FIN,PSH,URG SYN,RST,ACK,FIN,PSH,URG -j LOG --log-prefix "proba skanowania: " #iptables -A INPUT -m conntrack --ctstate INVALID -p tcp --tcp-flags ! SYN,RST,ACK,FIN,PSH,URG SYN,RST,ACK,FIN,PSH,URG -j DROP # echo "# IGNOROWANIE PAKIETOW Z BLEDNIE USTAWIONYMI FLAGAMI" $IPT -A INPUT -p tcp --tcp-flags ALL NONE -j LOG --log-prefix "bledne pakiety: " $IPT -A INPUT -p tcp --tcp-flags ALL NONE -j DROP $IPT -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j LOG --log-prefix "bledne pakiety: " $IPT -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP $IPT -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j LOG --log-prefix "bledne pakiety: " $IPT -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP $IPT -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j LOG --log-prefix "bledne pakiety: " $IPT -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP $IPT -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j LOG --log-prefix "bledne pakiety: " $IPT -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP $IPT -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j LOG --log-prefix "bledne pakiety: " $IPT -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP $IPT -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j LOG --log-prefix "bledne pakiety: " $IPT -A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP # echo "#" echo "######### POLACZENIA: " echo "#" # echo "# LOGOWANIE RUCHU PRZYCHODZACEGO NA PORT 80" $IPT -A INPUT -p tcp --dport 80 -j LOG --log-prefix "www: " $IPT -A INPUT -p tcp --dport 80 -j ACCEPT # echo "# SWOBODNY PRZEPLYW INFORMACJI NA INTERFEJSIE LOKALNYM" $IPT -A INPUT -i lo -j ACCEPT $IPT -A OUTPUT -o lo -j ACCEPT # echo "# NAWIAZANE POLACZENIA" $IPT -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED $IPT -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED # echo "# LOGOWANIE PRZEZ SSH Z WYBRANEGO IP" $IPT -A INPUT -p tcp -s 192.168.1.103 --dport 22 -m state --state NEW -j LOG --log-prefix "ssh: " $IPT -A INPUT -p tcp -s 192.168.1.103 --dport 22 -m state --state NEW -j ACCEPT # #echo "# OTWARCIE PORTU DLA USLUGI HTTPS" #$IPT -A INPUT -p tcp --dport 443 -j ACCEPT #$IPT -A INPUT -p udp --dport 443 -j ACCEPT # echo "# KASOWANIE ZMIENNYCH" # echo "#" echo "# KONFIGURACJA ZAPORY SIECIOWEJ ZAKOŃCZONA" unset IPT ECHO e
Offline
Strony: 1
- Forum Debian Users Gang
- » Sieci i serwery
- » Problem z regulami iptables - blokada skanów wycina ssh
Informacje debugowania
| Time (s) | Query |
|---|---|
| 0.00011 | SET CHARSET latin2 |
| 0.00007 | SET NAMES latin2 |
| 0.00149 | SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.188.119.67' WHERE u.id=1 |
| 0.00127 | REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '18.188.119.67', 1732378774) |
| 0.00075 | SELECT * FROM punbb_online WHERE logged<1732378474 |
| 0.00104 | SELECT topic_id FROM punbb_posts WHERE id=115181 |
| 0.00084 | SELECT id FROM punbb_posts WHERE topic_id=13826 ORDER BY posted |
| 0.00087 | SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=13826 AND t.moved_to IS NULL |
| 0.00008 | SELECT search_for, replace_with FROM punbb_censoring |
| 0.00113 | SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=13826 ORDER BY p.id LIMIT 0,25 |
| 0.00124 | UPDATE punbb_topics SET num_views=num_views+1 WHERE id=13826 |
| Total query time: 0.00889 s | |