Forum Debian Users Gang

Cel STEAL tak jak i DROP blokuje wszystko.
Wszystko na ten temat jest w manie i helpach.
REJECT odbija pakiet syn z komunikatem ICMP o błędzie, przy czym opcja tcp-reset działa tylko dla połączenia tcp, przy ustawieniu na udp wywali bląd.

Poza tym, jak ktoś tego nie rozumie, to ustawić reguły dla adresu   np 127.0.15.14 i skanować ten adres przy pomocy nmapa przy rożnych typach ustawień fw.

Albo postawić WM na vboxie czy kvm i testować komunikację po tap lub vboxnet między dwoma systemami.

Tablica raw ogarnia pakiety zanim zacznie je śledzić mechanizm conntrack.
Dlatego ma tylko dwa  łańcuchy, PREROUTING i OUTPUT.

Przykład testowania modułów xtables:

-A INPUT -d 127.0.2.1/32 -i lo -p udp -j REJECT --reject-with icmp-host-unreachable
-A INPUT -d 127.0.2.1/32 -i lo -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -d 127.0.2.2/32 -i lo   -j CHAOS --delude
-A INPUT -d 127.0.2.3/32 -i lo   -j CHAOS --tarpit
-A INPUT -d 127.0.2.4/32 -i lo -j STEAL
-A INPUT -d 127.0.2.5/32 -i lo -p tcp -j DELUDE
-A INPUT -d 127.0.2.6/32 -i lo -j DROP
-A INPUT -d 127.0.2.7/32 -i lo -p tcp -j TARPIT --tarpit 
-A INPUT -d 127.0.2.8/32 -i lo -p tcp -j TARPIT --honeypot 
-A INPUT -d 127.0.2.9/32 -i lo -p tcp -j TARPIT --reset 
-A INPUT ! -d 127.0.2.0/24 -i lo -j ACCEPT

Najweselsze wyniki nmap pokazuje przy DELUDE albo CHAOS --delude.

Ostatnio edytowany przez Jacekalex (2014-03-12 13:28:38)

Ja tam sobie testowałem to z all i nic się nie dzieje, także pewnie można bez problemu ustawić.

A jaki update?

Co do systemd -- to nie mam go i raczej nie prędko będę miał, także nic nie napiszę w tej sprawie.

Trochę inna sprawa z tym drop. Próbowałeś kiedyś skanować swój komputer? Przy reject odpowiadasz, że "nie". Przy drop nie odpowiadasz nic.(o ile dobrze pamiętam)
Zmieniłem sobie na DROP i różnicy nie widzę. Możesz napisać, co pogarsza zmiana REJECT na DROP?[/quote]
Tak sobie czytam na sieci i znalazłem całkiem miłe wyjaśnienie:

Upewniłem się, że mój firewall blokuje dostęp do serwera MySQL, ale nie za bardzo pasuje mi to, że nmap przez proste skanowanie portów jest w stanie powiedzieć, że na moim serwerze teoretycznie zainstalowany jest serwer MySQL. Jak to jest możliwe? Odpowiedź tkwi w sposobie, w jaki firewall odpowiada na żądanie połączenia. Jeśli reguła łańcucha trafia w sposób postępowania typu DROP – przychodzący pakiet po prostu jest ignorowany. Jest to zupełnie inny sposób niż ten, który wykonywany jest przez system operacyjny, gdy żadna aplikacja nie nasłuchuje na danym porcie – wówczas system odpowiada na żądanie pakietem TCP RST. Dlatego dość sprytny skaner portów jest w stanie odróżnić, który port jest nieużywany, a który zwyczajnie filtrowany. Jeśli chcemy, aby nasz firewall zachował się identycznie jak system operacyjny wystarczy w/w regułę zastąpić następującym wpisem:
1
   
iptables -A INPUT -p tcp --dport 3306 ! -s 127.0.0.1 -j REJECT --reject-with tcp-reset[/quote]
http://nfsec.pl/security/5607

Offline