Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.

Strony: 1

 

#1  2006-04-04 10:06:54

  Preibx - Użytkownik

Preibx
Użytkownik
Zarejestrowany: 2006-03-12

Iptables - ocena

Witam.
Wracam do tematu mojego firewalla. Debian Sarge 3.1 jądro 2.8.2
Oto początkowe założenia jakie chce spełnić mam nadzieje z Waszą pomocą
1)    maksimum bezpieczeństwa
2)    maksimum prostoty
3)    absolutnie konieczne komendy
4)    firewall stoi na stałym IP (serwer)
Co ma robić na początek firewall:
a)    chronić całą sieć lokalną
b)    chronić dostęp do serwera
c)    na serwerze są zasoby samba z których mają korzystać komputery w sieci lokalnej
d)    udostępniać Internet w sieci lokalnej (www, ftp, smtp, pop3)
I to na razie wszystko.
Proszę sprawdzić moją konfigurację i ocenić. Z góry bardzo dziękuje za wszystkie konstruktywne porady.



Kod:

#!/bin/sh

# wlaczenie w kernel'u forwardowania
echo 1 > /proc/sys/net/ipv4/ip_forward

# czyszczenie starych reguł
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F

# ustawienie polityki dzialania
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT

# puszczamy PING
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

# polaczenia nawiazane
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED

# udostepniaie internetu w sieci lokalnej
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j MASQUERADE
iptables -A FORWARD -s 192.168.2.0/24 -j ACCEPT

# udostępnienie SAMBY w sieci lokalnej

iptables -A INPUT -s 192.168.2.0/24 -p udp --dport 137 -m state --state NEW -j ACCEPT
iptables -A INPUT -s 192.168.2.0/24 -p udp --dport 138 -m state --state NEW -j ACCEPT
iptables -A INPUT -s 192.168.2.0/24 -p tcp --dport 139 -m state --state NEW -j ACCEPT
iptables -A INPUT -s 192.168.2.0/24 -p tcp --dport 445 -m state --state NEW -j ACCEPT

Offline

 

#2  2006-04-04 10:40:38

  ba10 - Członek DUG

ba10
Członek DUG
Skąd: jesteś ?
Zarejestrowany: 2006-03-07
Serwis

Re: Iptables - ocena

Co do bezpieczeństwa to np. :

Kod:

#blokada ipspoofing
echo "1" >/proc/sys/net/ipv4//conf/all/rp_filter
#ochrona przed atakami syn cokkies
echo "1" >/proc/sys/net/ipv4/tcp_syncookies
#brak reakcji na fałszywe komunikaty o błedach
echo "1" >/proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
#ochrona przed atakami smurf
echo "1" >/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
"Jeżeli chcesz się nauczyć Linuksa, to pierwsze co musisz zrobić to odrzucić wszelkie przyzwyczajenia wyniesione z poprzedniego systemu. Twoja wiedza jest o tyle zgubna, że daje Ci poczucie że coś jednak wiesz — jednak w kontekście Linuksa prawdopodobnie nie wiesz jeszcze nic." Minio
Mój [url=jarekw.eu]Blog[/url], a później [url=tanczymy.com]Tańczymy[/url] ;)

Offline

 

#3  2006-04-04 15:07:38

  Preibx - Użytkownik

Preibx
Użytkownik
Zarejestrowany: 2006-03-12

Re: Iptables - ocena

Dziękuje. Za rady. Czy coś można jeszcze uprościć w tym firewallu??

Offline

 

#4  2006-04-04 20:36:13

  BiExi - matka przelozona

BiExi
matka przelozona
Skąd: Gorlice
Zarejestrowany: 2004-04-16
Serwis

Re: Iptables - ocena

nie tego nie da sie juz bardziej uproscic

[url=http://dug.net.pl][b]DUG[/b][/url]

Offline

 

#5  2006-04-04 20:47:22

  korbol - Członek DUG

korbol
Członek DUG
Zarejestrowany: 2005-04-29

Re: Iptables - ocena

A FORWARD'a nie moznaby wywalić i domyslnie bylby n a ACCEPT.
Pytam z ciekawości.

Pozdrawiam

Offline

 

#6  2006-04-04 20:48:35

  BiExi - matka przelozona

BiExi
matka przelozona
Skąd: Gorlice
Zarejestrowany: 2004-04-16
Serwis

Re: Iptables - ocena

no niby mozna ale po co?

[url=http://dug.net.pl][b]DUG[/b][/url]

Offline

 

#7  2006-04-04 20:53:08

  pekape - Użytkownik

pekape
Użytkownik
Zarejestrowany: 2005-08-06

Re: Iptables - ocena

Czy zalecacie coś jeszcze do uruchomienia przy ładowaniu Firewalla?

MOJA STRONA PRYWATNA
www.danielkrol.eu
NAJLEPSZY HOSTING JAKI ZNALAZŁEM
http://www.netmark.pl/panel/aff.php?aff=047

Offline

 

#8  2006-04-04 20:54:53

  BiExi - matka przelozona

BiExi
matka przelozona
Skąd: Gorlice
Zarejestrowany: 2004-04-16
Serwis

Re: Iptables - ocena

narazie nie to Ci powinnowystarczyc

[url=http://dug.net.pl][b]DUG[/b][/url]

Offline

 

#9  2006-04-05 06:18:14

  pekape - Użytkownik

pekape
Użytkownik
Zarejestrowany: 2005-08-06

Re: Iptables - ocena

Dzięki dobrodziejko :)

MOJA STRONA PRYWATNA
www.danielkrol.eu
NAJLEPSZY HOSTING JAKI ZNALAZŁEM
http://www.netmark.pl/panel/aff.php?aff=047

Offline

 

#10  2006-04-18 11:39:29

  oress - Użytkownik

oress
Użytkownik
Skąd: Opole
Zarejestrowany: 2004-09-06

Re: Iptables - ocena

co do pinga to lepiej bedzie tak:

Kod:

iptables -A INPUT -p icmp -s 0/0 -m limit --limit 3/s --limit-burst 4 -j ACCEPT
Linux register user: #369347
[img]http://img.uptime-project.net/img/12/95717.png[/img] [img]http://img.uptime-project.net/img/2/53561.png[/img]

Offline

 

 

Strony: 1

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
To nie jest tylko forum, to nasza mała ojczyzna ;-)

[ Generated in 0.009 seconds, 12 queries executed ]

Informacje debugowania

Time (s) Query
0.00010 SET CHARSET latin2
0.00004 SET NAMES latin2
0.00107 SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.133.133.39' WHERE u.id=1
0.00062 REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.133.133.39', 1732691453)
0.00043 SELECT * FROM punbb_online WHERE logged<1732691153
0.00077 DELETE FROM punbb_online WHERE ident='3.137.175.80'
0.00057 SELECT topic_id FROM punbb_posts WHERE id=26041
0.00147 SELECT id FROM punbb_posts WHERE topic_id=3094 ORDER BY posted
0.00065 SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=3094 AND t.moved_to IS NULL
0.00006 SELECT search_for, replace_with FROM punbb_censoring
0.00083 SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=3094 ORDER BY p.id LIMIT 0,25
0.00069 UPDATE punbb_topics SET num_views=num_views+1 WHERE id=3094
Total query time: 0.0073 s