Forum Debian Users Gang

Tego skrypta możesz sobie w buty wsadzić.
Domyślna polityka INPUT na ACCPET, tony reguł choooj wie do czego,
krótko pisząc, "porady z ubuntuforums" :D
Jeżeli autor tego skrypta jeszcze nie siedzi w psychiatryku, to się jego pytaj, co tam wyrzeźbił.


Jeśli to desktop:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables  -A INPUT  -i lo -j ACCEPT
iptables  -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

to jest pełnowartościowy firewall z kontrolą stanu pakietu.

Jeśli to serwer, to zajrzyj tu:
http://pl.wikibooks.org/wiki/Sieci_w_Linuksie/Netfilter

Jak koniecznie chcesz przepis w typie *buntu, to tutaj też jest:
http://ubuntu.pl/forum/viewtopic.php?t=103825

Przy okazji, jak chcesz otworzyć jakiś port na taką czy inną usługę sieciową (dostępny z netu), to zainteresuj się modułami [b]limit[/b], [b]hashlimit[/b], [b]connlimit[/b], to do ochrony przed atakami dos,ddos, i podobnymi.

Tuning ustawień sieciowych kernela mam od bardzo dawna zrobiony tak:

for i in /proc/sys/net/ipv4/conf/*/rp_filter ; do  echo 2 > $i ;  done;
/bin/echo 1 > /proc/sys/net/ipv4/ip_forward
/bin/echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
/bin/echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
/bin/echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
/bin/echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
/bin/echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
/bin/echo 1 > /proc/sys/net/ipv4/tcp_syncookies
/bin/echo 1 > /proc/sys/net/ipv4/conf/all/arp_filter
/bin/echo "18192" > /proc/sys/net/ipv4/route/max_size

SOA#1

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-04-19 14:22:02)

Jacekalex -- mógłbyś napisać coś więcej o tym tuningu kernelowym, co konkretnie robią te opcje i czemu  ustawić je, tak jak je ustawiłeś?

A nie mógłbyś po prostu w paru zdaniach napisać? xD Jeden link nie działa, ten z pdf, ten drugi nie potrafi kodowania ustawić i się tego czytać z deka nie da. xD

[quote=morfik]A nie mógłbyś po prostu w paru zdaniach napisać? xD Jeden link nie działa, ten z pdf, ten drugi nie potrafi kodowania ustawić i się tego czytać z deka nie da. xD[/quote]
Faktycznie, Google jeszcze widzi dokument, a link wygasł (dokument.pdf)
Zapasowy masz tutaj (z domowych zapasów ;) )
http://jacekalex.sh.dug.net.pl/2.4routing.pdf

Kodowanie na stronie?
Taki z Ciebie "hakier", a nie potrafisz przestawić kodowania w przeglądarce na iso-8859-2?
W Firerfoxie to jest =>Widok=>Zestaw znaków=>Środkowoeuropejski (ISO)....  - trudne?

W kilku zdaniach opisać setkę parametrów sieciowych kernela?
Wszystkich, do ipv4, ipv6?

Dokumentacja kernela gryzie?

Jeśli chcesz moich wyjąsnień, to nie uczyłem się tego na pamięć, sam w razie czego patrzę do oficjalnej dokumentacji.
W /etc/sysctl.conf mam jeszcze tonę rożnych ustawień robionych metodą prób i błędów, aż w miarę dobrze  zaczęło chodzić to przeklęte PPPoE, na które się przeprowadził mój ISP.

Wygląda to tak:

net.ipv4.ip_forward = 1
net.ipv4.ip_dynaddr = 1
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
net.ipv4.conf.all.arp_ignore = 1
net.ipv4.icmp_echo_ignore_all = 1
net.ipv4.tcp_window_scaling = 1
net.ipv4.ip_default_ttl = 128
net.ipv4.tcp_tw_recycle=1
net.ipv4.tcp_tw_reuse=1
net.ipv4.tcp_syncookies = 1
net.netfilter.nf_conntrack_tcp_timeout_established = 1800
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 1
net.ipv4.conf.default.secure_redirects = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.ip_local_port_range = 32768 61569
net.ipv4.conf.net.arp_ignore = 0
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0
net.ipv6.conf.lo.disable_ipv6 = 0
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.tcp_syncookies = 1
net.ipv4.neigh.default.base_reachable_time = 86400
net.ipv4.neigh.default.gc_stale_time = 86400
net.ipv4.tcp_no_metrics_save = 1
net.ipv4.tcp_moderate_rcvbuf = 1
net.core.netdev_max_backlog = 2500
net.core.rmem_default = 524288
net.core.wmem_default = 524288
net.ipv4.tcp_wmem = 4096 87380 524288
net.ipv4.tcp_rmem = 4096 87380 524288
net.ipv4.tcp_mem = 524288 524288 524288
net.core.rmem_max = 524288
net.core.wmem_max = 524288
net.ipv4.neigh.default.gc_thresh1 = 4096
net.ipv4.neigh.default.gc_thresh2 = 8192
net.ipv4.neigh.default.gc_thresh3 = 16384
net.ipv4.tcp_rfc1337 = 1
net.ipv4.ip_no_pmtu_disc = 0
net.ipv4.tcp_sack = 1
net.ipv4.tcp_fack = 1
net.ipv4.tcp_window_scaling = 1
net.ipv4.tcp_timestamps = 1
net.ipv4.tcp_ecn = 0

I też nie pamiętam dokładnie, co jest do czego, od tego jest dokumentacja, żeby do niej zaglądać.
Zwłaszcza, że w miarę rozwoju kernela różne nowe opcje się pojawiają, a niektóre starsze wylatują od czasu do czasu.
Teraz cały podsystem sieciowy ma być spakowany do postaci wirtualnej maszyny, to się wiąże z zmianą iptables => nftables,
także się szykuje gruntowna rewolucja w ustawieniach kernela.

O całym podsystemie sieciowym Linuxa można by książki pisać, a nie w kilku zdaniach.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2014-04-20 08:13:24)