Парочка вопросов по iptables (не пойму, почему не все закрыто...)

entry · Сообщение **entry** » 17.01.2008 15:01

Всем привет!
Подскажите пожалуйста, какие порты с этим rc.firewall должны быть открыты?
Я в настройках iptables несилен (вот только сел разбираться), но так понимаю, что открытыми должны быть следующие порты: 67, 68, 20, 21, 23, 79, 70, 210, 80, 443, 113 и 53, а так же 33434-33523 и 32769-65535.

Код:

#!/bin/sh

IPT="/sbin/iptables"

INET_IFACE="ppp0"

UNPRIPORTS="1024:65535"

start_fw()
{
    echo 1 > /proc/sys/net/ipv4/ip_forward

    $IPT -F
    $IPT -X

    $IPT -P INPUT DROP
    $IPT -P FORWARD DROP
    $IPT -P OUTPUT DROP

    $IPT -A INPUT -i lo -j ACCEPT
    $IPT -A OUTPUT -o lo -j ACCEPT

    $IPT -A INPUT -m state ! -i lo --state NEW -j DROP

    $IPT -A INPUT -s 127.0.0.1/255.0.0.0 ! -i lo -j DROP

    $IPT -A INPUT   -m state --state INVALID -j DROP

    $IPT -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT

    $IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
    $IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

    $IPT -A INPUT -p UDP -s 0/0 --destination-port 138 -j DROP
    $IPT -A INPUT -p UDP -s 0/0 --destination-port 113 -j REJECT
    $IPT -A INPUT -p UDP -s 0/0 --source-port 67 --destination-port 68 -j ACCEPT
    $IPT -A INPUT -p UDP -j RETURN
    $IPT -A OUTPUT -p UDP -s 0/0 -j ACCEPT

    $IPT -A INPUT --fragment -p ICMP -j DROP
    $IPT -A OUTPUT --fragment -p ICMP -j DROP

    $IPT -A INPUT -p icmp -m icmp -i $INET_IFACE --icmp-type source-quench -j ACCEPT
    $IPT -A OUTPUT -p icmp -m icmp -o $INET_IFACE --icmp-type source-quench -j ACCEPT

    $IPT -A INPUT -p icmp -m icmp -i $INET_IFACE --icmp-type echo-reply -j ACCEPT
    $IPT -A OUTPUT -p icmp -m icmp -o $INET_IFACE --icmp-type echo-request -j ACCEPT

    $IPT -A INPUT -p icmp -m icmp -i $INET_IFACE --icmp-type parameter-problem -j ACCEPT
    $IPT -A OUTPUT -p icmp -m icmp -o $INET_IFACE --icmp-type parameter-problem -j ACCEPT

    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport 6000:6063 -j DROP --syn

    $IPT -A INPUT -p tcp -m tcp -m multiport -i $INET_IFACE -j DROP --dports 783
    $IPT -A INPUT -p tcp -m tcp -m multiport -i $INET_IFACE -j DROP --dports 3310
    $IPT -A INPUT -p tcp -m tcp -m multiport -i $INET_IFACE -j DROP --dports 10000

    $IPT -A OUTPUT -p udp -m udp -o $INET_IFACE --dport 53 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 53 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p udp -m udp -i $INET_IFACE --dport $UNPRIPORTS --sport 53 -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport 1024:65353 --sport 53 -j ACCEPT

    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 113 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 113 -j ACCEPT ! --syn
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport 113 -j DROP

    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 21 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 21 -j ACCEPT ! --syn

    $IPT -A OUTPUT -p tcp -m tcp -m multiport -o $INET_IFACE --sport $UNPRIPORTS -j ACCEPT --dports 80,443
    $IPT -A INPUT -p tcp -m tcp -m multiport -i $INET_IFACE --dport $UNPRIPORTS -j ACCEPT --sports 80,443 ! --syn

    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 20 -j ACCEPT
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 20 --sport $UNPRIPORTS -j ACCEPT ! --syn
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport $UNPRIPORTS --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport $UNPRIPORTS -j ACCEPT ! --syn
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 23 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 23 -j ACCEPT ! --syn
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 79 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 79 -j ACCEPT ! --syn
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 43 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 43 -j ACCEPT ! --syn
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 70 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 70 -j ACCEPT ! --syn
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 210 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 210 -j ACCEPT ! --syn
    $IPT -A OUTPUT -p udp -m udp -o $INET_IFACE --dport 33434:33523 --sport 32769:65535 -j ACCEPT

    $IPT -A OUTPUT -p udp -m udp -o $INET_IFACE --dport 67 --sport 68 -j ACCEPT
    $IPT -A INPUT -p udp -m udp -i $INET_IFACE --dport 68 --sport 67 -j ACCEPT
}

case "$1" in
start)	echo -n "Starting firewall: iptables"
	start_fw
        echo "."
	;;
stop)	echo -n "Stopping firewall: iptables"
	iptables -F
	iptables -X
        echo "."
        ;;
save)	echo -n "Saving firewall: iptables"
	iptables-save > /etc/rules-save
	echo "."
	;;
restart) echo -n "Restarting firewall: iptables"
	iptables -F
	iptables -X
	cat /etc/rules-save | iptables-restore
        echo "."
        ;;
reload|force-reload) echo -n "Reloading configuration files for firewall: iptables"
        echo "."
        ;;
*)	echo "Usage: /etc/init.d/rc.iptables start|stop|restart|reload|force-reload"
        exit 1
        ;;
esac
exit 0

Я спрашиваю, потому что у меня открыто на самом деле больше портов

Например 2208, 32768 и 1008...

traimax · Сообщение **traimax** » 18.01.2008 05:12

Из-за вот этого:

$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

значит принимать все пакеты, которые относятся к установленным соединениям.
То есть файрфокс запрашивает соединение по 80, к нему приходит ответ с сервера, значит соединение установленно и соотвественно этому правилу пакеты будут приниматься на любых портах.

ФТП, например так делает - через 21й порт идет контрольное соединение, в котором оговариваются порты через которые происходит передача файлов. Эти передачи файлов через другие порты iptables будет считать как related и пропустит. Если это правило уберешь, то фтп перестанет работать.

Пусть поправят меня старшие коллеги, если что не так.. -)

entry · Сообщение **entry** » 18.01.2008 21:41

traimax писал(а): ↑
18.01.2008 05:12
Из-за вот этого:

$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

значит принимать все пакеты, которые относятся к установленным соединениям.
То есть файрфокс запрашивает соединение по 80, к нему приходит ответ с сервера, значит соединение установленно и соотвественно этому правилу пакеты будут приниматься на любых портах.

Ну например, фаерфокс открывает порт 37743 и конектится на 80 порт сервера. Значит только на порт 37743 моей машинки из 80 порта сервера все будет пропускаться. И меня пусть поправят старшие коллеги, если что не так. %)

minder · Сообщение **minder** » 18.01.2008 22:48

А что же вы хотите с подобным(и) правилам(и) получить ?:

$IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport $UNPRIPORTS -j ACCEPT ! --syn

Он и будет пропускать на любой непривилегированный порт (который определен от 1024 и до конца) не начало соединение, а другие пакеты (ack и т.п). Здесь, наоборот, нужно было стаить решением DROP

А это зачем?

$IPT -A INPUT -p udp -m udp -i $INET_IFACE --dport $UNPRIPORTS --sport 53 -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport 1024:65353 --sport 53 -j ACCEPT

DNS сервер сам должен к вам подключаться зачем то? o_O

entry · Сообщение **entry** » 19.01.2008 14:43

Ок. Подправил кое-что. Теперь должно быть лучше %)

Код:

#!/bin/sh
IPT="/sbin/iptables"

INET_IFACE="ppp0"

UNPRIPORTS="1024:65535"

start_fw()
{
    echo 1 > /proc/sys/net/ipv4/ip_forward

    $IPT -F
    $IPT -X

    $IPT -P INPUT DROP
    $IPT -P FORWARD DROP
    $IPT -P OUTPUT DROP

    $IPT -A INPUT -i lo -j ACCEPT
    $IPT -A OUTPUT -o lo -j ACCEPT

    $IPT -A INPUT -m state ! -i lo --state NEW -j DROP

    $IPT -A INPUT -s 127.0.0.1/255.0.0.0 ! -i lo -j DROP

    $IPT -A INPUT   -m state --state INVALID -j DROP

    $IPT -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT

    $IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
    $IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

    $IPT -A INPUT -p UDP -s 0/0 --destination-port 138 -j DROP
    $IPT -A INPUT -p UDP -s 0/0 --destination-port 113 -j REJECT
    $IPT -A INPUT -p UDP -s 0/0 --source-port 67 --destination-port 68 -j ACCEPT
    $IPT -A INPUT -p UDP -j RETURN
    $IPT -A OUTPUT -p UDP -s 0/0 -j ACCEPT

    $IPT -A INPUT --fragment -p ICMP -j DROP
    $IPT -A OUTPUT --fragment -p ICMP -j DROP

    $IPT -A INPUT -p icmp -m icmp -i $INET_IFACE --icmp-type source-quench -j ACCEPT
    $IPT -A OUTPUT -p icmp -m icmp -o $INET_IFACE --icmp-type source-quench -j ACCEPT

    $IPT -A INPUT -p icmp -m icmp -i $INET_IFACE --icmp-type echo-reply -j ACCEPT
    $IPT -A OUTPUT -p icmp -m icmp -o $INET_IFACE --icmp-type echo-request -j ACCEPT

    $IPT -A INPUT -p icmp -m icmp -i $INET_IFACE --icmp-type parameter-problem -j ACCEPT
    $IPT -A OUTPUT -p icmp -m icmp -o $INET_IFACE --icmp-type parameter-problem -j ACCEPT

    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport 6000:6063 -j DROP --syn

    $IPT -A INPUT -p tcp -m tcp -m multiport -i $INET_IFACE -j DROP --dports 783
    $IPT -A INPUT -p tcp -m tcp -m multiport -i $INET_IFACE -j DROP --dports 3310
    $IPT -A INPUT -p tcp -m tcp -m multiport -i $INET_IFACE -j DROP --dports 10000

    $IPT -A OUTPUT -p udp -m udp -o $INET_IFACE --dport 53 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 53 --sport $UNPRIPORTS -j ACCEPT

    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 113 --sport $UNPRIPORTS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 113 -j ACCEPT ! --syn
    $IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport 113 -j DROP

    $IPT -A OUTPUT -p tcp -m tcp -m multiport -o $INET_IFACE --sport $UNPRIPORTS -j ACCEPT --dports 80,443
    $IPT -A INPUT -p tcp -m tcp -m multiport -i $INET_IFACE --dport $UNPRIPORTS -j ACCEPT --sports 80,443 ! --syn #очень не безопасно!!!

    $IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 79 --sport $UNPRIPORTS -j ACCEPT

    $IPT -A OUTPUT -p udp -m udp -o $INET_IFACE --dport 67 --sport 68 -j ACCEPT
    $IPT -A INPUT -p udp -m udp -i $INET_IFACE --dport 68 --sport 67 -j ACCEPT

}

case "$1" in
start)	echo -n "Starting firewall: iptables"
	start_fw
        echo "."
	;;
stop)	echo -n "Stopping firewall: iptables"
	iptables -F
	iptables -X
        echo "."
        ;;
save)	echo -n "Saving firewall: iptables"
	iptables-save > /etc/rules-save
	echo "."
	;;
restart) echo -n "Restarting firewall: iptables"
	iptables -F
	iptables -X
	cat /etc/rules-save | iptables-restore
        echo "."
        ;;
reload|force-reload) echo -n "Reloading configuration files for firewall: iptables"
        echo "."
        ;;
*)	echo "Usage: /etc/init.d/rc.iptables start|stop|restart|reload|force-reload"
        exit 1
        ;;
esac
exit 0

unixforum.org

Парочка вопросов по iptables (не пойму, почему не все закрыто...)

Парочка вопросов по iptables

Re: Парочка вопросов по iptables

Re: Парочка вопросов по iptables

Re: Парочка вопросов по iptables

Re: Парочка вопросов по iptables