Как определенному приложению запретить доступ к опр.портам?

[fergios]

Как определенному приложению запретить доступ к опр.портам

[drBatty]

http://www.opennet.ru/docs/RUS/iptables/

[rm_]

У меня была задача запретить определённому пользователю (а точнее группе "непривилегированных") доступ в локалку и к сервисам локалхоста (кроме DNS - UDP порт 53), оставив при этом доступ в интернет. Решил вот так:

Код: Выделить всё

iptables -A OUTPUT -m owner --gid-owner группа -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -m owner --gid-owner группа -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m owner --gid-owner группа ! -o внешнийинтерфейс -j DROP

При необходимости ограничить конкретную программу, можно эту программу запускать под пользователем, входящим в эту группу.

fergios
миллион ваших тем, в каждой из которых какой-то полуфабрикат вопроса (ни "здравствуйте, подскажите пожалуйста", ни даже вопросительного знака), ответ на который к тому же зачастую можно найти в гугле за пару минут:
- показывает ваше неуважение к участникам форума;
- уже утомил.

[Nazyvaemykh]

Насколько вообще разумно ограничивать одну конкретную программу относительно порта, не ограничивая всех других? Разве это не бесполезно?
Всегда же можно обойти этот запрет, использую модуль tun, либо программу netcat, либо как-нибудь еще проще?

[drBatty]

Насколько вообще разумно ограничивать одну конкретную программу относительно порта, не ограничивая всех других? Разве это не бесполезно?

кстати да. никогда мне такого в голову не приходило...

[sash-kan]

либо как-нибудь еще проще

execve — проще некуда.

[Nazyvaemykh]

execve? Я так понимаю, пользователю придется вносить в программу изменения? Ведь это не всегда возможно, есть же какие-то права, ограничения…

[sash-kan]

execve? Я так понимаю, пользователю придется вносить в программу изменения? Ведь это не всегда возможно, есть же какие-то права, ограничения…

это я с точки зрения трояно-писателя.
с точки зрения пользователя ещё проще: cp, mv, rename, etc.

[rm_]

Насколько вообще разумно ограничивать одну конкретную программу относительно порта, не ограничивая всех других? Разве это не бесполезно?
Всегда же можно обойти этот запрет, использую модуль tun, либо программу netcat, либо как-нибудь еще проще?

Одна из причин, почему и надо ограничивать не программу, а пользователя.
Если обратного "не дано" через sudo, то пользователи в *nix могут выполнять задачи только от имени себя, и никакой netcat не поможет.