Iptables (Постройка правил iptables исходя из парадигмы "блокировать все, о)

[moog]

Строю цепочку iptables и не могу понять, как заставить sim работать ? Можно ли заставить его использовать не-рандомные порты ?

[diesel]

Есть состояние пакета 'RELATED' когда через другой порт открывается соединение связанное с уже разрешенным протоколом. Это похоже на Ваш случай, вот только как это конкретно применить - не знаю, пока что руководство по iptables до конца не осилил

[moog]

Тогда другой вопрос - насколько оправдан такой способ постоения защиты ?

[diesel]

Тогда другой вопрос - насколько оправдан такой способ постоения защиты ?

Как по мне - файерволл на обычной домашней машине не оправдан Разве если только хочется поучится, или нужен NAT ...

Схему "Блокировать все что не разрешено" обычно и рекомендуют использовать.

[moog]

Хочется поучится ). Так все-таки реально заставить sim работать только через определенный мной список портов ?

[diesel]

Хочется поучится ). Так все-таки реально заставить sim работать только через определенный мной список портов ?

Кстати подумал, и не понял Вроде в ICQ проблем с файерволом не было - достаточно отрыть порт 5190 чтобы клиент мог коннетится ... вроде дополнительных портов не открывается при этом(хотя у меня и не SIM, но ведь протокол-то один). Хотя коннекты с системы вообще закрывать не имеет смысла ...

[moog]

Чет я не понял, цепочка INPUT - это исходящие от меня пакеты чтоли ?

[diesel]

Чет я не понял, цепочка INPUT - это исходящие от меня пакеты чтоли ?

Входящие это

[little Jon]

Вот это работает достаточно надежно. Заимствовано из "Запускаем LINUX" М.УЭЛША и др.
Для новичка я думаю в самый раз. Достаточно легко понять что и где нужно менять "под себя"
Но чтения HOWTO IPTABLES в переводе Киселева не заменяет.

#!/bin/sh
# Устанавливаем путь к iptables
IPTABLES="/sbin/iptables"
# Устанавливаем политику по умолчанию запретить все что не разрешено
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
# Разрешаем все пакеты поступившие от кольцевого интерфейса
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT
# Создаем новую цепочку, определенную пользователем. Она будет содержать
# правила для INPUT и FORWARD, поэтому , объединив их в одной цепочке,
# мы избегаем их дублирования.
$IPTABLES -N allowfwdin
# все последующие правила будут помещаться в эту цепочку
# Разрешим пакеты придлежащие существующему соединению.
$IPTABLES -A allowfwdin -m state --state ESTABLISHED,RELATED -j ACCEPT
# Разрешим новые запросы соединений от машин во внутренней сети.
# Это позволит машинам внутренней сети соединяться с Интернетом, но не наоборот
# обратим внимание на -i ! eth0 для задания пакетов поступающих с других интерфейсов. eth0 интерфейс подключенный к интернету
$IPTABLES -A allowfwdin -m state --state NEW -i ! eth0 -j ACCEPT
# разрешим новые запросы на порт 20 21 (ftp подключим попозже)
# $IPTABLES -A allowfwdin -m state --state NEW -m tsp -p tsp --dport 21 -j ACCEPT
# Ко всем пакетам, прошедшим, цепочку определенную пользователем, теперь
# применяется действие LOG, которое их регистрирует. Регистрация ограничена Limit
# что бы она не проходила слишком быстро (это возможно на будущее)
# $IPTABLES -A allowfwdin -m limit --limit 2/sec LOG
# Устанавливаем по умолчанию действие DROP для цепочки
# определенной пользователем как allowfwdin
$IPTABLES -A allowfwdin -j DROP
# Направляем пакеты из цепочек INPUT и OUTPUT в нашу цепочку allowfwdin
$IPTABLES -A INPUT -j allowfwdin
$IPTABLES -A OUTPUT -j allowfwdin
# Скрываем адреса для маршрутеризируемых соединений поддерживаемых устройством eth0
# используя специальный модуль IPTABLES nat "ключ-t подключение через таблицу NAT" 271.70.ххх.ххх адрес который дал нам провайдер или
# $IPTABLES -t nat -A POSTROUTING -p eth0 -j MASQURADE в случае DHCP адресации
$IPTABLES -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 217.70.xxx.xxx
# Включаем маршрутеризацию
echo 1 > /proc/sys/net/ipv4/ip_forward

[moog]

Огромное спасибо !