Прошу помочь в освоении SuSEfirewall (Доступ по XDMCP или VNC к серверу в инете)

[oleg410]

Прошу помочь в освоении SuSEfirewall. (SuSE 10.3)
На сколько я понял для разрешения доступа к службам во внешней сети
необходимо указать нужные порты в параметре FW_MASQ_NETS
C ssh,http,dns,ftp и MSтерминальным клиентом (порт 3389) проблем нет ,все работает,
но вот с XDMCP (порт 177) и VNC чето не идет. Может я не правильно понимаю идеологию
фаервола, или для настройки доступа к этим сервисам нужны еще какие то телодвижения,
растолкуйте пожалуйста.

192.168.95.0/24 - внутренняя сеть
192.168.94.0/24 - внешнняя сеть (типа интернет)

Кусок моего конфига
*************************

Код: Выделить всё

FW_DEV_INT="eth0"
FW_DEV_EXT="any eth1"

FW_PROTECT_FROM_INT="yes"
FW_ROUTE="yes"
FW_MASQUERADE="yes"
FW_MASQ_DEV="zone:ext"

FW_MASQ_NETS="192.168.95.0/24,0/0,tcp,80
192.168.95.0/24,0/0,tcp,53
192.168.95.0/24,0/0,udp,53
192.168.95.0/24,0/0,tcp,21
192.168.95.0/24,0/0,tcp,20
192.168.95.0/24,0/0,tcp,22
192.168.95.0/24,0/0,tcp,40000:40500
192.168.95.0/24,0/0,tcp,5801
192.168.95.0/24,0/0,tcp,5901
192.168.95.0/24,0/0,tcp,3389
192.168.95.0/24,0/0,tcp,177
192.168.95.0/24,0/0,udp,177"

FW_ALLOW_FW_BROADCAST_EXT="xdmcp"
FW_ALLOW_FW_BROADCAST_INT="xdmcp"
FW_LOAD_MODULES="ip_conntrack_ftp ip_nat_ftp"

Кусок лога

Код: Выделить всё

cat firewall|grep SPT=177

Jan 29 10:30:31 fw kernel: SFW2-FWDext-DROP-DEFLT IN=eth1 OUT=eth0 SRC=192.168.94.189 DST=192.168.95.238 LEN=79 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=UDP SPT=177 DPT=1045 LEN=59
Jan 29 10:35:31 fw kernel: SFW2-FWDext-DROP-DEFLT IN=eth1 OUT=eth0 SRC=192.168.94.185 DST=192.168.95.238 LEN=76 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=UDP SPT=177 DPT=1045 LEN=56
Jan 29 10:35:31 fw kernel: SFW2-FWDext-DROP-DEFLT IN=eth1 OUT=eth0 SRC=192.168.94.189 DST=192.168.95.238 LEN=79 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=UDP SPT=177 DPT=1045 LEN=59
Jan 29 10:40:31 fw kernel: SFW2-FWDext-DROP-DEFLT IN=eth1 OUT=eth0 SRC=192.168.94.185 DST=192.168.95.238 LEN=76 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=UDP SPT=177 DPT=1045 LEN=56

192.168.94.189 = пк во внешней сети к которому обращаются по XDMCP c 192.168.95.238 из внутр.сетки
Запись SFW2-FWDext-DROP-DEFLT наводит меня на мысль что срабатывает какоето дефолтное правило дропать эти пакеты но почему?
Из доки руководствовался докой /user/share/doc/packages/SuSEFirewall и еще где-то нашел pdf "SuSE Firewall2 Understanding and Using Unofficial SuSEFAQ by Togan Muftuoglu"

1) Подскажите что не так
2) Где достать подробную доку по SuSEFirewall ?
3) Подскажите правильную методику тестирования SuSEFirewall (читал про nmap, tcpdump но если на примере кто-нибудь подскажет буду очень признателен)

[ni4]

По пункту 2.

Статья по базовой настройке SuSEfirewall2
http://mysuse.com.ua/art/?a=articles&p=31

[bvlad]

для XDMCP в файле
/opt/kde3/share/config/kdm/kdmrc
нужно чтобы было так
[Xdmcp]
# Whether KDM should listen to incoming XDMCP requests.
# Default is false
Enable=true
# The UDP port on which KDM should listen for XDMCP requests. Do not change.
# Default is 177
#Port=177

[oleg410]

для XDMCP в файле
/opt/kde3/share/config/kdm/kdmrc
нужно чтобы было так
[Xdmcp]
# Whether KDM should listen to incoming XDMCP requests.
# Default is false
Enable=true
# The UDP port on which KDM should listen for XDMCP requests. Do not change.
# Default is 177
#Port=177

Спасибо за помощь но меня интересуют настройки фаервола а не XDMCP сервера

[oleg410]

Сегодня ковырялся и при добавлении записи FW_FORWARD="0/0,192.168.95.238,tcp,6000:6005 "
т.е пробросил эти порты внутрь на свою машину все пошло, только я не уверен насколько это корректно с точки зрения безопасности ?
Может есть более правильное решение?

[Evil_Genius]

Скажите пжлста, можно ли при помощи его широковещатильные пакеты от одного конкретного ip отсылать назад на этот ip?

[UTiM]

FW_FORWARD="0/0,192.168.95.238,tcp,6000:6005 " - идея плохая..

XDMCP использует TCP, UDP порт 177 и порт TCP с 6000 по 6005 - по идее надо разрешить для них FW_MASQ_NETS
Однако, сначала попробуйте просто добавить в FW_MASQ_NETS=192.168.95.238,0/0 - то, есть выход через маскарадинг для своей машины на любые порты. Если не заработает - это значит проблема аналогична работе ftp через маскарадинг, когда передача данных по 20-му порту не увязывается с запросами по 21 - лечится FW_LOAD_MODULES="ip_conntrack_ftp ip_nat_ftp" и FW_SERVICES_ACCEPT_RELATED_EXT. Если причина для XDMCP в том-же - попробовать покрутить в этом направлении или добавить ручками правила для iptables в файл из FW_CUSTOMRULES.

Но вообще, передавать XDMCP во внешнюю сеть плохая идея как по секьюрности, так и по производительности, лучше воспользоваться чем-то работающему по одному порту (меньше проблем с маскарадингом). Если не устраивает простое ssh -X user@192.168.94.18 можно воспользоваться NX сервером - весчь гораздо более продвинутая, чем VNC (статьи по настройке есть здесь на форуме). Вот большая ссылка - там всего много.

Да, кстати, вы вообще уверены, что вам нужен Маскарадинг, а не просто FORWARD ? Непохожа ваша "внешняя" сеть на "белую", от которой надо внутренние ip прятать...

Да, кстати, вторая ссылка на описание фаервола дохлая, новое описание здесь и здесь

А про тестирование - вам поможет графическая утилитка wireshark (запускать под root) - ставите на шлюз, натравливаете на нужные интерфейсы и смотрите в реалном времени - кто куда ломится и где помирает...