[Sysadmins] разрешить только шифрованный трафик

[Sysadmins] разрешить только шифрованный трафик

[Serge]

как с помощью iptables разрешить только прохождение esp пакетов?

Re: [Sysadmins] разрешить только шифрованный трафик

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 213 bytes --]

Serge <skompan-yVpFo04wtUJUq1AO9QMCaQ@public.gmane.org> writes:

> как с помощью iptables разрешить только прохождение esp пакетов?

--proto esp ?
--protocol 50 ?

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] разрешить только шифрованный трафик

[Maxim Tyurin]

Ivan Fedorov writes:

> Serge <skompan-yVpFo04wtUJUq1AO9QMCaQ@public.gmane.org> writes:
>
>> как с помощью iptables разрешить только прохождение esp пакетов?
>
> --proto esp ?
> --protocol 50 ?

и еще --proto udp --dport 500

-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Sysadmins] разрешить только шифрованный трафик

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 502 bytes --]

Maxim Tyurin <mrkooll-uSUZ9Wc3Kksk+I/owrrOrA@public.gmane.org> writes:

>> Serge <skompan-yVpFo04wtUJUq1AO9QMCaQ@public.gmane.org> writes:
>>
>>> как с помощью iptables разрешить только прохождение esp пакетов?
>>
>> --proto esp ?
>> --protocol 50 ?
>
> и еще --proto udp --dport 500
ну это СИЛЬНО индивидуально... да и вообще без L3 анализа тут нельзя
обойтись наверное...

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] разрешить только шифрованный трафик

[Maxim Tyurin]

Ivan Fedorov writes:

> Maxim Tyurin <mrkooll-uSUZ9Wc3Kksk+I/owrrOrA@public.gmane.org> writes:
>
>>> Serge <skompan-yVpFo04wtUJUq1AO9QMCaQ@public.gmane.org> writes:
>>>
>>>> как с помощью iptables разрешить только прохождение esp пакетов?
>>>
>>> --proto esp ?
>>> --protocol 50 ?
>>
>> и еще --proto udp --dport 500
> ну это СИЛЬНО индивидуально... да и вообще без L3 анализа тут нельзя
> обойтись наверное...

Анализ никогда не помешает. А насчет сильно индивидуально или нет
нужно проводить статистические исследования - многие ли используют ESP
без IKE. ИМХО такое достаточно редко бывает.
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Sysadmins] разрешить только шифрованный трафик

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 874 bytes --]

Maxim Tyurin <mrkooll-uSUZ9Wc3Kksk+I/owrrOrA@public.gmane.org> writes:

>>>>> как с помощью iptables разрешить только прохождение esp пакетов?
>>>>
>>>> --proto esp ?
>>>> --protocol 50 ?
>>>
>>> и еще --proto udp --dport 500
>> ну это СИЛЬНО индивидуально... да и вообще без L3 анализа тут нельзя
>> обойтись наверное...
>
> Анализ никогда не помешает. А насчет сильно индивидуально или нет
> нужно проводить статистические исследования - многие ли используют ESP
> без IKE. ИМХО такое достаточно редко бывает.

Я про то, что по udp/500 может лезть иной траффик.

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] разрешить только шифрованный трафик

[Serge]

On Thursday 05 February 2009 20:23:27 Maxim Tyurin wrote:
> Ivan Fedorov writes:
> > Serge <skompan-yVpFo04wtUJUq1AO9QMCaQ@public.gmane.org> writes:
> >> как с помощью iptables разрешить только прохождение esp пакетов?
> >
> > --proto esp ?
> > --protocol 50 ?
>
> и еще --proto udp --dport 500

модуль ipt_esp подгружен
но правило не грузится:

  Loading rules for the "FORWARD" chain in the "filter" tableBad argument 
`esp'
Try `iptables -h' or 'iptables --help' for more information.
ERROR: ./efw: /sbin/iptables -t filter -A FORWARD -j REJECT -i eth1 ! 
esp --src $ANYWHERE --dst $ANYWHERE

Re: [Sysadmins] разрешить только шифрованный трафик

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 887 bytes --]

Serge <skompan-yVpFo04wtUJUq1AO9QMCaQ@public.gmane.org> writes:

> On Thursday 05 February 2009 20:23:27 Maxim Tyurin wrote:
>> Ivan Fedorov writes:
>> > Serge <skompan-yVpFo04wtUJUq1AO9QMCaQ@public.gmane.org> writes:
>> >> как с помощью iptables разрешить только прохождение esp пакетов?
>> >
>> > --proto esp ?
>> > --protocol 50 ?
>>
>> и еще --proto udp --dport 500
>
> модуль ipt_esp подгружен
> но правило не грузится:
>
>   Loading rules for the "FORWARD" chain in the "filter" tableBad argument 
> `esp'
> Try `iptables -h' or 'iptables --help' for more information.
> ERROR: ./efw: /sbin/iptables -t filter -A FORWARD -j REJECT -i eth1 ! 
> esp --src $ANYWHERE --dst $ANYWHERE

Вы правда не видите, что esp передаётся без ключа --proto?

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]