[Comm] iptables, port 0 и Stealth (blocked ports, REJECT)

[Comm] iptables, port 0 и Stealth (blocked ports, REJECT)

[Владимир Гусев]

Здравствуйте!

После напряжения одеревенелых мозгов выбрал для простейшего шлюза такой  
вариант настройки таблицы filter (как мне кажется, довольно простой и не  
очень дырявый).
Привожу фрагмент файла /etc/sysconfig/iptables, связанный с таблицей  
filter:

# Generated by iptables-save v1.3.1 on Sat Mar 26 19:18:44 2005
*filter
:INPUT DROP [2263:101724]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [35025:2403004]
[329:17593] -A INPUT -i lo -j ACCEPT
[34426:37550376] -A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j  
ACCEPT
[891:148096] -A INPUT -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
[9:756] -A INPUT -p icmp -m state --state RELATED,ESTABLISHED -j ACCEPT
[66:4100] -A OUTPUT -o lo -j ACCEPT
COMMIT

То есть разрешение в обе стороны для lo и отфильтровка "своих" пакетов в  
протоколах tcp, udp и icmp (хотя можно было, наверное в одну строчку с "-p  
all") и глобальное DROP для цепочки INPUT.

Стал проверять на онлайн-сканнерах типа http://scan.sygatetech.com и  
https://grc.com/x/ne.dll?bh0bkyd2

Sygate в принципе остался доволен моей защитой по различным тестам, в т.ч.  
и Stealth, а Shields UP не совсем. Часть из сканируемых портов не Blocked,  
а Closed. И цветная диаграмма сканирования портов от 0 до 1055 была  
сине-зеленой (синий - Closed, зеленый - Blocked), один порт 0 - просто  
закрыт и потому виден (?? - см. лог ниже)). Порты с 1 по 266, 445 и с 1024  
по 1055 - Blocked, т.е. невидим, все остальное - closed.

Еще один stealth-тест:
GRC Port Authority Report created on UTC: 2005-03-26 at 16:30:26

Results from scan of ports: 0, 21-23, 25, 79, 80, 110, 113,
                             119, 135, 139, 143, 389, 443, 445,
                             1002, 1024-1030, 1720, 5000

     0 Ports Open
     1 Ports Closed
    25 Ports Stealth
---------------------
    26 Ports Tested

NO PORTS were found to be OPEN.

The port found to be CLOSED was: 0

Other than what is listed above, all ports are STEALTH.

TruStealth: FAILED - NOT all tested ports were STEALTH,
                    - Received one or more unsolicited packets,
                    - NO Ping reply (ICMP Echo) was received.

После всего этого у меня возникли следующие вопросы

1. Что за порт 0 и как его закрывать?
2. Нужно ли добиваться, чтобы по таким онлайн-тестам все порты от 0 до  
1055 были бы BLOCKED (Stealth) (в случае теста Shields UP все порты на  
диаграмме в зеленом цвете)?
3. Насколько жизнеспособна (недырява) таблица filter в моем исполнении для  
простейшего шлюза с одной задачей - доступ в интернет для локальной сети.

-- 
С уважением, Владимир Гусев

Re: [Comm] iptables, port 0 и Stealth (blocked ports, REJECT)

[Владимир Гусев]

> После напряжения одеревенелых мозгов выбрал для простейшего шлюза такой  
> вариант настройки таблицы filter (как мне кажется, довольно простой и не  
> очень дырявый).
> Привожу фрагмент файла /etc/sysconfig/iptables, связанный с таблицей  
> filter:
>
> # Generated by iptables-save v1.3.1 on Sat Mar 26 19:18:44 2005
> *filter
> :INPUT DROP [2263:101724]
> :FORWARD ACCEPT [0:0]
> :OUTPUT ACCEPT [35025:2403004]
> [329:17593] -A INPUT -i lo -j ACCEPT
> [34426:37550376] -A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j  
> ACCEPT
> [891:148096] -A INPUT -p udp -m state --state RELATED,ESTABLISHED -j  
> ACCEPT
> [9:756] -A INPUT -p icmp -m state --state RELATED,ESTABLISHED -j ACCEPT
> [66:4100] -A OUTPUT -o lo -j ACCEPT
> COMMIT
>
> То есть разрешение в обе стороны для lo и отфильтровка "своих" пакетов в  
> протоколах tcp, udp и icmp (хотя можно было, наверное в одну строчку с  
> "-p all") и глобальное DROP для цепочки INPUT.
>
> Стал проверять на онлайн-сканнерах типа http://scan.sygatetech.com и  
> https://grc.com/x/ne.dll?bh0bkyd2
>
> Sygate в принципе остался доволен моей защитой по различным тестам, в  
> т.ч. и Stealth, а Shields UP не совсем. Часть из сканируемых портов не  
> Blocked, а Closed. И цветная диаграмма сканирования портов от 0 до 1055  
> была сине-зеленой (синий - Closed, зеленый - Blocked), один порт 0 -  
> просто закрыт и потому виден (?? - см. лог ниже)). Порты с 1 по 266, 445  
> и с 1024 по 1055 - Blocked, т.е. невидим, все остальное - closed.
>
> Еще один stealth-тест:
> GRC Port Authority Report created on UTC: 2005-03-26 at 16:30:26
>
> Results from scan of ports: 0, 21-23, 25, 79, 80, 110, 113,
>                              119, 135, 139, 143, 389, 443, 445,
>                              1002, 1024-1030, 1720, 5000
>
>      0 Ports Open
>      1 Ports Closed
>     25 Ports Stealth
> ---------------------
>     26 Ports Tested
>
> NO PORTS were found to be OPEN.
>
> The port found to be CLOSED was: 0
>
> Other than what is listed above, all ports are STEALTH.
>
> TruStealth: FAILED - NOT all tested ports were STEALTH,
>                     - Received one or more unsolicited packets,
>                     - NO Ping reply (ICMP Echo) was received.
>
> После всего этого у меня возникли следующие вопросы
>
> 1. Что за порт 0 и как его закрывать?
> 2. Нужно ли добиваться, чтобы по таким онлайн-тестам все порты от 0 до  
> 1055 были бы BLOCKED (Stealth) (в случае теста Shields UP все порты на  
> диаграмме в зеленом цвете)?
> 3. Насколько жизнеспособна (недырява) таблица filter в моем исполнении  
> для простейшего шлюза с одной задачей - доступ в интернет для локальной  
> сети.
>

Никто не посоветует ничего? Было бы интересно послушать мнения и советы..


-- 
С уважением, Владимир Гусев

[Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[Konstantin A. Lepikhov]

Hi Владимир!

Saturday 26, at 08:38:29 PM you wrote:

> Еще один stealth-тест:
> GRC Port Authority Report created on UTC: 2005-03-26 at 16:30:26
> 
> Results from scan of ports: 0, 21-23, 25, 79, 80, 110, 113,
>                             119, 135, 139, 143, 389, 443, 445,
>                             1002, 1024-1030, 1720, 5000
> 
>     0 Ports Open
>     1 Ports Closed
>    25 Ports Stealth
> ---------------------
>    26 Ports Tested
> 
> NO PORTS were found to be OPEN.
> 
> The port found to be CLOSED was: 0
> 
> Other than what is listed above, all ports are STEALTH.
> 
> TruStealth: FAILED - NOT all tested ports were STEALTH,
>                    - Received one or more unsolicited packets,
>                    - NO Ping reply (ICMP Echo) was received.
> 
> После всего этого у меня возникли следующие вопросы
> 
> 1. Что за порт 0 и как его закрывать?
netstat -vatwun ?

> 2. Нужно ли добиваться, чтобы по таким онлайн-тестам все порты от 0 до  
> 1055 были бы BLOCKED (Stealth) (в случае теста Shields UP все порты на  
> диаграмме в зеленом цвете)?
не факт, например, если нужен доступ извне к какой-нибудь службе, то зачем
ее закрывать.

> 3. Насколько жизнеспособна (недырява) таблица filter в моем исполнении для  
> простейшего шлюза с одной задачей - доступ в интернет для локальной сети.
Лучше поставьте firehol и не мучайтесь.

PS Например, чего у меня показало после тестирования:

Results from scan of ports: 0-1055

    	     1 Ports Open
    	     1 Ports Closed
 	  1054 Ports Stealth
	 ---------------------
	  1056 Ports Tested

	  The port found to be OPEN was: 22

	  The port found to be CLOSED was: 113

	  Other than what is listed above, all ports are STEALTH.

	  TruStealth: FAILED - NOT all tested ports were STEALTH,
	                     - NO unsolicited packets were received,
                             - NO Ping reply (ICMP Echo) was received.

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[Владимир Гусев]

>> 1. Что за порт 0 и как его закрывать?
> netstat -vatwun ?


Вы имели в виду сделать вывод команды?

[root@vova etc]# netstat -vatwun
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address               Foreign  
Address             State
tcp        0      0 0.0.0.0:37                   
0.0.0.0:*                   LISTEN
tcp        0      0 0.0.0.0:4239                 
0.0.0.0:*                   LISTEN
tcp        0      0 0.0.0.0:111                  
0.0.0.0:*                   LISTEN
tcp        0      0 10.0.0.1:53                  
0.0.0.0:*                   LISTEN
tcp        0      0 127.0.0.1:53                 
0.0.0.0:*                   LISTEN
tcp        0      0 0.0.0.0:22                   
0.0.0.0:*                   LISTEN
tcp        0      0 0.0.0.0:2583                 
0.0.0.0:*                   LISTEN
tcp        0      0 127.0.0.1:953                
0.0.0.0:*                   LISTEN
tcp        0      0 0.0.0.0:13756                
0.0.0.0:*                   LISTEN
tcp        0      0 10.0.0.1:2766                
128.180.196.141:4233        ESTABLISHED
tcp        0      0 10.0.0.1:2811                
66.90.102.128:80            ESTABLISHED
tcp        0      0 10.0.0.1:3139                
81.211.64.80:143            ESTABLISHED
tcp        0      0 10.0.0.1:5489                
205.188.8.8:5190            ESTABLISHED
udp        0      0 0.0.0.0:1024                0.0.0.0:*
udp        0      0 0.0.0.0:1414                0.0.0.0:*
udp        0      0 0.0.0.0:4239                0.0.0.0:*
udp        0      0 0.0.0.0:2583                0.0.0.0:*
udp        0      0 10.0.0.1:53                 0.0.0.0:*
udp        0      0 127.0.0.1:53                0.0.0.0:*
udp        0      0 0.0.0.0:1369                0.0.0.0:*
udp        0      0 0.0.0.0:111                 0.0.0.0:*
udp        0      0 10.0.0.1:123                0.0.0.0:*
udp        0      0 127.0.0.1:123               0.0.0.0:*
udp        0      0 0.0.0.0:123                 0.0.0.0:*
raw        0      0 0.0.0.0:1                   0.0.0.0:*

>> 2. Нужно ли добиваться, чтобы по таким онлайн-тестам все порты от 0 до
>> 1055 были бы BLOCKED (Stealth) (в случае теста Shields UP все порты на
>> диаграмме в зеленом цвете)?
> не факт, например, если нужен доступ извне к какой-нибудь службе, то  
> зачем
> ее закрывать.

Например? SSH ? Если бы у меня дома был бы статич. IP, то я прописал бы  
правило на шлюз для моего входе извне.. а так как у меня динамич. адрес,  
то я не знаю, стоит ли оставлять открытым SSH.

По ходу использования такой простой настройки iptables (точнее таблицы  
filter) выявил следующее - невозможен доступ к личным кабинетам некоторых  
интернет-сервисов, например к личному кабинету на сайте провайдера, вход в  
GMail через вэб-интерфейс - я так понимаю. что посылается некий сертификат  
"доверия" сервера, который является NEW по типу пакета. Как с этим быть?

>> 3. Насколько жизнеспособна (недырява) таблица filter в моем исполнении  
>> для
>> простейшего шлюза с одной задачей - доступ в интернет для локальной  
>> сети.
> Лучше поставьте firehol и не мучайтесь.

Firehol ? Не слыхал о таком.. Посмотрю, но если это графич. "приблуда"  
типа guarddog или Firewall Builder, то они меня только путают.. Еле-еле  
начинаю понимать суть вещей..


-- 
С уважением, Владимир Гусев

[Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[Konstantin A. Lepikhov]

Hi Владимир!

Sunday 27, at 08:35:31 PM you wrote:

> >>1. Что за порт 0 и как его закрывать?
> >netstat -vatwun ?
> 
> 
> Вы имели в виду сделать вывод команды?
> 
> [root@vova etc]# netstat -vatwun
<skip>
> raw        0      0 0.0.0.0:1                   0.0.0.0:*
вот он на него наверное и ругается

> 
> >>2. Нужно ли добиваться, чтобы по таким онлайн-тестам все порты от 0 до
> >>1055 были бы BLOCKED (Stealth) (в случае теста Shields UP все порты на
> >>диаграмме в зеленом цвете)?
> >не факт, например, если нужен доступ извне к какой-нибудь службе, то  
> >зачем
> >ее закрывать.
> 
> Например? SSH ? Если бы у меня дома был бы статич. IP, то я прописал бы  
> правило на шлюз для моего входе извне.. а так как у меня динамич. адрес,  
> то я не знаю, стоит ли оставлять открытым SSH.
если у вас нет возможности определить извне динамический адрес своей
машины (у меня такая возможность есть ;) то вам это и не надо. 

> 
> По ходу использования такой простой настройки iptables (точнее таблицы  
> filter) выявил следующее - невозможен доступ к личным кабинетам некоторых  
> интернет-сервисов, например к личному кабинету на сайте провайдера, вход в  
> GMail через вэб-интерфейс - я так понимаю. что посылается некий сертификат  
> "доверия" сервера, который является NEW по типу пакета. Как с этим быть?
поставить firehol :)

<skip>
> Firehol ? Не слыхал о таком.. Посмотрю, но если это графич. "приблуда"  
> типа guarddog или Firewall Builder, то они меня только путают.. Еле-еле  
> начинаю понимать суть вещей..
firehol.sf.net 
Он не графический, но очень удобный и понятный в конфигурировании. По,
крайней мере, рабочую конфигурацию для firewall там можно поднять за
несколько минут без особого знания команд iptables, просто
воспользовавшись приложенными примерами.

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[@ 2005-03-27 17:33 UTC (permalink / raw)]

[Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[@ 2005-03-27 17:26 UTC (permalink / raw)]

Re: [Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[@ 2005-03-28 7:41 UTC (permalink / raw)]

[Comm] FPROFTPD

[@ 2005-03-28 7:56 UTC (permalink / raw)]

Re: [Comm] FPROFTPD

[@ 2005-03-28 9:58 UTC (permalink / raw)]

Re: [Comm] FPROFTPD

[@ 2005-03-28 10:02 UTC (permalink / raw)]

Re: [Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[@ 2005-03-28 11:42 UTC (permalink / raw)]

Re: [Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[@ 2005-03-28 19:34 UTC (permalink / raw)]

Re: [Comm] Re: iptables, port 0 и Stealth (blocked ports, REJECT)

[@ 2005-03-28 13:20 UTC (permalink / raw)]