From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <mike@fly.osdn.org.ua>
Date: Thu, 27 Nov 2003 10:07:09 +0200
From: Michael Shigorin <mike@osdn.org.ua>
To: community@altlinux.ru
Message-ID: <20031127080709.GH10424@osdn.org.ua>
Mail-Followup-To: community@altlinux.ru
References: <3FC34DE5.90405@ricom.ru>
	<20031126075223.GC11169@localhost.localdomain>
	<3FC47526.1050302@ricom.ru>
	<20031126125615.GB25325@localhost.localdomain>
	<3FC4C09B.7000903@ricom.ru>
	<20031127030251.GF30675@localhost.localdomain>
	<1695420140.20031127103015@gnk.krasnoyarsk.ru>
	<20031127040452.GA1581@localhost.localdomain>
Mime-Version: 1.0
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <20031127040452.GA1581@localhost.localdomain>
User-Agent: Mutt/1.4.1i
Subject: [Comm] Re: Linux Gate
X-BeenThere: community@altlinux.ru
X-Mailman-Version: 2.1.3
Precedence: list
Reply-To: community@altlinux.ru
List-Id: <community.altlinux.ru>
List-Unsubscribe: <listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=unsubscribe>
List-Archive: </pipermail/community>
List-Post: <mailto:community@altlinux.ru>
List-Help: <mailto:community-request@altlinux.ru?subject=help>
List-Subscribe: <listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=subscribe>
X-List-Received-Date: Thu, 27 Nov 2003 08:07:11 -0000
Archived-At: <http://lore.altlinux.org/community/20031127080709.GH10424@osdn.org.ua/>
List-Archive: <http://lore.altlinux.org/community/>
List-Post: <mailto:mandrake-russian@linuxteam.iplabs.ru>

On Thu, Nov 27, 2003 at 07:04:52AM +0300, Денис Смирнов wrote:
>  > Напишите такиеже 3-4 строчки для ftp доступа куданьть
>  > плиз, не поленитесь...
> /sbin/iptables -A INPUT  -m state --state ESTABLISHED,RELATES -j ACCEPT

Еще полезно

-A INPUT -m state --state INVALID,NEW -j DROP

и в конце (при этом chain policy == ACCEPT)

-A INPUT -j REJECT --reject-with icmp-host-unreachable

-- если не требуется именно дропать (большой паразитный трафик),
то это сделает наш файрвол внешне неотличимым от просто
открытых/закрытых портов.

> /sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATES -j ACCEPT

Это если и изнутри не все выпускать, тогда осмысленно.  И то как
раз тогда -- не всегда =)

> /sbin/iptables -A OUTPUT -p tcp -d 10.50.18.0/24 --dport 21 -j ACCEPT
> 
> То есть если пакет принадлежит к уже установленому соединению --
> пропустить. Если пакет это установка ftp-соединения -- пропустить.

Ну и подгрузить ip_conntrack_ftp не забыть все же.

Кстати.  Есть мысль, что если нет болтающегося identd --
осмысленно сделать так для избежания таймаутов тех, кто пытается
в него стучаться (sendmail, ssh, ...):

-A INPUT -p tcp -m tcp --dport 113 -j REJECT --reject-with tcp-reset

PS: все это легко находится гооглем :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/