From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Fri, 28 Nov 2003 23:59:46 +0200 From: Michael Shigorin To: community@altlinux.ru Message-ID: <20031128215946.GA10424@osdn.org.ua> Mail-Followup-To: community@altlinux.ru References: <3FC34DE5.90405@ricom.ru> <20031126075223.GC11169@localhost.localdomain> <3FC47526.1050302@ricom.ru> <20031126125615.GB25325@localhost.localdomain> <3FC4C09B.7000903@ricom.ru> <20031127030251.GF30675@localhost.localdomain> <1695420140.20031127103015@gnk.krasnoyarsk.ru> <20031127040452.GA1581@localhost.localdomain> <20031127080709.GH10424@osdn.org.ua> <20031127114909.GB20228@localhost.localdomain> Mime-Version: 1.0 Content-Type: multipart/signed; micalg=pgp-sha1; protocol="application/pgp-signature"; boundary="9KMRXrBaLD3S8C0H" Content-Disposition: inline In-Reply-To: <20031127114909.GB20228@localhost.localdomain> User-Agent: Mutt/1.4.1i Subject: [Comm] Re: Linux Gate X-BeenThere: community@altlinux.ru X-Mailman-Version: 2.1.3 Precedence: list Reply-To: community@altlinux.ru List-Id: List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Fri, 28 Nov 2003 21:59:49 -0000 Archived-At: List-Archive: List-Post: --9KMRXrBaLD3S8C0H Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit On Thu, Nov 27, 2003 at 02:49:09PM +0300, Денис Смирнов wrote: > > > > Напишите такиеже 3-4 строчки для ftp доступа куданьть > > > > плиз, не поленитесь... > > > /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATES -j ACCEPT > > Еще полезно > > -A INPUT -m state --state INVALID,NEW -j DROP > Хм. Зачем? Затем, чтоб народное творчество обламывалось почаще. > > и в конце (при этом chain policy == ACCEPT) > > -A INPUT -j REJECT --reject-with icmp-host-unreachable > А policy == ACCEPT зачем? Чтоб добраться до -j REJECT, ессно :-) > > -- если не требуется именно дропать (большой паразитный трафик), > > то это сделает наш файрвол внешне неотличимым от просто > > открытых/закрытых портов. > Я так делаю везде, где это внутри сети (то есть где траффик не > считается и денег не стоит). На INPUT с интерфейса идущего в > интернет у меня везде -j DROP. У меня -- зависит. > >> /sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATES -j ACCEPT > > Это если и изнутри не все выпускать, тогда осмысленно. И то > > как раз тогда -- не всегда =) > А почему как раз тогда не всегда? В смысле "как раз тогда -- не всегда ACCEPT" :-) > Изнутри я, бывает, не всех и не везде пускаю. Ну да, особенно на 25-й порт наружу. > > Кстати. Есть мысль, что если нет болтающегося identd -- > > осмысленно сделать так для избежания таймаутов тех, кто пытается > > в него стучаться (sendmail, ssh, ...): > > -A INPUT -p tcp -m tcp --dport 113 -j REJECT --reject-with tcp-reset > > PS: все это легко находится гооглем :) > Есть такое дело. Каждый раз забываю, потом каждый раз с > матюками прописываю :) Ну лучше без матюков, чтоб системные утилиты не смущать непривычным синтаксисом да окружение не портить. Но наступить на грабли, не включив net.ipv4.ip_forward в /etc/sysctl.conf -- это тоже любимое :)))))) -- ---- WBR, Michael Shigorin ------ Linux.Kiev http://www.linux.kiev.ua/ --9KMRXrBaLD3S8C0H Content-Type: application/pgp-signature Content-Disposition: inline -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.1 (GNU/Linux) iD8DBQE/x8VRbsPDprYMm3IRAuKBAJwLQDQPDTgaB8AsnYC3xOj7u2OFXACbBRyx oBJjaz7VnNdZMtoHebe4I0w= =JXKH -----END PGP SIGNATURE----- --9KMRXrBaLD3S8C0H--