Re: [Comm] iptables

Re: [Comm] iptables

[Nizamov Shavkat]

> И скажите мне - идиоту - почему люди извне могут попасть на мой
> прокси (в логи в частности)?
>
> А счас подстройил squid - http_port сменил с
> 3128 на 192.168.130.2:3128 - проблема ушла -

ну так раньше сквид слушал на всех интерфейсах, а теперь только на внутреннем

Re: [Comm] iptables

[Nizamov Shavkat]

> Ведь не должен он извне никаких NEW конектов принимать?

похоже на сканирование (при помощи пакетов с established или еще какой
хитрой методой)

Re: [Comm] iptables

[Nizamov Shavkat]

> Мля... и как с этим можно бороться? Ведь ESTABLISHED,RELATED не
> отключишь...
>

отрубить порт 3128 извне вообще.

[Comm] iptables

[Alexey Morsov]

Привет,

У меня уже ум за разум наверно езаходит.. господа - свежим (у 
кого есть еще) взглядом гляньте на вот это:

$FW -P INPUT DROP
$FW -A INPUT -m state --state ESTABLISHED,RELATED -j IN_SORTING
$FW -A INPUT -p tcp -d $INET_IP --dport 80 -i $INET_ETH -j 
FONDMARKET_IN
$FW -A INPUT -m state --state NEW -i ! $INET_ETH -j ACCEPT
$FW -A INPUT -i $INET_ETH -d $INET_IP -j ACCEPT

И скажите мне - идиоту - почему люди извне могут попасть на мой 
прокси (в логи в частности)?

А счас подстройил squid - http_port сменил с
3128 на 192.168.130.2:3128 - проблема ушла - но меня беспокоит 
сама ситуация - у меня там и Mysql крутиться и ваще - какого?! 
Ведь не должен он извне никаких NEW конектов принимать?


-- 
С наилучшими пожеланиями,
Алексей.

Re: [Comm] iptables

[Alexey Morsov]

Nizamov Shavkat wrote:
>>Ведь не должен он извне никаких NEW конектов принимать?
> 
> 
> похоже на сканирование (при помощи пакетов с established или еще какой
> хитрой методой)
Мля... и как с этим можно бороться? Ведь ESTABLISHED,RELATED не 
отключишь...

-- 
С наилучшими пожеланиями,
Алексей.

Re: [Comm] iptables

[Sergey V. Golovin]

* Alexey Morsov <samurai@ricom.ru> [ 5 May Wed 12:17]
> $FW -P INPUT DROP
> $FW -A INPUT -m state --state ESTABLISHED,RELATED -j IN_SORTING
> $FW -A INPUT -p tcp -d $INET_IP --dport 80 -i $INET_ETH -j 
> FONDMARKET_IN
> $FW -A INPUT -m state --state NEW -i ! $INET_ETH -j ACCEPT

=================
> $FW -A INPUT -i $INET_ETH -d $INET_IP -j ACCEPT
=================

Последнее правило должно пускать всех из инета, если в
IN_SORTING нет ничего запрещающего.

-- 
Sergey Golovin

Re: [Comm] iptables

[Alexey Morsov]

Nizamov Shavkat wrote:
>>Мля... и как с этим можно бороться? Ведь ESTABLISHED,RELATED не
>>отключишь...
>>
> 
> 
> отрубить порт 3128 извне вообще.
млин - эдак заманаешь порты отрубать...
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://lists.altlinux.ru/mailman/listinfo/community
> 

-- 
С наилучшими пожеланиями,
Алексей.

Re: [Comm] iptables

[Alexey Morsov]

Sergey V. Golovin wrote:

> * Alexey Morsov <samurai@ricom.ru> [ 5 May Wed 12:17]
> 
>>$FW -P INPUT DROP
>>$FW -A INPUT -m state --state ESTABLISHED,RELATED -j IN_SORTING
>>$FW -A INPUT -p tcp -d $INET_IP --dport 80 -i $INET_ETH -j 
>>FONDMARKET_IN
>>$FW -A INPUT -m state --state NEW -i ! $INET_ETH -j ACCEPT
> 
> 
> =================
> 
>>$FW -A INPUT -i $INET_ETH -d $INET_IP -j ACCEPT
> 
> =================
> 
> Последнее правило должно пускать всех из инета, если в
> IN_SORTING нет ничего запрещающего.
> 
Да вот оно мне тоже спать не давало.. т.е. в мою сетку они из вне 
не залезут... но и на хосте им делать нечего...
в /dev/null
-- 
С наилучшими пожеланиями,
Алексей.

Re: [Comm] iptables

[Sergey V. Golovin]

* Alexey Morsov <samurai@ricom.ru> [ 5 May Wed 12:52]
> Да вот оно мне тоже спать не давало.. т.е. в мою сетку они из вне 
> не залезут... но и на хосте им делать нечего...
> в /dev/null

Так прокси где-то внутри или на этом же?

-- 
Sergey Golovin

Re: [Comm] iptables

[Alexey Morsov]

Sergey V. Golovin wrote:
> * Alexey Morsov <samurai@ricom.ru> [ 5 May Wed 12:52]
> 
>>Да вот оно мне тоже спать не давало.. т.е. в мою сетку они из вне 
>>не залезут... но и на хосте им делать нечего...
>>в /dev/null
> 
> 
> Так прокси где-то внутри или на этом же?
> 
На это же
-- 
С наилучшими пожеланиями,
Алексей.

Re: [Comm] iptables

[Metalking]

В сообщении от 5 Май 2004 12:50 Alexey Morsov написал(a):
> Nizamov Shavkat wrote:
> >>Мля... и как с этим можно бороться? Ведь ESTABLISHED,RELATED не
> >>отключишь...
> >
> > отрубить порт 3128 извне вообще.
>
> млин - эдак заманаешь порты отрубать...
>

Проще запретить доступ снаружи ко всем портам, а разрешить доступ только для 
тех портов, что необходимы (на проксе как правило можно вообще ничего не 
открывать на внешнем интерфейсе). 
Для внутреннего интерфейса  тоже можно действовать таким образом - открыть  
только  реально используемые порты. 
В итоге различные червяки к Вам/ от Вас не пролезут.

Re: [Comm] iptables

[Alexey Morsov]

Metalking wrote:
> 
> Проще запретить доступ снаружи ко всем портам, а разрешить доступ только для 
> тех портов, что необходимы (на проксе как правило можно вообще ничего не 
> открывать на внешнем интерфейсе). 
ну дык у меня iptables P INPUT DROP и iptables -P FORWARD DROP

-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
http://www.ricom.ru
http://www.fondmarket.ru