[Comm] iptables и nmap : DROP, REJECT -> filtered

[Comm] iptables и nmap : DROP, REJECT -> filtered

[Eugene Prokopiev]

Здравствуйте!

Когда-то, читая Андерсона в переводе Киселева, запомнил, что цель REJECT 
в iptables не просто убивает пакеты, приходящие на определенный порт, а 
посылает отправителю icmp-сообщение port-unreachable. Ну и домыслил, что 
nmap должен видеть такие порты как closed.

Сегодня впервые попробовал это сделать и был немного разочарован 
результатом:

# iptables -t filter -F INPUT
# iptables -A INPUT -p tcp --dport 21 -j REJECT
# nmap -p 21 127.0.0.1
Starting nmap 3.55 ( http://www.insecure.org/nmap/ ) at 2005-09-06 14:37 MSD
Interesting ports on localhost.localdomain (127.0.0.1):
PORT   STATE    SERVICE
21/tcp filtered ftp
Nmap run completed -- 1 IP address (1 host up) scanned in 0.878 seconds

# iptables -t filter -F INPUT
# iptables -A INPUT -p tcp --dport 21 -j DROP
# nmap -p 21 127.0.0.1
Starting nmap 3.55 ( http://www.insecure.org/nmap/ ) at 2005-09-06 14:38 MSD
Interesting ports on localhost.localdomain (127.0.0.1):
PORT   STATE    SERVICE
21/tcp filtered ftp
Nmap run completed -- 1 IP address (1 host up) scanned in 2.794 seconds

Почему?
Как добиться того, чтоб порт был closed?

Для сравнения:

# iptables -t filter -F INPUT
# nmap -p 20 127.0.0.1
Starting nmap 3.55 ( http://www.insecure.org/nmap/ ) at 2005-09-06 14:40 MSD
Interesting ports on localhost.localdomain (127.0.0.1):
PORT   STATE  SERVICE
20/tcp closed ftp-data
Nmap run completed -- 1 IP address (1 host up) scanned in 0.873 seconds


-- 
С уважением, Прокопьев Евгений

Re: [Comm] iptables и nmap : DROP, REJECT -> filtered

[Dmytro O. Redchuk]

On Tue, Sep 06, 2005 at 02:33:33PM +0400, Eugene Prokopiev wrote:
> Здравствуйте!
> 
> Когда-то, читая Андерсона в переводе Киселева, запомнил, что цель REJECT 
> в iptables не просто убивает пакеты, приходящие на определенный порт, а 
> посылает отправителю icmp-сообщение port-unreachable. Ну и домыслил, что 
> nmap должен видеть такие порты как closed.
> 
> Сегодня впервые попробовал это сделать и был немного разочарован 
> результатом:

 --reject-with type ?

(man iptables)

> 
> 
> -- 
> С уважением, Прокопьев Евгений

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

[Comm] Re: iptables и nmap : DROP, REJECT -> filtered

[Michael Shigorin]

On Tue, Sep 06, 2005 at 01:43:11PM +0300, Dmytro O. Redchuk wrote:
> > Когда-то, читая Андерсона в переводе Киселева, запомнил, что
> > цель REJECT в iptables не просто убивает пакеты, приходящие
> > на определенный порт, а посылает отправителю icmp-сообщение
> > port-unreachable. Ну и домыслил, что nmap должен видеть такие
> > порты как closed.
>  --reject-with type ?

http://linux.kiev.ua/~mike/docs/iptables-sample4router
`-> -j REJECT --reject-with icmp-port-unreachable

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

Re: [Comm] Re: iptables и nmap : DROP, REJECT -> filtered

[Eugene Prokopiev]

Michael Shigorin пишет:
> On Tue, Sep 06, 2005 at 01:43:11PM +0300, Dmytro O. Redchuk wrote:
> 
>>>Когда-то, читая Андерсона в переводе Киселева, запомнил, что
>>>цель REJECT в iptables не просто убивает пакеты, приходящие
>>>на определенный порт, а посылает отправителю icmp-сообщение
>>>port-unreachable. Ну и домыслил, что nmap должен видеть такие
>>>порты как closed.
>>
>> --reject-with type ?
> 
> 
> http://linux.kiev.ua/~mike/docs/iptables-sample4router
> `-> -j REJECT --reject-with icmp-port-unreachable

Ну так ведь этот type устанавливается сам по умолчанию:

# iptables -t filter -F INPUT
# iptables -t filter -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
# iptables -A INPUT -p tcp --dport 21 -j REJECT
# iptables -t filter -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
REJECT     tcp  --  anywhere             anywhere            tcp dpt:ftp 
reject-with icmp-port-unreachable

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Я, конечно, попробовал указать type принудительно - не изменилось ничего :(

-- 
С уважением, Прокопьев Евгений

Re: [Comm] Re: iptables и nmap : DROP, REJECT -> filtered

[Eugene Prokopiev]

Хотя ...

Наблюдается такая странная штука: под рутом nmap видит filtered, а вот 
под юзером - closed. Почему? И нельзя ли скрыться и от чужого рута ;) ?

-- 
С уважением, Прокопьев Евгений

Re: [Comm] Re: iptables и nmap : DROP, REJECT -> filtered

[Dmytro O. Redchuk]

On Wed, Sep 07, 2005 at 09:09:57AM +0400, Eugene Prokopiev wrote:
> Хотя ...
> 
> Наблюдается такая странная штука: под рутом nmap видит filtered, а вот 
> под юзером - closed. Почему? И нельзя ли скрыться и от чужого рута ;) ?
Возможно, разные source port'ы "брались" для скана. Или разные наборы...

Другими словами (если я не сильно пальцем в небо), можно "подкрутить"
фильтры, я думаю.

> 
> -- 
> С уважением, Прокопьев Евгений

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

Re[2]: [Comm] Re: iptables и nmap : DROP, REJECT -> filtered

[Alexandr A. Alexandrov]

Доброго времени суток!

Wednesday, September 7, 2005, 9:43:07 AM, вы писали:

>> Хотя ...
>> 
>> Наблюдается такая странная штука: под рутом nmap видит filtered, а вот
>> под юзером - closed. Почему? И нельзя ли скрыться и от чужого рута ;) ?
DOR> Возможно, разные source port'ы "брались" для скана. Или разные наборы...

DOR> Другими словами (если я не сильно пальцем в небо), можно "подкрутить"
DOR> фильтры, я думаю.

  Если  не  ошибаюсь, от рута nmap сканит по умолчанию в режиме SYN, а
не от рута в нём она не может... рекомендую посмотреть хелп по ней.

-- 
С уважением,
 Александр                            mailto:aaa@inrecolan.com

Девиз дня: А если тошнит от народа - это беременность чем?

Re: [Comm] iptables и nmap : DROP, REJECT -> filtered

[Afanasov Dmitry]

[-- Attachment #1: Type: text/plain, Size: 1290 bytes --]

On Tue, Sep 06, 2005 at 02:33:33PM +0400, Eugene Prokopiev wrote:
> Здравствуйте!
> 
> Когда-то, читая Андерсона в переводе Киселева, запомнил, что цель REJECT 
> в iptables не просто убивает пакеты, приходящие на определенный порт, а 
> посылает отправителю icmp-сообщение port-unreachable. Ну и домыслил, что 
> nmap должен видеть такие порты как closed.
> 
> Сегодня впервые попробовал это сделать и был немного разочарован 
> результатом:
> 
процесс подключения: syn -> syn-ack -> ack
процесс обрыва подключения: пакет -> rst (reset)

если подключающаяся сторона не получит ни SA, ни A, ни RST пакета, то
считается, то происходит отввал по timeout'у (nmap достаточно долго
начинает сканировать).

если на S пакет пришёл icmp - ясно понятно, что это firewall - tcp/ip стек
так не действует.

зато если на S пришёл R (так показывает tcpdump, кстати), то именно так и
надо сбрасывать tcp подключения по rfc.

в итоге правило:

-j REJECT --reject-with tcp-reset

(icmp отлуп имеет смысл давать только для udp - там нет механизма сброса
подключения. только тут стоит учесть частоту отлупов: из-за возможности
DoS'а linux kernel 5 раз в секунду вроде бы выдаёт их, не более. так что
для udp надо ещё -m limit пристроить)
-- 
 С уважением,
 Афанасов Дмитрий

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]