[Comm] Что не так в настройках firewall

[Comm] Что не так в настройках firewall

[Прокопьев Евгений]

Здравствуйте!

Не могу подключиться ни к одному сайту с помощью links, поиск имени чужого сайта с помощью
nslookup тоже ничего не дает. С опущенным firewall все нормально

Вот скрипт firewall. Если что не так, не бейте, почти все содрано с linux.yaroslavl.ru

#!/bin/sh
#
# file /etc/sysconfig/iptable_ppp.sh - Initial IP Firewall script for 2.4.x
#
# Author: Vladimir Kholmanov, changes Eugene Prokopiev
# use at your own risk
#
################################################################################
EXTERNAL_IFACE="ppp0"
INTERNAL_IFACE="eth0"
LOCAL_IFACE="lo"
IPTABLES="/sbin/iptables"
################################################################################
# Проверка зависимостей в загружаемых IPTables modules
#
/sbin/depmod -a
#
################################################################################
# Устанавливаем default policies для INPUT, FORWARD и OUTPUT chains
#
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P FORWARD DROP
################################################################################
# Создаем дочерние chains для ICMP, TCP и UDP протоколов.
#
$IPTABLES -N icmp_in_ppp
$IPTABLES -N tcp_in_ppp
$IPTABLES -N udp_in_ppp
################################################################################
# Загружаем ICMP rules для входящих потоков
#
$IPTABLES -A icmp_in_ppp -p ICMP --icmp-type 3 -j ACCEPT
$IPTABLES -A icmp_in_ppp -p ICMP --icmp-type 0 -j ACCEPT
$IPTABLES -A icmp_in_ppp -p ICMP --icmp-type 11 -j ACCEPT
$IPTABLES -A icmp_in_ppp -m limit --limit 6/minute --limit-burst 1 -p ICMP --icmp-type 8 -j ACCEPT
$IPTABLES -A icmp_in_ppp -m limit --limit 2/minute --limit-burst 4 -j LOG --log-prefix "ICMP in ppp died: "
$IPTABLES -A icmp_in_ppp -p ICMP -j DROP
################################################################################
# Загружаем TCP rules для входящих потоков
#
$IPTABLES -A tcp_in_ppp -p TCP --syn --dport 80 -j ACCEPT
$IPTABLES -A tcp_in_ppp -p TCP --syn --dport 22 -j ACCEPT
$IPTABLES -A tcp_in_ppp -p TCP --syn --dport 53 -j ACCEPT
$IPTABLES -A tcp_in_ppp -p TCP --syn --dport 6000 -j DROP
$IPTABLES -A tcp_in_ppp -p TCP --syn --dport 1024:65535 -j ACCEPT
$IPTABLES -A tcp_in_ppp -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A tcp_in_ppp -m limit --limit 2/minute --limit-burst 4 -j LOG --log-prefix "TCP in ppp died: "
$IPTABLES -A tcp_in_ppp -p TCP -j DROP
################################################################################
# Загружаем UDP rules для входящих потоков
#
$IPTABLES -A udp_in_ppp -p UDP --dport 53 -j ACCEPT
$IPTABLES -A tcp_in_ppp -p UDP --dport 1024:65535 -j ACCEPT
$IPTABLES -A udp_in_ppp -m limit --limit 3/minute --limit-burst 6 -j LOG --log-prefix "UDP in ppp died: "
$IPTABLES -A udp_in_ppp -p UDP -j DROP
################################################################################
# INPUT chain
#
# Регистрируем и удаляем "проблемные" TCP пакеты.
#
$IPTABLES -A INPUT -i $EXTERNAL_IFACE -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New not syn:"
$IPTABLES -A INPUT -i $EXTERNAL_IFACE -p tcp ! --syn -m state --state NEW -j DROP
################################################################################
# "Направляющие" для локальных и "перенаправляющие" для inet пакетов rules.
#
$IPTABLES -A INPUT -p TCP -i $LOCAL_IFACE -j ACCEPT
$IPTABLES -A INPUT -p TCP -i $INTERNAL_IFACE -j ACCEPT
$IPTABLES -A INPUT -p TCP -i $EXTERNAL_IFACE -j tcp_in_ppp

$IPTABLES -A INPUT -p UDP -i $LOCAL_IFACE -j ACCEPT
$IPTABLES -A INPUT -p UDP -i $INTERNAL_IFACE -j ACCEPT
$IPTABLES -A INPUT -p UDP -i $EXTERNAL_IFACE -j udp_in_ppp

$IPTABLES -A INPUT -p ICMP -i $LOCAL_IFACE -j ACCEPT
$IPTABLES -A INPUT -p ICMP -i $INTERNAL_IFACE -j ACCEPT
$IPTABLES -A INPUT -p ICMP -i $EXTERNAL_IFACE -j icmp_in_ppp
################################################################################
# Регистрирующее rule для "неохваченных" пакетов.
#
$IPTABLES -A INPUT -m limit --limit 3/minute --limit-burst 6 -j LOG --log-prefix "IP INPUT packet died: "
################################################################################
# Корректировка уязвимости NAT
#
$IPTABLES -A OUTPUT -m state -p icmp --state INVALID -j DROP

-- 
С уважением, Прокопьев Евгений

[Comm] Настройка безопасности

[Alex]

Здравствуйте,

Как поменять уровень безопасности в Master 2.0?
В Spring-е я использовал для этого drakxsec. Попробовал сделать
аналогично в Мастере - ничего не происходит.

Спасибо.
mailto: abmagic@mail.ru

Re: [Comm] Что не так в настройках firewall

[Alexander Vasiliev]

On Tue, Sep 17, 2002 at 10:41:01AM +0400, Прокопьев Евгений wrote:
> ################################################################################
> # Загружаем UDP rules для входящих потоков
> #
> $IPTABLES -A udp_in_ppp -p UDP --dport 53 -j ACCEPT
> $IPTABLES -A tcp_in_ppp -p UDP --dport 1024:65535 -j ACCEPT
               ^^^^^^^^^^
	       похоже хотели udp_in_ppp ?
> $IPTABLES -A udp_in_ppp -m limit --limit 3/minute --limit-burst 6 -j LOG 
> --log-prefix "UDP in ppp died: "
> $IPTABLES -A udp_in_ppp -p UDP -j DROP
> ################################################################################
Александр Васильев
ЗАО "Таском"
vav@tascom.ru

Re: [Comm] Что не так в настройках firewall

[Прокопьев Евгений]

Alexander Vasiliev wrote:

>>$IPTABLES -A tcp_in_ppp -p UDP --dport 1024:65535 -j ACCEPT
> 
>                ^^^^^^^^^^
> 	       похоже хотели udp_in_ppp ?

Точно, спасибо
-- 
С уважением, Прокопьев Евгений