Zoek een goede firewall

[Slaiter]

Ik zoek een goede firewall voor linux met een niet al te hoge leercurve.
Ik heb al wat geprobeerd met iptables, maar daar kom ik totaal niet uit (krijg niets op stealth) en dus heb ik ook maar eens guarddog geprobeerd (wel alles stealth) echter als ik die gebruik kan mijn vriendin niet meer op internet (aangezien die via mijn pc (=workstation&router) op het internet gaat.
Is er ook een simpele firewall (grafisch) die gewoon mijn ip masq met rust laat

Heb al het nodige geprobeerd o.a.
netfilter geprobeerd (krijg elke keer de melkding dat iptables dood is )
Easyfirewall (zo easy is die niet)
en Guarddog (nogtoe de meest handige, maar geen lan mogelijkheid)

[Flappie]

Smoothwall het complete besturings systeem met firewall, IP routing enzow.

PC draait dan alleen nog als server en kan NIET op worden gewerkt!

[LAN]

portsentry is niet al te moeilijk.

[2P]

Als je de poort op stealth mode wilt zetten moet je gebruik maken van 'DROP'. Als iemand op die poort probeert te connecten zal je Linux server niets doen. De client zal dan na een paar seconden een timeout krijgen. Dit wordt dan stealth genoemt.
Gebruik je 'DENY' op een bepaalde poort en iemand probeert op die poort te connecten dan zal je Linux server tegen de client zeggen dat dat niet mag dus poort closed.
Ok dit moest ik even kwijt over stealth mode etc...

Ik post hier maar even mijn firewall script (met NAT).
Heb ik niet helemaal zelf gemaakt, veel dingen afgekeken van andere scripts
En verder is het heel erg simpel. Let wel op dat je huidige iptables instellingen worden verwijderd door dit script.

code:

#!/bin/sh
#
# rc.firewall - Very easy iptables firewall/masquerading script
#

# location of iptables program
IPTABLES="/usr/local/sbin/iptables"

# static ip on internet
INET_IP="123.123.123.123"

# interface for internet
INET_INTERFACE="eth0"


echo "iptables firewall/masquerading script started..."

# flush all rules in filter/NAT table
$IPTABLES --flush
$IPTABLES --table nat --flush

# Masquerading / NAT
$IPTABLES --append POSTROUTING --table nat --out-interface $INET_INTERFACE --jump SNAT --to $INET_IP

# Allow any existing connections or anything related
$IPTABLES --append INPUT --match state --state ESTABLISHED,RELATED --jump ACCEPT

# Allow new connections only from our network (the ! means anything BUT)
$IPTABLES --append INPUT --match state --state NEW --in-interface ! $INET_INTERFACE --jump ACCEPT

# Deny everything else
$IPTABLES --policy INPUT DROP

$IPTABLES --append FORWARD --in-interface $INET_INTERFACE --out-interface $INET_INTERFACE --jump REJECT


#
# ICMP rules
#

# Echo reply
$IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 0 -j ACCEPT

# Errors
$IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 3 -j ACCEPT

# Redirection
$IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 5 -j ACCEPT

# Echo request
#$IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT

# Time to Live (TTL)
$IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT


#
# TCP rules
#

# ftp-data (20) and ftp (21)
$IPTABLES --append INPUT --protocol tcp --dport 20 --jump ACCEPT
$IPTABLES --append INPUT --protocol tcp --dport 21 --jump ACCEPT

# ssh (22)
$IPTABLES --append INPUT --protocol tcp --dport 22 --jump ACCEPT

# smtp (25)
$IPTABLES --append INPUT --protocol tcp --dport 25 --jump ACCEPT

# http (80)
$IPTABLES --append INPUT --protocol tcp --dport 80 --jump ACCEPT

# ident (113)
$IPTABLES --append INPUT --protocol tcp --dport 113 --jump ACCEPT

# IMAP (143)
$IPTABLES --append INPUT --protocol tcp --dport 143 --jump ACCEPT

# https (443)
$IPTABLES --append INPUT --protocol tcp --dport 443 --jump ACCEPT

# IRC (6667-7000)
$IPTABLES --append INPUT --protocol tcp --dport 6667:7000 --jump ACCEPT


#
# UDP rules
#


# Direct Connect search mode (412)
$IPTABLES --append INPUT --protocol udp --source-port 412 --jump ACCEPT

# ICQ (4000)
$IPTABLES --append INPUT --protocol udp --source-port 4000 --jump ACCEPT

# Unreal Tournament (7777)
$IPTABLES --append INPUT --protocol udp --source-port 7777 --jump ACCEPT


#
# Block obviously spoofed ip's
#

$IPTABLES -A INPUT -i $INET_INTERFACE -s 192.168.0.0/16 -j DROP
$IPTABLES -A INPUT -i $INET_INTERFACE -s 10.0.0.0/8 -j DROP
$IPTABLES -A INPUT -i $INET_INTERFACE -s 172.16.0.0/12 -j DROP


echo "done."

[deadinspace]

Op maandag 22 april 2002 18:05 schreef LAN het volgende:
portsentry is niet al te moeilijk.

Ik kan me vergissen, maar volgensmij is portsentry alleen een IDS, geen firewall config tool...

[2P]

Op maandag 22 april 2002 18:05 schreef LAN het volgende:
portsentry is niet al te moeilijk.

portsentry is geen firewall.
Dit is een progsel die portscans kan detecteren, meer niet

[LAN]

Op maandag 22 april 2002 18:09 schreef 2P het volgende:

[..]

portsentry is geen firewall.
Dit is een progsel die portscans kan detecteren, meer niet

Okido, weten we dat ook weer.

[Eärendil]

Ik gebruik het volgende:

code:

#!/bin/sh
#Bootstrapping Iptables
# Insert connection-tracking modules (only needed if not built into the kernel).

modprobe ip_tables
modprobe ip_conntrack
modprobe ip_conntrack_ftp    # (needed only if you plan on using FTP)

# Set the default policies - sets the default actions of the built-in chains.

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Flush chains

iptables -F
iptables -F -t nat

# Blocks all new connections unless initiated from the "protected" network.

iptables -N state_chk
iptables -A state_chk -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A state_chk -m state --state NEW -i ! eth1 -j ACCEPT
iptables -A state_chk -j DROP

# Jump to the state_chk chain from INPUT and FORWARD chains.

iptables -A INPUT -j state_chk
iptables -A FORWARD -j state_chk
#Masquerade connections - only needed on the firewall box if you have an internal network that you wish to route traffic to and from the Internet.

# Enable IP forwarding between the interfaces - remember to disable this if you're going to unload the Iptables rules.

echo "1" > /proc/sys/net/ipv4/ip_forward

# Load the NAT modules - needed only if you compiled as modules

modprobe iptable_nat
modprobe ip_nat_ftp  #(needed only if you plan on using FTP)

# Enable IP masquerading - Use if your eth0 has a dynamic IP address. For static IP, it's recommended that you use source NAT instead.

#iptables -t nat -A POSTROUTING -o eth1 -s 192.168.0.0/24 -j MASQUERADE

# Enable source NAT - Use if your eth0 has a static IP address.

iptables -t nat -A POSTROUTING -o eth1 -s 192.168.0.0/24 -j SNAT --to 10.0.0.150

Even wat uitleg:
eth0 = 192.168.0.1 = intern
eth1 = 10.0.0.150 = extern

Alle bestaande en related verbindingen worden toegestaan, nieuwe verbindingen die niet op de externe interface komen ook toegestaan, de rest: DROP

Internet wordt voor het lokale netwerk gedeeld met SNAT