[ipchains] eerst alles blokkeren, dan toelaten

[Verwijderd]

Zoals de titel al zegt heb ik via ipchains eerst alle geblokkeerd en wil ik daarna een paar bepaalde hosts doorlaten voor bepaalde services (ssh, en ftp).

Ik heb het volgende gedaan:

/sbin/ipchains -A input -p tcp -d 0/0 21 -j REJECT
/sbin/ipchains -A input -p tcp -s 1.1.1.1 -d 0/0 21 -j ACCEPT

Nu zou ik denken, de host 1.1.1.1 moet nu via ftp kunnen connecten met mij omdat ik hem accepteer, ipchains -L input:

REJECT tcp ------ anywhere anywhere any -> ftp
ACCEPT tcp ------ 1.1.1.1 anywhere any -> ftp

Dit zou toch gewoon moeten werken? of ben ik nou helemaal gek
Ik heb dit trouwens ook al met ftp-data (port 20) en het udp protocol geprobeerd, allemaal zonder succes.
Ook heb ik uitgebreid gezocht op google.com en google.com/linux en met de search op dit forum natuurlijk maar ik heb geen nuttige informatie kunnen vinden

Is zoiets instellen nu onmogelijk of zie ik iets gruwelijk over het hoofd?

b.v.d.

[Verwijderd]

Ik ben de hele dag bezig met dit probleem, post ik een topic, en 5 minuten later ben ik er uit

mijn excuus hiervoor

[odysseus]

Zou je even aan kunnen geven wat je precies gedaan hebt om het op te lossen? Dat helpt de volgende die het probleem heeft weer zodat hij er niet een hele dag aan hoeft te zitten en weer een topic opent .

[Aetje]

Hij zal de regels waarschijnlijk in volgorde veranderd hebben. Eerst allow specifiek, daarna blok de rest... Ik werk zelf met IPFWADM en dat werkt ongeveer hetzelfde voor zover ik kan zien...

[odysseus]

Ah, ik had het even over het hoofd gezien. Hij had niet alles standaard geblokt middels een deny-policy, maar door gewoon alle tcp-verkeer te rejecten...dat gaat inderdaad niet werken als je het als eerste regel gebruikt. Als laatste regel kan wel, dus zo is het waarschijnlijk opgelost...het is overigens netter om een policy-regel te gebruiken.

[Verwijderd]

wat Aetje zegt is precies mijn probleem geweest, ik had eerst alle geblokt en daarna de accept gedaan (ik dacht dat dit de juiste volgorde was) toen had ik het omgedraait voor de gein en het werkte

[Verwijderd]

odysseus schreef op 13 oktober 2002 @ 21:09:
Ah, ik had het even over het hoofd gezien. Hij had niet alles standaard geblokt middels een deny-policy, maar door gewoon alle tcp-verkeer te rejecten...dat gaat inderdaad niet werken als je het als eerste regel gebruikt. Als laatste regel kan wel, dus zo is het waarschijnlijk opgelost...het is overigens netter om een policy-regel te gebruiken.

Wat bedoel je precies met een policy-regel? eerst de rules intypen die je wil accepteren en daarna alle TCP blokkeren?

[odysseus]

Nee. Je hebt een apart type rule om een policy aan te geven. Die rule wordt dan gebruikt als geen enkele andere rule gematched heeft. Zo kun je in jouw situatie het volgende doen:

code:

ipchains -P input DENY
ipchains -A input -s 1.1.1.1 -j ACCEPT

Nu is de standaard actie 'deny', tenzij er een rule wordt gevonden die naar iets anders verwijst. In dit geval is dat alleen voor alle verkeer vanaf 1.1.1.1.

[Verwijderd]

hmm handig om te weten, had zoiets al gelezen in de man, snapte er alleen niets van, maar nu is dat wel duidelijk

bedankt

[Verwijderd]

Dit is overigens de enige manier om een goeie firewall op te zetten. Alles droppen behalve de specifiek aangegeven accept rules. Eenieder die het andersom doet, alles aannemen, behalve specifiek aangegeven blocks, werkt in een waan van veiligheid.

Nog leuker is ook je OUTPUT chain per default droppen, behalve specifieke rules, dat kan soms knap vervelend zijn dus vereist veel configuratie, maar is wel veel veiliger!

[Verwijderd]

Zover ik weet gaat een pakketje van beneden naar boven langs de regel-chain.. Net als de routing tabel volgens mij. Je zal dus eerst moeten allowen, anders dropt ie m voordat ie bij de volgende regel komt....