[iptables] gedeeltelijk genegeerd

[Verwijderd]

Hello,

Ik heb een probleem met mijn linux server. Ik heb hier nog vrij weinig kennis in, das waar, maar ik kom er niet uit met de linux FAQ's op internet.

Mijn probleem: ik heb een kleine PII server waarop ik internet wil delen. Nu kon ik bij de installatie van de distro (Linux Mandrake 9.0) aangeven of ik internet wilde delen. Natuurlijk op 'ja' gedrukt en dat werkte vanaf het begin vrij goed.
Maar ik wil applicaties op het internet gaan draaien, dus ik wil beginnen bij het begin, vol goede moed
Ik ben begonnen iptables te installeren, aangezien het pakket standaard niet geinstalleerd staat. Ik gebruik hiervoor overigens rpmdrake. rpmdrake vertelde me dat als ik iptables wilde installeren dat dan ipchains-1.3 10-6mdk eraf moest gooien. Ik heb dit geaccepteerd en ben verder gegaan.
Ik heb een mooi script gevonden waarvan ik wist dat het werkt:

code:

iptables -F
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A FORWARD -i ppp0 -j ACCEPT
iptables -A POSTROUTING -t nat -o ppp0 -j MASQUERADE
iptables -A INPUT -i ppp0 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --dport 1:65535 -j DROP

De Nics eth0 en eth1 hebben de juiste ip-instellingen en kunnen ook gepingt worden.
Nu heb ik dus geen internet op mijn workstations dus ik dacht: ik flush alle iptable regels. Gevolg: ik kan opeens internetten

Blijkbaar zit er in Mandrake een soort internet sharing die nog actief is, maar deze is op lang niet alle poorten beveiligd. Mijn vraag is dus: hoe kan dit?
Het systeem zou toch moeten luisteren naar de iptable command?
Wat doe ik fout? Alvest heeel erg bedankt want ik kan voor dit specifieke probleem geen docs vinden en mandrakeuser.org is erg mager over internet sharing / firewall opties.

[odysseus]

Werkt het wel na een 'iptables -P ACCEPT'? Ook na het flushen blijven de policy-regels nog actief, dus misschien dat die nog voor problemen zorgden .

[Verwijderd]

odysseus schreef op 19 March 2003 @ 21:23:
Werkt het wel na een 'iptables -P ACCEPT'? Ook na het flushen blijven de policy-regels nog actief, dus misschien dat die nog voor problemen zorgden .

Bedankt, ik had al zo'n vermoeden.
Bovendien bleek een reboot voldoende om het systeem draaiend te krijgen. Het werkt, met een maar.
Volgens scan.sygate.com staan UDP poorten 53, 111, 137, 138 en trojan port 31337 nog steeds open. Hoe kan dit? Word mijn script alsnog genegeerd?

[pistole]

Verwijderd schreef op 19 maart 2003 @ 21:56:
[...]

Bedankt, ik had al zo'n vermoeden.
Bovendien bleek een reboot voldoende om het systeem draaiend te krijgen. Het werkt, met een maar.
Volgens scan.sygate.com staan UDP poorten 53, 111, 137, 138 en trojan port 31337 nog steeds open. Hoe kan dit? Word mijn script alsnog genegeerd?

iptables -A INPUT -i ppp0 -p tcp --dport 1:65535 -j DROP

Als je je config nog eens doorleest dan zie je dat je alleen tcp dropt.
Voeg maar eens zo'n zelfde regel toe, maar dan met -p udp

[ Voor 104% gewijzigd door pistole op 19-03-2003 22:11 ]

[MikeN]

pistole schreef op 19 maart 2003 @ 22:04:
[...]


[...]

Als je je config nog eens doorleest dan zie je dat je alleen tcp dropt.
Voeg maar eens zo'n zelfde regel toe, maar dan met -p udp

Of beter, drop alles en niet alleen tcp of udp. Of zet je policy gewoon op DROP.

[Verwijderd]

pistole schreef op 19 March 2003 @ 22:04:
[...]


[...]

Als je je config nog eens doorleest dan zie je dat je alleen tcp dropt.
Voeg maar eens zo'n zelfde regel toe, maar dan met -p udp

Ik heb die regel al geprobeerd, wat er dan gebeurt is dat mijn server heel langzaam op en vervolgens heb ik geen verbinding.

Ik denk verder dat ik nog veel te vroeg gejuicht heb
Om poort 53 te sluiten heb ik de volgende regel toegevoegd:

code:

iptables -A INPUT -i eth0 -p udp --dport 53 -j DROp

Maar deze code reageert niet, het heeft geen effect op de page die ik op scan.sygate.com tegen kom. Ik word dus een beetje paranoid aangezien de samba poorten open staan en ik samba draai zonder passwords
Hoe los ik dit op? De code zou dus wel moeten werken volgens de tutorials

[ Voor 36% gewijzigd door Verwijderd op 19-03-2003 23:24 ]

[deadinspace]

Verwijderd schreef op 19 March 2003 @ 21:56:
Bedankt, ik had al zo'n vermoeden.
Bovendien bleek een reboot voldoende om het systeem draaiend te krijgen. Het werkt, met een maar.
Volgens scan.sygate.com staan UDP poorten 53, 111, 137, 138 en trojan port 31337 nog steeds open. Hoe kan dit? Word mijn script alsnog genegeerd?

Dit kan komen door de manier waarop de UDP poorten gescand worden. Sommige scanners nemen aan dat een UDP poort open is als er geen antwoord komt, maar als je de betreffende poort dropt met iptables, dan komt er natuurlijk ook geen antwoord, wat de scanner doet denken dat de poort open is.

Nmap deed dat vroeger ook fout, maar lijkt nu wel goed te zien of een poort open of dropped is. Je kunt het overigens ook eens proberen door samba helemaal uit te zetten, en dan nog eens te scannen. Maar ik denk niet dat het veel uitmaakt. Poorten 139 en 31337 worden vaak door providers al gedropt, vandaar die resultaten.

[Guru Evi]

hmmz, was poort 53 niet je DNS? Die moet je wel laten opstaan eh.
Je moet standaard policy drop zetten en dan regeltje per regeltje zetten wat je expliciet toelaat. Specifieer zo nauwkeurig mogelijk (tcp/udp, spoort, dpoort, interface) zodanig maak je enkel gaten in je firewall voor wat je expliciet toelaat. Idd, volgens protocol is een UDP poort open als er geen reply van komt (dus ICMP reply's moeten opstaan voor testing purposes)

[Verwijderd]

Guru Evi schreef op 20 March 2003 @ 22:25:
hmmz, was poort 53 niet je DNS? Die moet je wel laten opstaan eh.
Je moet standaard policy drop zetten en dan regeltje per regeltje zetten wat je expliciet toelaat. Specifieer zo nauwkeurig mogelijk (tcp/udp, spoort, dpoort, interface) zodanig maak je enkel gaten in je firewall voor wat je expliciet toelaat. Idd, volgens protocol is een UDP poort open als er geen reply van komt (dus ICMP reply's moeten opstaan voor testing purposes)

Allemaal heel erg bedankt, het is me gelukt. Nu ben ik geen linux-expert dus ik heb voor een mooie optie gekozen: ik heb met webmin alles geconfigged.Toch was ik er zonder jullie hulp niet gekomen. Heel erg bedankt

[deadinspace]

Voor de duidelijkheid: DNS (53) hoeft alleen open als je zelf een domain beheert (wat waarschijnlijk niet het geval is).

[saviour]

Ik gebruik zelf Bind als caching DNS, maar dat wil toch niet zeggen dat ik dan port 53 open moet hebben?

[deadinspace]

saviour schreef op 21 March 2003 @ 03:40:
Ik gebruik zelf Bind als caching DNS, maar dat wil toch niet zeggen dat ik dan port 53 open moet hebben?

Als je bind draait als caching DNS server, beheer je dan een eigen domain dat de hele wereld moet kunnen zien? Nee

In jouw geval moet bind alleen vanaf je netwerk toegankelijk zijn. Voor je interne interface moeten udp/53 en tcp/53 dus wel openstaan, voor je externe interface niet.

[saviour]

Ok, dan heb ik je goed begrepen