[Debian][Iptables inplaats van Ipchains]

[Verwijderd]

Ik heb nu een oude versie van Debian draaien op m'n server. Maar de helft is langzamerhand door al het spelen met die bak gaar geworden. Nu ben ik van plan alles opnieuw te installeren met de nieuwe versie. Alleen 1 nadeel ik moet dan werken met Iptables inplaats van Ipchains.

Nu heb ik daar de volgende code voor samen gevoegd:

code:

   # Delete and flush. Default table is "filter". Others like "nat" must be explicitly stated.
   iptables --flush            - Flush all the rules in filter and nat tables
   iptables --table nat --flush
   iptables --delete-chain     - Delete all chains that are not in default filter and nat table
   iptables --table nat --delete-chain

   # Set up IP FORWARDing and Masquerading
   iptables --table nat --append POSTROUTING --out-interface eth0 -j MASQUERADE
   iptables --append FORWARD --in-interface eth1 -j ACCEPT

   # Allow loopback access. This rule must come before the rules denying port access!!
   iptables -A INPUT -i lo -p all -j ACCEPT                          - This rule is essential if you want your own computer to be able to access itself through the loopback interface
   iptables -A OUTPUT -o lo -p all -j ACCEPT

   iptables -A INPUT -p tcp -i eth0 --dport 21 -j ACCEPT          - Open ftp port
   iptables -A INPUT -p udp -i eth0 --dport 21 -j ACCEPT
   iptables -A INPUT -p tcp -i eth0 --dport 22 -j ACCEPT          - Open secure shell port
   iptables -A INPUT -p udp -i eth0 --dport 22 -j ACCEPT
   iptables -A INPUT -p tcp -i eth0 --dport 80 -j ACCEPT          - Open HTTP port
   iptables -A INPUT -p udp -i eth0 --dport 80 -j ACCEPT
   iptables -A INPUT -p tcp -s 0/0 -d 0/0 --dport 111 -j DROP        - Block Sun rpc/NFS
   iptables -A INPUT -p udp -s 0/0 -d 0/0 --dport 111 -j DROP        
   iptables -A INPUT -p tcp --syn -s 192.168.10.0/24 --destination-port 139 -j ACCEPT   - Accept local network Samba connection
   iptables -A INPUT -p tcp --syn -s trancas --destination-port 139 -j ACCEPT
   iptables -A INPUT -p tcp -s 0/0 -d 0/0 --dport 515 -j DROP        - Block printer port
   iptables -A INPUT -p udp -s 0/0 -d 0/0 --dport 515 -j DROP        
   iptables -A INPUT -p tcp -s 0/0 -d 0/0 --dport 2049 -j DROP       - Block NFS
   iptables -A INPUT -p udp -s 0/0 -d 0/0 --dport 2049 -j DROP       
   iptables -A INPUT -p tcp -s 0/0 -d 0/0 --dport 6000:6009 -j DROP  - Block X-Windows
   iptables -A INPUT -p tcp -s 0/0 -d 0/0 --dport 7100 -j DROP       - Block X-Windows font server

   iptables -A INPUT -p all -s localhost  -i eth0 -j DROP            - Deny outside packets from internet 
   iptables -P INPUT DROP                                        - Drop all other connection attempts. Only connections defined above are allowed.

   #debugging and logging
   iptables -A INPUT -j LOG --log-prefix "INPUT_DROP: "
   iptables -A OUTPUT -j LOG --log-prefix "OUTPUT_DROP: "

   echo 1 > /proc/sys/net/ipv4/ip_forward             - Enables packet forwarding by kernel

Nadeel is alleen of ik niet weet of deze werkt omdat ik nu de mogelijkheid niet heb om het te testen.

Mijn vraag is daarom ook of iemand weet of ik iets vergeet of me aanraadt er iets bij te doen.

1 van de dingen die belangrijk zijn is dat ik op andere pc's dus internet heb. Bestanden kan ontvangen met MSN.. en eventueel afentoe een "spelserver" kan hebben (anders heb ik m'n broer op m'n nek ).

Daarnaast moet er 1 poort door gestuurd worden: 5500 omdat ik zelf een server draai op 1 van de pc's achter de server.

Na goed nu dat alles dan zou werken moet alles automatisch opstarten tijdens reboot van m'n linux. Dat is ook 1 van de problemen bij mij. Bij Redhat was het geen probleem dan had je zo'n rc.boot file ofzo geloof ik waar ik alles in kon zetten etc. maar hoe doen ik dat onder Debian?

[Wilke]

Test het dan uit wanneer je de mogelijkheid daartoe wel hebt?

Dit is echt een geval van 'ik heb geen zin om zelf uit te zoeken of dit zo goed werkt', terwijl er zat documentatie is. Daarnaast vernaggelt je openingspost ook de layout op GoT wel heeeel erg - dat een post soms iets breder is okee, maar dit is wel erg extreem (link volgende keer even naar je script in zo'n geval).

Anyway, aan scriptrequests doen we niet in NOS, zoals je in de NOS FAQ ook kunt lezen - en daarom gaat dit topic dicht