[Fedora2] iptables laten alles door

maandag 18 oktober 2004 13:17

Vanaf waar deed je die portscan? Niet vanaf localhost neem ik aan

Zie zo snel niet echt iets raars, er zit neem ik aan slechts 1 netwerkkaart met 1 IP in die computer, right? Want als ik deze RH configfile goed lees wordt dit alleen toegepast op eth0:0, dus de eerste netwerkkaart en alleen het eerste IP daarvan.

Kortom, post ook eens de output van 'ifconfig' (en vervang de laatste 2 cijfers van je externe IP daarbij door x.x ofzo)

Acties:

maandag 18 oktober 2004 13:44

wa jij bob,stoel moet er staan

Topicstarter

Wilke schreef op 18 oktober 2004 @ 12:41:
Vanaf waar deed je die portscan? Niet vanaf localhost neem ik aan

Zie zo snel niet echt iets raars, er zit neem ik aan slechts 1 netwerkkaart met 1 IP in die computer, right? Want als ik deze RH configfile goed lees wordt dit alleen toegepast op eth0:0, dus de eerste netwerkkaart en alleen het eerste IP daarvan.

Kortom, post ook eens de output van 'ifconfig' (en vervang de laatste 2 cijfers van je externe IP daarbij door x.x ofzo)

Sorry, was ik even vergeten te vertellen.

Ik heb de pc idd vanaf een andere machine gescant.

Er zitten 3 nic's in waarvan er maar 1 gebruikt word.
Dit omdat ik fysiek niet altijd bij de server kan komen en de local dan alleen het touwtje om hoeft te prikken.

code:

eth1      Link encap:Ethernet  HWaddr 00:60:67:36:3F:XX 
          inet addr:131.211.XXX.XXX  Bcast:255.255.255.255  Mask:255.255.254.0
          inet6 addr: fe80::260:67ff:fe36:3f90/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:152697163 errors:0 dropped:0 overruns:0 frame:0
          TX packets:71883927 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:3972484037 (3788.4 Mb)  TX bytes:2206981118 (2104.7 Mb)
          Interrupt:11 Base address:0x3000 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:289 errors:0 dropped:0 overruns:0 frame:0
          TX packets:289 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:67891 (66.2 Kb)  TX bytes:67891 (66.2 Kb)

Dit is wat ifconfig te melden heeft.

|we live in the history of a mad man Mr. G |

Acties:

maandag 18 oktober 2004 13:53

Dan zit daar het probleem dus: de firewall werkt zoals het hier staat alleen op eth0 maar dat lijkt me dus niet de netwerkkaart waarop het verkeer dat je wilt filteren voorbij komt.

Acties:

maandag 18 oktober 2004 14:26

Fire bad, Tree pretty

Is dat overigens je hele script? Ik zien namelijk dat je OUTPUT chain policy op dropped staat maar verder nergens een ACCEPT regel voor de OUTPUT chain.

Weet je zeker dat het script wel geladen wordt (controleren me iptables -L -n -v).

-edit-

Wilke schreef op 18 oktober 2004 @ 13:44:
Dan zit daar het probleem dus: de firewall werkt zoals het hier staat alleen op eth0 maar dat lijkt me dus niet de netwerkkaart waarop het verkeer dat je wilt filteren voorbij komt.

Er is maar een regel gekoppeld aan een interface (ACCEPT voor lo). De rest van de regels geldt voor alle interfaces. Je bent toch niet in de war met de [0:0] die achter de chain init staat. Die heeft niks met de interface te maken. Geen flauw idee waar het wel voor is overigens

[ Voor 55% gewijzigd door Buffy op 18-10-2004 14:03 ]

That which doesn't kill us, makes us stranger - Trevor (AEon FLux)
When a finger points at the moon, the imbecile looks at the finger (Chinese Proverb)

Acties:

maandag 18 oktober 2004 14:36

wa jij bob,stoel moet er staan

Topicstarter

Dawns_sister schreef op 18 oktober 2004 @ 13:53:
Is dat overigens je hele script? Ik zien namelijk dat je OUTPUT chain policy op dropped staat maar verder nergens een ACCEPT regel voor de OUTPUT chain.

Weet je zeker dat het script wel geladen wordt (controleren me [i]iptables -L -n -v[...]

Er is maar een regel gekoppeld aan een interface (ACCEPT voor lo). De rest van de regels geldt voor alle interfaces. Je bent toch niet in de war met de [0:0] die achter de chain init staat. Die heeft niks met de interface te maken. Geen flauw idee waar het wel voor is overigens

Dit is inderdaat het hele script.
Wat dat [0:0] voor is weet ik niet, stond er a

Ik zou dus voor alle poorten ook een OUTPUT accept moeten maken?
zoiets als dit?

code:

1 2	-A RH-Firewall-1-INPUT -p udp -m state -m udp --dport 9999 --state NEW -j ACCEPT -A RH-Firewall-1-OUTPUT -p udp -m state -m udp --dport 9999 --state NEW -j ACCEPT

Als ik iptables -L -n -v doe zegt ie dit.

code:

[root@fom2 root]# iptables -L -n -v
Chain INPUT (policy ACCEPT 11 packets, 702 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

|we live in the history of a mad man Mr. G |

Acties:

maandag 18 oktober 2004 15:12

Dawns_sister schreef op 18 oktober 2004 @ 13:53:
Is dat overigens je hele script? Ik zien namelijk dat je OUTPUT chain policy op dropped staat maar verder nergens een ACCEPT regel voor de OUTPUT chain.

Goed punt.

Je bent toch niet in de war met de [0:0] die achter de chain init staat. Die heeft niks met de interface te maken. Geen flauw idee waar het wel voor is overigens

Was ik wel mee in de war dus. Wat doet dat? Tja...Red Hat gebruikt een beetje wazige manier om dit allemaal op te schrijven, daar heb ik geen ervaring mee hoor, leek me dat dit wel op interfaces zou slaan (waar anders op, namelijk

)

Acties:

maandag 18 oktober 2004 15:34

wa jij bob,stoel moet er staan

Topicstarter

Dus voor alle INPUT rules die ik heb gemaakt die geACCEPT worden
moet ik een OUTPUT maken.
Zoiets als

code:

#*****************SYSTEM STUFF*****************
# Port 21   VSFTP 
# Port 22   SSHDeamon
# Port 1241 Nessus Port Scanner
# Port 10000    Webmin 

-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 21 --state NEW -j ACCEPT  
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 21 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT  
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 1241 --state NEW -j ACCEPT
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 1241 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT 
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT

|we live in the history of a mad man Mr. G |

Acties:

Guru Evi

Die [0:0] is het aantal pakketjes dat door die bepaalde chain gegaan is. Blijkbaar niets. Adhv je configuratie is het ook niet mogelijk te surfen of iets uit te sturen.

Dus blijkbaar wordt je configuratie NIET geladen of later weer gedisabled.

Pandora FMS - Open Source Monitoring - pandorafms.org

maandag 18 oktober 2004 15:48

Acties:

TrickShot

Veel shots... weinig tricks.

pyravex schreef op 18 oktober 2004 @ 15:12:
Dus voor alle INPUT rules die ik heb gemaakt die geACCEPT worden
moet ik een OUTPUT maken.
Zoiets als

code:

#*****************SYSTEM STUFF*****************
# Port 21   VSFTP 
# Port 22   SSHDeamon
# Port 1241 Nessus Port Scanner
# Port 10000    Webmin 

-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 21 --state NEW -j ACCEPT  
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 21 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT  
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 1241 --state NEW -j ACCEPT
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 1241 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT 
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT

Iptables is een statefull firewall, d.w.z. dat hij de connecties onthoud. Je moet in de 3 chains enkel een regel toevoegen waarin alle connecties die 'established' of 'related' zijn worden doorgelaten. Als deze regel als eerste wordt geplaatst bekom je ook een grote performance winst omdat enkel de initiële pakketjes de rest van de chain moeten doorlopen.

Athlon 2500+ @ 2230 MHz, 512 MB 3200 kingston, 2 x sata maxtor 120 GB, 1 WD 80 GB, Ti4200, Antec Sonata

maandag 18 oktober 2004 15:53

Acties:

maandag 18 oktober 2004 21:24

Fire bad, Tree pretty

pyravex schreef op 18 oktober 2004 @ 15:12:
Dus voor alle INPUT rules die ik heb gemaakt die geACCEPT worden
moet ik een OUTPUT maken.
Zoiets als

code:

#*****************SYSTEM STUFF*****************
# Port 21    VSFTP 
# Port 22     SSHDeamon
# Port 1241    Nessus Port Scanner
# Port 10000    Webmin 

-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 21 --state NEW -j ACCEPT    
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 21 --state NEW -j ACCEPT    
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT    
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT    
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 1241 --state NEW -j ACCEPT
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 1241 --state NEW -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT 
-A RH-Firewall-1-OUTPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT

Nee niet met --state NEW. Dat betekent dat alleen nieuwe vanaf de server geinitieerde verbindingen worden toegestaan. Voor verbindigen die van buiten komen heb je de volgende regel nodig:

code:

1	-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Dit is echter niet genoeg. Zo zal je minstens uitgaande verbindingen naar nameservers moeten toestaan (port 53, protocole udp en tcp) en verder zullen sommige gameservers verbindigen willen maken met licentie servers.

Het makkelijkste is om de policy van de OUTPUT chain op ACCEPT te zetten.
Is iets minder veilig maar scheelt weer in firewall debuggen

.

pyravex schreef op 18 oktober 2004 @ 14:26:
[...]
Als ik iptables -L -n -v doe zegt ie dit.

code:

[root@fom2 root]# iptables -L -n -v
Chain INPUT (policy ACCEPT 11 packets, 702 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Dit betekent dus dat je het firewall 'script' niet geladen wordt (geen regels en de chain policies staan op ACCEPT).

Het script wat je gebruikt is in de format van de iptables-save en iptables-restore tools. Je zult dus ergens in je init/netwerk scripts moeten opgeven dat jouw script met iptavles-restore moet worden geladen. Heb helaas geen ervaring met fedora's init scripts.

PS: maak je echt gebruik van de protocols 50 (IPSEC-ESP) en 51 (IPSEC-AH)?

code:

1 2	-A RH-Firewall-1-INPUT -p 50 -j ACCEPT -A RH-Firewall-1-INPUT -p 51 -j ACCEPT

That which doesn't kill us, makes us stranger - Trevor (AEon FLux)
When a finger points at the moon, the imbecile looks at the finger (Chinese Proverb)

Acties:

maandag 18 oktober 2004 21:35

wa jij bob,stoel moet er staan

Topicstarter

Nee, dit stond ook standard aan,
Ik maak op uit jou opmerking dat het niet goed is dan.

ik zal het op drop zetten of gewoon weg halen.

|we live in the history of a mad man Mr. G |

Acties:

dinsdag 19 oktober 2004 01:42

Guru Evi schreef op 18 oktober 2004 @ 15:34:
Die [0:0] is het aantal pakketjes dat door die bepaalde chain gegaan is.

Wat doet dat in een configfile dan

Dawns_sister schreef op 18 oktober 2004 @ 15:53:
Dit is echter niet genoeg. Zo zal je minstens uitgaande verbindingen naar nameservers moeten toestaan (port 53, protocole udp en tcp)

Als je alleen een caching nameserver draait hoeft poort 53 TCP niet, alleen UDP is nodig. Dat is dan ook zeker aan te raden, aangezien vrijwel alle problemen die er zijn met DNS-servers te maken hebben met de TCP-poort.

Acties:

dinsdag 19 oktober 2004 14:28

Fire bad, Tree pretty

pyravex schreef op 18 oktober 2004 @ 21:24:
Nee, dit stond ook standard aan,
Ik maak op uit jou opmerking dat het niet goed is dan.

ik zal het op drop zetten of gewoon weg halen.

Als je geen gebruikt maakt van verbindingen die "Encapsulating Security Payload" nodig hebben dan kan je het beter uitcommentarieren.

Wilke schreef op 18 oktober 2004 @ 21:35:
[...]
Als je alleen een caching nameserver draait hoeft poort 53 TCP niet, alleen UDP is nodig. Dat is dan ook zeker aan te raden, aangezien vrijwel alle problemen die er zijn met DNS-servers te maken hebben met de TCP-poort.

Dan moeten we maar hopen dat Microsofts Sender-ID niet de standaard wordt aangezien XML waarschijnlijk niet in een UDP packet past.

That which doesn't kill us, makes us stranger - Trevor (AEon FLux)
When a finger points at the moon, the imbecile looks at the finger (Chinese Proverb)

Acties:

dinsdag 19 oktober 2004 14:38

wa jij bob,stoel moet er staan

Topicstarter

Ik draai er geen DNS service op.
is het dan ook nodig?

|we live in the history of a mad man Mr. G |

Acties: