FC3: sysconfig/iptables

[easydisk]

Ik probeer m'n netwerk *netjes* in te stellen in FC3:

situatie:eth0 10.0.0.150, ppp0 is een vpn verbindign naar adsl modem (10.0.0.138) voor internet, http/https/ftp en poort 91 staat open, klopt.. FC3 firewall staat aan

1: in welke config file/waar kan je extra iptable commando's geven? het gaat hier om:

iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -o ppp0 -j ACCEPT
iptables -A FORWARD -j LOG
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

of moet je zelf een script toevoegen aan /etc/init.d en laten opstarten ?
(ik had het aan /etc/sysconfig/iptables toegevoegd, maar die accepteert de -t nat setting niet)

2: dan de file /etc/sysconfig/iptables

Wat is 'RH-Firewall-1-INPUT' waarom heet dat nu weer anders dan normaal ?

En waarom staat "-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT" er in, 224.0.0.251: ping erheen geeft een pingtijd van <1msec terwijl dat via adsl niet mogelijk is, maar als de adsl verbinding er niet is kan ik het neit pingen...

code:

# Firewall configuration written by system-config-securitylevel
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -i eth0 -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT   ## kan er wel uit denk ik !?
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 91 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

[PowerSp00n]

easydisk schreef op dinsdag 23 november 2004 @ 12:35:
1: in welke config file/waar kan je extra iptable commando's geven? het gaat hier om:

iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -o ppp0 -j ACCEPT
iptables -A FORWARD -j LOG
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

of moet je zelf een script toevoegen aan /etc/init.d en laten opstarten ?
(ik had het aan /etc/sysconfig/iptables toegevoegd, maar die accepteert de -t nat setting niet)

Dat hij het niet 'accepteert' heeft verder weinig met de /etc/sysconfig/iptables file te maken, welke error krijg je? Heb je wel support voor nat in je kernel zitten? Wat krijg je bijvoorbeeld als je iptables -t nat -L doet?

[edit] ik zie nu in je laatste code tag dat die configuratie inderdaad anders in elkaar zit. Anders zul je er even een manual van fedora bij moeten pakken waar je zelf je firewall kan bijwerken/instellen.

[ Voor 13% gewijzigd door PowerSp00n op 23-11-2004 14:16 ]

[Loesje]

easydisk schreef op dinsdag 23 november 2004 @ 12:35:
1: in welke config file/waar kan je extra iptable commando's geven? het gaat hier om:

In /etc/sysconfig/iptables moet je zijn. Maar netter is de firewall met het iptables commando bijwerken, en daarna '/etc/rc.d/init/iptables save' te draaien. Dan zet hij het daar zelf neer.

2: dan de file /etc/sysconfig/iptables
Wat is 'RH-Firewall-1-INPUT' waarom heet dat nu weer anders dan normaal ?

Daar staan dus alle regels die uitgevoerd worden door het iptabels script. Als je wil zien hoe je complete firewall er uit ziet, draai dan '/etc/rc.d/init/iptables status' Dan weet je precies welke chains er zijn aangemaakt en kan je ze verder zelf aanpassen.

edit:
ps: met 'setup' kan je de basis-regels aanpassen. Zeer primitief, maar dan zie je bv. waarom regel 16 er in zit

[ Voor 11% gewijzigd door Loesje op 23-11-2004 15:44 ]

[easydisk]

Loesje schreef op dinsdag 23 november 2004 @ 15:40:
[...]


In /etc/sysconfig/iptables moet je zijn. Maar netter is de firewall met het iptables commando bijwerken, en daarna '/etc/rc.d/init/iptables save' te draaien. Dan zet hij het daar zelf neer.

/etc/rc.d/init.d/iptables save

oke dat zocht ik, bedankt !