|
Blokowanie Portów
|
| lukaszpieter |
Dodano 17-02-2009 17:49
|
User
Posty: 132
Dołączył: 13/07/2007 00:57
|
Czy może ktoś popatrzeć na te regułki i powiedzieć mi, czy to ma sens ??
Jak je wykonam zablokowany zostaje cały ruch nawet do putty
Cytat
iptables -A INPUT -p TCP --dport 1:65535 -j DROP
iptables -A INPUT -p TCP --sport 1:65535 -j DROP
iptables -A INPUT -p UDP --dport 1:65535 -j DROP
iptables -A INPUT -p UDP --sport 1:65535 -j DROP
iptables -A OUTPUT -p TCP --dport 1:65535 -j DROP
iptables -A OUTPUT -p TCP --sport 1:65535 -j DROP
iptables -A OUTPUT -p UDP --dport 1:65535 -j DROP
iptables -A OUTPUT -p UDP --sport 1:65535 -j DROP
iptables -A OUTPUT -p TCP --dport 80 -j ACCEPT
iptables -A OUTPUT -p TCP --sport 80 -j ACCEPT
iptables -A OUTPUT -p UDP --dport 53 -j ACCEPT
iptables -A OUTPUT -p UDP --sport 53 -j ACCEPT
iptables -A OUTPUT -p TCP --dport 22 -j ACCEPT
iptables -A OUTPUT -p TCP --sport 22 -j ACCEPT
iptables -A INPUT -p TCP --dport 22 -j ACCEPT
iptables -A INPUT -p TCP --sport 22 -j ACCEPT
Chce zablokować wszystkie porty i pozostawić tylko te niezbędne jak 80, 53 i 22 |
| |
|
|
| obsy |
Dodano 17-02-2009 18:07
|
VIP
Posty: 5775
Dołączył: 31/10/2006 20:06
|
iptables -A OUTPUT -p TCP --dport 80 -j ACCEPT
iptables -A OUTPUT -p TCP --sport 80 -j ACCEPT
iptables -A OUTPUT -p UDP --dport 53 -j ACCEPT
iptables -A OUTPUT -p UDP --sport 53 -j ACCEPT
iptables -A OUTPUT -p TCP --dport 22 -j ACCEPT
iptables -A OUTPUT -p TCP --sport 22 -j ACCEPT
iptables -A INPUT -p TCP --dport 22 -j ACCEPT
iptables -A INPUT -p TCP --sport 22 -j ACCEPT
iptables -A INPUT -p TCP --dport 1:65535 -j DROP
iptables -A INPUT -p TCP --sport 1:65535 -j DROP
iptables -A INPUT -p UDP --dport 1:65535 -j DROP
iptables -A INPUT -p UDP --sport 1:65535 -j DROP
iptables -A OUTPUT -p TCP --dport 1:65535 -j DROP
iptables -A OUTPUT -p TCP --sport 1:65535 -j DROP
iptables -A OUTPUT -p UDP --dport 1:65535 -j DROP
iptables -A OUTPUT -p UDP --sport 1:65535 -j DROP
Co oczywiście jest bez sensu, bo:
1. Pewnie chodzi Ci o forward a nie INPUT/OUTPUT (te kolejki sa dla serwera)
2. Po co wszystko wypisywać jak wystarczy politykę domyślną na DROP ustawić a te żądane na ACCEPT
3. Po co ustawiać na drop skoro będzie wisiał i wylatywał na timeoutach. Reject powinno być.
|
| |
|
|
| lukaszpieter |
Dodano 17-02-2009 22:34
|
User
Posty: 132
Dołączył: 13/07/2007 00:57
|
To jak powinno wyglądać blokowanie portów wg. tego co opisujesz w pkt. 2 ??
Chce zrobić tak, aby w sieci nie działały żadne usługi, gry online, torrenty, itd. Tylko sam dostęp do www |
| |
|
|
| obsy |
Dodano 17-02-2009 23:02
|
VIP
Posty: 5775
Dołączył: 31/10/2006 20:06
|
iptables -P FORWARD REJECT
iptables -A FORWARD -p tcp --dport 80 -j ACCEPT
|
| |
|
|
| lukaszpieter |
Dodano 17-02-2009 23:46
|
User
Posty: 132
Dołączył: 13/07/2007 00:57
|
Po wydaniu polecenia
iptables -P FORWARD REJECT
dostałem odpowiedź
iptables: Bad policy name |
| |
|
|
| obsy |
Dodano 18-02-2009 06:42
|
VIP
Posty: 5775
Dołączył: 31/10/2006 20:06
|
To ustaw na
iptables -P FORWARD DROP
|
| |
|
|
| obsy |
Dodano 18-02-2009 06:45
|
VIP
Posty: 5775
Dołączył: 31/10/2006 20:06
|
Tyle że wyczyść wcześniej wszystko przez -X -F
|
| |
|
|
| shibby |
Dodano 18-02-2009 09:56
|
SysOp
Posty: 17147
Dołączył: 15/01/2009 20:30
|
Cytat obsy napisał/a:
To ustaw na
iptables -P FORWARD DROP
hmm
a akcje gdzie zgubiliscie?
iptables -P FORWARD -j DROP #blokujemy caly ruch przekazywany
iptables -A FORWARD --dport 80 -j ACCEPT #zezwalamy na ruch http
iptables -A FORWARD --dport 8080 -j ACCEPT #zezwalanymy na ruch https
itd zmieniajac dport na jaki chcesz 
Edytowany przez shibby dnia 18-02-2009 10:00
|
| |
|
|
| obsy |
Dodano 18-02-2009 17:19
|
VIP
Posty: 5775
Dołączył: 31/10/2006 20:06
|
No proszę, To jest ustawienie polityki, tam nie ma -j. Serio.
|
| |
|
|
| lukaszpieter |
Dodano 18-02-2009 20:49
|
User
Posty: 132
Dołączył: 13/07/2007 00:57
|
Cytat shibby napisał/a:
Cytat obsy napisał/a:
To ustaw na
iptables -P FORWARD DROP
hmm
a akcje gdzie zgubiliscie?
iptables -P FORWARD -j DROP #blokujemy caly ruch przekazywany
iptables -A FORWARD --dport 80 -j ACCEPT #zezwalamy na ruch http
iptables -A FORWARD --dport 8080 -j ACCEPT #zezwalanymy na ruch https
itd zmieniajac dport na jaki chcesz
Z tego co mi @obsy wytłumaczył:
zamiast
iptables -P FORWARD -j DROP
powinno być
iptables -P FORWARD DROP
i zamiast np.
iptables -A FORWARD --dport 80 -j ACCEPT
powinno być
iptables -A FORWARD -p TCP --dport 80 -j ACCEPT
lub iptables -A FORWARD -p UDP --dport 80 -j ACCEPT
Wszystko cacy. Tylko z tego co rozumiem, to po wydaniu polecenia
iptables -P FORWARD DROP
Wszystkie porty FORWARDOWANE z routera do lokalnych stacji, zostają zamknięte z powiadomieniem użytkownika. Po wydaniu polecenia wszelki dostęp do internetu powinien zostać wzbroniony, ale tak się nie dzieje.
Tak u mnie wygląda tablica iptables po wydaniu poleceń.
Cytat
Chain INPUT (policy DROP)
target prot opt source destination
DROP 0 -- anywhere 10.0.0.14
DROP 0 -- anywhere anywhere state INVALID
ACCEPT 0 -- anywhere anywhere state RELATED,ESTAB LISHED
ACCEPT 0 -- anywhere anywhere
ACCEPT 0 -- anywhere anywhere
ACCEPT tcp -- anywhere Asus tcp dpt:www
ACCEPT tcp -- anywhere Asus tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:ftp
Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT 0 -- anywhere anywhere
DROP 0 -- anywhere anywhere state INVALID
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/S YN tcpmss match 1461:65535 TCPMSS set 1460
ACCEPT 0 -- anywhere anywhere state RELATED,ESTAB LISHED
wanin 0 -- anywhere anywhere
wanout 0 -- anywhere anywhere
ACCEPT 0 -- anywhere anywhere
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Chain wanin (1 references)
target prot opt source destination
Chain wanout (1 references)
target prot opt source destination
Edytowany przez lukaszpieter dnia 18-02-2009 20:59
|
| |
|
|
| shibby |
Dodano 19-02-2009 12:21
|
SysOp
Posty: 17147
Dołączył: 15/01/2009 20:30
|
Cytat obsy napisał/a:
No proszę, To jest ustawienie polityki, tam nie ma -j. Serio.
obsy zgadza sie, moje niedopatrzenie |
| |
|
|
| ptachu |
Dodano 30-12-2010 16:15
|
User
Posty: 20
Dołączył: 30/12/2010 16:05
|
Witam!
Wybaczcie, że odkopałem tak stary temat, ale po części dotyczy on problemu, z którym się spotkałem.
Chciałem zablokować komunikację na zewnątrz z lokalnej sieci LAN.
Postanowiłem zablokować wszystkie połączenia wychodzące i odblokowywać porty, które mi będą potrzebne. Najpierw użyłem polecenia:
Później zablokowałem wychodzące połączenia:
Jak dotąd wszystko idzie ok. Wszystko zablokowane. Teraz chciałem udostępnić port 80 wszystkim w LAN'ie. Zatem:
iptables -A FORWARD -p TCP --dport 80 -j ACCEPT
iptables -A FORWARD -p UDP --dport 80 -j ACCEPT
I tutaj mam problem bo cały czas ruchu na zewnątrz po porcie 80 nie ma. Strony się nie wczytują. Proszę o podpowiedzi co mi umknęło bądź czego nie dopisałem.
Pozdrawiam! |
| |
|
|
| nerio88 |
Dodano 30-12-2010 19:58
|
User
Posty: 175
Dołączył: 10/06/2010 21:50
|
# Wyczyszczenie tablic iptables
iptables -F
iptables -Z
iptables -t nat -F
iptables -t nat -Z
iptables -t mangle -F
# Ustawienie domyslnych polityk bezpieczenstwa
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
# Dopuszczenie pakietow powrotnych dla polaczen nawiazanych
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Wycinek z mojego skryptu firewalla. Ostatnie dwie linijki to jest dopuszczenie pakietów powrotnych, tego IMO Ci brakuje
Jakby nadal nie działało, to można jawnie dopuścić odpowiedź z serwera, z którym użytkownik się łączy (przykład dla HTTP):
iptables -A FORWARD -p tcp -d adres_podsieci/maska_podsieci --sport 80 -j ACCEPT
Edytowany przez nerio88 dnia 30-12-2010 20:02
|
| |
|
|
| ptachu |
Dodano 04-01-2011 07:38
|
User
Posty: 20
Dołączył: 30/12/2010 16:05
|
Witam!
Dzięki za podpowiedź. Blokowanie portów mi działa......przez chwilkę  . Wszystko jest ok przez kilka minut, a potem nie mogę korzystać z żadnych portów. Wszystko zablokowane chociaż reguły w niezmienionej formie w iptables tkwią. |
| |
|
|
| ptachu |
Dodano 18-01-2011 09:50
|
User
Posty: 20
Dołączył: 30/12/2010 16:05
|
Witajcie!
Wybaczcie post pod postem.
Mam problem z blokowaniem portów. Ustawiam iptables tak żeby ruch wychodzący był dozwolony tylko po portach, które sam wybiorę. I działa to przez chwilę. I po tej chwili ustawienia tabeli FORWARD wracają do ustawień domyślnych. Jak zrobić żeby router moje ustawienia pamiętał?
Pozdrawiam! |
| |
|
' target='_blank'>Link
