WEB szerver firewall kerdes

Linux-security

WEB szerver firewall kerdes

  • 1549 megtekintés

( x15 v | 2004. 08. 19., cs – 09:48 )

[quote:728cfc61a3="cstamas"]
IMHO iptables-save - iptables-restore párost szeretem.

miért? mert a frankó iptables minden egyes szabálynál ki-be töltögeti az egész ruleset-et
és ez így nem optimális

*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp --dport 80 -j ACCEPT
COMMIT

cat iptables-rules | iptables-restore
én így szoktam csinálni. Igaz az amit fentebb írtam problémát csak nagyszámú szabálynál okoz érezhető lassulást.

Arra gondolsz, hogy irjam at ilyenre? Nem is rossz...

Ha megnezed a szkriptet, csak a kozepeben kulonbozik a tobbitol, az ICMP-s kavarassal. Szedjem ki belole?
Sajnos sok port van nyitva, de most meg kell ennyi. A felet ki fogom gyomlalni.
Sokat fog segiteni a pure-ftpd, a passziv ftp port tartomannyal (mar ha sikerul beloni, es mukodik is).
Tul sok fele dolgot csinal a szerver. Szet kellene valasztani ket kulonallo gepre.

( lacika v | 2004. 10. 02., szo – 21:05 )

[quote:6b3db06492="trey"][quote:6b3db06492="vmiklos"]sajnos én is programokkal gyártom a scriptjeimet :-(
azt h csak ssh meg http jöjjön be minden mást tiltasz, ezt hogy csinálod meg 4-5 sorban?

iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

ez a lenyege. aztan lehet szinezni.

Én is itt tartok hogy egy egyszerű tűzfalat generáljak egy hosting szerver elé. A netstat -a | grep -i listen -nel megnéztem, hogy milyen portokat használ a kédéses szerver. A /etc/services -ben megnéztem mik is azok (melyeket nem tudtam). Java részt mindig úgy volt hogy tcp és udp protokoll is. Kérdésem az lenne, hol/hogy lehetne megnézni, hogy melyik szolgálltatás igényli az udp portot?

Laci

( djsmiley v | 2004. 10. 02., szo – 23:04 )

Hello,

[quote:37676f54a0="x15"]
Sokat fog segiteni a pure-ftpd, a passziv ftp port tartomannyal (mar ha sikerul beloni, es mukodik is).

modprobe ip_conntrack_ftp (jobb esetben benne van a kernelben). Amugy nem kell 5 sor :) :

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i interface -s ! sajat_ip -p tcp -m state --state NEW -m limit --limit x/s -m multiport --dports 22,80 -j ACCEPT

meg default drop: iptables -P INPUT -j DROP
(multiportnal egy dolog necces, max. 15 port lehet egy szabalyban)
Bar SSH-t en kulon szabaly(ok)ban szoktam es nem rossz az, ha -s -el korlatozod, tobbi meg megy a levesbe.

Udv.

( djsmiley v | 2004. 10. 02., szo – 23:09 )

Hi!

[quote:f64724586a="lacika"]
Én is itt tartok hogy egy egyszerű tűzfalat generáljak egy hosting szerver elé. A netstat -a | grep -i listen -nel megnéztem, hogy milyen portokat használ a kédéses szerver.

Azert mero felelotlenseg lenne mindent engedni kintrol is, nem kell neked az a pl. mysql kivulrol ugye? :)
Atlagban 21,22,25,80,110,143,443 szokott kelleni, web(https),mail,ftp,ssh. Javaslom az alapjan dolgozz amit hasznalni akarsz.

[quote:f64724586a="lacika"]Java részt mindig úgy volt hogy tcp és udp protokoll is. Kérdésem az lenne, hol/hogy lehetne megnézni, hogy melyik szolgálltatás igényli az udp portot?

Fontosabbak kozul en egyet ismerek ami udp, az pedig a bind (53,udp).
Mellekesebbek kozul pl. game serverek szeretik. (Counter-Strike pl.)

Udv.

( lacika v | 2004. 10. 02., szo – 23:37 )

[quote:5805d2f4a5="djsmiley"]Hi!

[quote:5805d2f4a5="lacika"]
Én is itt tartok hogy egy egyszerű tűzfalat generáljak egy hosting szerver elé. A netstat -a | grep -i listen -nel megnéztem, hogy milyen portokat használ a kédéses szerver.

Azert mero felelotlenseg lenne mindent engedni kintrol is, nem kell neked az a pl. mysql kivulrol ugye? :)
Atlagban 21,22,25,80,110,143,443 szokott kelleni, web(https),mail,ftp,ssh. Javaslom az alapjan dolgozz amit hasznalni akarsz.

[quote:5805d2f4a5="lacika"]Java részt mindig úgy volt hogy tcp és udp protokoll is. Kérdésem az lenne, hol/hogy lehetne megnézni, hogy melyik szolgálltatás igényli az udp portot?

Persze, hogy a mysql -t nem fogom engedélyezni ;) Igaz a program konfigjában is úgy van megadva, hogy socketet használjon.
A DNS udp -jére én is gondoltam. Köszi.
Az merült fel bennem, mi lenne, ha nem a default policíben (-P) adnám meg hogy DROP, hanem végigsorolnám, amit lehet és a végén:
iptables -A INPUT -j REJECT
Csak azért mert ha DROP -ot adok, akkor az egy kicsikét belassíthatja a dolgokat esetleges nagyobb hálózati forgalom eetén. Ez nagyon elvetemült ötlet?
laci

Fontosabbak kozul en egyet ismerek ami udp, az pedig a bind (53,udp).
Mellekesebbek kozul pl. game serverek szeretik. (Counter-Strike pl.)

Udv.

( gyu v | 2004. 10. 03., v – 04:43 )

[quote:9d3fe35ebc="trey"][quote:9d3fe35ebc="cstamas"]
IMHO iptables-save - iptables-restore párost szeretem.

Valahogy en mindig utaltam. Okat nem tudom. Talan az, hogy a megirt scriptem mindenhol mukodik, meg egy 1 floppy-s tuzfal gepen is, ahol nincs iptables-save - iptables-restore. :-D

Oda elég az iptables-restore. Még iptables se kell, csak ha menetközben mégis matatni akarsz valamit... Bár tény, hogy ha azt el is akarod menteni, akkor meg már iptables-save is kell :-)
De valóban megvan az az előnye, amit korábban már említettek, hogy nem azt csinálja, hogy fogja a teljes szabálylistát, csinál róla egy másolatot, beszúrja a megadott helyre az új szabályt (vagy kitörli a megadott helyről), majd közli a kernellel, hogy az új láncot / táblát használja a régi helyett, hanem a *COMMIT előtti összes szabályt előbb felveszi magának 0-ról építve, majd utána közli a kernellel, hogy ezeket kellene inkább használni.
És a lefordított binárisok mérete:
[code:1:9d3fe35ebc]
-rwxr-xr-x 1 root root 57632 jún 4 02:55 /sbin/iptables
-rwxr-xr-x 1 root root 61288 jún 4 02:55 /sbin/iptables-restore
-rwxr-xr-x 1 root root 60496 jún 4 02:55 /sbin/iptables-save
[/code:1:9d3fe35ebc]

Egyébként, hogy van ez a működési módszer, és fix szabálylistáknál ezt érdemes használni maga Kadlecsik Józsi mesélte, ha jól emlékszem, akkor az IPSZILONos előadásán...

( x15 v | 2005. 03. 01., k – 13:32 )

Olyan regen nem irtam ebbe a topicba...

A szerver(ek) teljesen jol mennek, de elgondolkodtam egy kulso firewall-on.
Ha jol tudom a hup.hu elott is van ilyen.

Javul -e a helyzet, ha egy freebsd-s gepet ele teszek?
Pl. m0n0wall-t?

( deta | 2004. 10. 03., v – 10:27 )

Hat ooo, ize.
Itt a sok iptables szabaly utan, szerintem erdemes lenne megemliteni, hogy
mivel az iptables effektiv vedelmet nem ad a 80as portodra (bar lehet trukkozni, tudom),
a viszonylag normalis megoldas egy apache + chroot lenne szvsz.
Errol mar szerintem valamelyik topicban mar szo volt, de leirasok millioi is megtalalhato a guglin a biztonsagos webserver uzemeltetesrol.
Ezekbol leszurve egy _teljesen alap_ biztonsagi megoldast az iptables + chroot parossal lehet osszehozni.

deta

( x15 v | 2004. 08. 18., sze – 16:31 )

Milyen firewall szkript letezik web szerverre?

Ha be van kapcsolva a firewall, erezhetoen lelassul a szerver.
(sarge, 2.6.8, apache2)

Kell -e egyaltalan firewall?

A hup.hu szervere elott kulso firewall van, de ez az en esetemben nem (vagy csak nehezen) kivitelezheto.

( snq- | 2004. 08. 18., sze – 16:39 )

[quote:38bc48cbb3="x15"]Milyen firewall szkript letezik web szerverre?

tobbfajta, bar az emberek altalaban Az Adott Kiszolgalora Szabott Egyeni nevu scriptre eskusznek

[quote:38bc48cbb3="x15"]Ha be van kapcsolva a firewall, erezhetoen lelassul a szerver.

mikozben 100 helyrol portscannelik egyszerre, vagy csak ugy gondol egyet, es onmagaban?

[quote:38bc48cbb3="x15"]Kell -e egyaltalan firewall?

nem, a mukodesnek nem feltetele egy firewall meglete

( trey | 2004. 08. 18., sze – 16:47 )

[quote:e69a79a76e="x15"]Milyen firewall szkript letezik web szerverre?

Ha be van kapcsolva a firewall, erezhetoen lelassul a szerver.
(sarge, 2.6.8, apache2)

Kell -e egyaltalan firewall?

A hup.hu szervere elott kulso firewall van, de ez az en esetemben nem (vagy csak nehezen) kivitelezheto.

Milyen firewall van bekapcsolva? Ha megosztanad velunk a scriptet... Egy webszerverre mar 4-5 soros iptables script is megfelelolen hatasos lehet. Nem kell semmit tulkomplikalni...

( vmiklos | 2004. 08. 18., sze – 16:51 )

sajnos én is programokkal gyártom a scriptjeimet :-(
azt h csak ssh meg http jöjjön be, és minden más bejövőt tiltasz, ezt hogy csinálod meg 4-5 sorban?

( x15 v | 2004. 08. 18., sze – 16:58 )

[quote:06725175e2="vmiklos"]nem kell, csak érdemes :wink:

OK.
Ezek szerint, ha nem fut semmi felesleges, csak ami a mukodeshez kell, akkor mit tud meg?

[quote:06725175e2="snq-"]
mikozben 100 helyrol portscannelik egyszerre, vagy csak ugy gondol egyet, es onmagaban?

Nem csak ugy hasznaljak, 10 talalat/perc...

[quote:06725175e2="trey"]
Ha megosztanad velunk a scriptet...

OK, a skript:
[code:1:06725175e2]
#!/bin/sh
export PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin
iptables="/sbin/iptables"

# adjust /proc
echo " applying general security settings to /proc filesystem"
echo ""
if [ -e /proc/sys/net/ipv4/tcp_syncookies ]; then echo 1 > /proc/sys/net/ipv4/tcp_syncookies; fi
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]; then echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter; fi

# flush any existing chains and set default policies
$iptables -F INPUT
$iptables -F OUTPUT
$iptables -P INPUT DROP
$iptables -P OUTPUT ACCEPT

# allow all packets on the loopback interface
$iptables -A INPUT -i lo -j ACCEPT
$iptables -A OUTPUT -o lo -j ACCEPT

# allow established and related packets back in
$iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

# blocking reserved private networks incoming from the internet
echo " applying incoming internet blocking of reserved private networks"
echo ""
$iptables -I INPUT -i eth0 -s 10.0.0.0/8 -j DROP
$iptables -I INPUT -i eth0 -s 172.16.0.0/12 -j DROP
$iptables -I INPUT -i eth0 -s 192.168.0.0/16 -j DROP
$iptables -I INPUT -i eth0 -s 127.0.0.0/8 -j DROP

# icmp
echo " applying icmp rules"
echo ""
$iptables -A OUTPUT -p icmp -m state --state NEW -j ACCEPT
$iptables -A INPUT -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT
$iptables -A INPUT -p icmp --icmp-type echo-request -i eth0 -j DROP

# apply icmp type match blocking
echo " applying icmp type match blocking"
echo ""
$iptables -I INPUT -p icmp --icmp-type redirect -j DROP
$iptables -I INPUT -p icmp --icmp-type router-advertisement -j DROP
$iptables -I INPUT -p icmp --icmp-type router-solicitation -j DROP
$iptables -I INPUT -p icmp --icmp-type address-mask-request -j DROP
$iptables -I INPUT -p icmp --icmp-type address-mask-reply -j DROP

# open ports to the firewall
echo " applying the open port(s) to the firewall rules"
echo ""
$iptables -A INPUT -p tcp --dport 21 -j ACCEPT
$iptables -A INPUT -p tcp --dport 22 -j ACCEPT
$iptables -A INPUT -p tcp --dport 25 -j ACCEPT
$iptables -A INPUT -p tcp --dport 80 -j ACCEPT
$iptables -A INPUT -p tcp --dport 110 -j ACCEPT
$iptables -A INPUT -p tcp --dport 465 -j ACCEPT
$iptables -A INPUT -p tcp --dport 587 -j ACCEPT
$iptables -A INPUT -p tcp --dport 992 -j ACCEPT
$iptables -A INPUT -p tcp --dport 995 -j ACCEPT
$iptables -A INPUT -p tcp --dport 5432 -j ACCEPT
$iptables -A INPUT -p udp --dport 22 -j ACCEPT
$iptables -A INPUT -p udp --dport 80 -j ACCEPT
$iptables -A INPUT -p udp --dport 110 -j ACCEPT
$iptables -A INPUT -p udp --dport 465 -j ACCEPT
$iptables -A INPUT -p udp --dport 587 -j ACCEPT
$iptables -A INPUT -p udp --dport 992 -j ACCEPT
$iptables -A INPUT -p udp --dport 995 -j ACCEPT
$iptables -A INPUT -p udp --dport 5432 -j ACCEPT

# ftps
$iptables -A INPUT -p udp --dport 443 -j ACCEPT
$iptables -A INPUT -p udp --dport 990 -j ACCEPT

# drop all other packets
echo " applying default drop policies"
echo ""
$iptables -A INPUT -i eth0 -p tcp --dport 0:65535 -j DROP
$iptables -A INPUT -i eth0 -p udp --dport 0:65535 -j DROP

[/code:1:06725175e2]
a quicktables-2.3 csinalta, es atirogattam egy kicsit.

( trey | 2004. 08. 18., sze – 17:04 )

[quote:a32cff0ed5="vmiklos"]sajnos én is programokkal gyártom a scriptjeimet :-(
azt h csak ssh meg http jöjjön be minden mást tiltasz, ezt hogy csinálod meg 4-5 sorban?

iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

ez a lenyege. aztan lehet szinezni.

( trey | 2004. 08. 18., sze – 17:07 )

[quote:cbf2d55646="x15"]
OK, a skript:

Hat, szerintem inkabb ird meg magad.

( vmiklos | 2004. 08. 18., sze – 17:14 )

[quote:98ae1a5c31="trey"]iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

ez a lenyege. aztan lehet szinezni.

és ha vissza akrom állítani ez ez előtti állapotot (mondjuk bootolás utáni, ha nem indul automatikusan semmi iptables), akkor meg ez:
iptables -F INPUT
iptables -F OUTPUT
jól gondolom? :?

( snq- | 2004. 08. 18., sze – 17:18 )

[quote:7dd3039e34="vmiklos"]sajnos én is programokkal gyártom a scriptjeimet :-(
azt h csak ssh meg http jöjjön be, és minden más bejövőt tiltasz, ezt hogy csinálod meg 4-5 sorban?

default policy drop, ssh/http accept

( trey | 2004. 08. 18., sze – 17:19 )

[quote:21af198584="vmiklos"]és ha vissza akrom állítani ez ez előtti állapotot (mondjuk bootolás utáni, ha nem indul automatikusan semmi iptables), akkor meg ez:
iptables -F INPUT
iptables -F OUTPUT
jól gondolom? :?

Hat ha biztosra akarsz menni:

iptables -F
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

Ahany ember annyifelekeppen csinalja.

( vmiklos | 2004. 08. 18., sze – 17:21 )

kösz :wink:
igen, az a baj, h annyi iptables howto van, és mindegyik másképp oldja meg ugyanazokat a problémákat, így aztán nehéz belőlük tanulni :wink:

( trey | 2004. 08. 18., sze – 17:23 )

[quote:cb763d1c0c="vmiklos"]kösz :wink:
igen, az a baj, h annyi iptables howto van, és mindegyik másképp oldja meg ugyanazokat a problémákat, így aztán nehéz belőlük tanulni :wink:

99%-ka hatulrol mellbe kancsoval fejbe stilusu (azaz amit meg lehetne oldani 8-10 sorban, azt megoldja 200-ban). szerintem mindenkinek maganak kell megirnia ugy a sajat tuzfal szkriptjet, hogy 100%-ig ertse is, hogy az mit csinal. kulonben mi alapjan bizik meg benne?

( vmiklos | 2004. 08. 18., sze – 17:28 )

ahogy mondod :D
bár én pl az alapján, h már korábban máshonnan ismertem a készítőjét ;-)

( polya v | 2004. 08. 18., sze – 17:40 )

[quote:ac811d5dda="x15"]Milyen firewall szkript letezik web szerverre?

Ha be van kapcsolva a firewall, erezhetoen lelassul a szerver.
(sarge, 2.6.8, apache2)

Kell -e egyaltalan firewall?

A hup.hu szervere elott kulso firewall van, de ez az en esetemben nem (vagy csak nehezen) kivitelezheto.

szvsz nem a server lassul le hanem mivel hogy DROP-olsz lehet hogy valahol timeout-okat kell kivarnod 2 legjellemzobb eset: dns es identd/amit sokminden hasznalna eloszeretettel/ arrol nem is beszelve hogy ha az icmp-t letiltod kivulrol nem kapod meg a host/port unreach-okat ami szinten hosszu timeout varast eredmenyez.

( trey | 2004. 08. 18., sze – 17:52 )

[quote:2186c8b405="polya"][quote:2186c8b405="x15"]Milyen firewall szkript letezik web szerverre?

Ha be van kapcsolva a firewall, erezhetoen lelassul a szerver.
(sarge, 2.6.8, apache2)

Kell -e egyaltalan firewall?

A hup.hu szervere elott kulso firewall van, de ez az en esetemben nem (vagy csak nehezen) kivitelezheto.

szvsz nem a server lassul le hanem mivel hogy DROP-olsz lehet hogy valahol timeout-okat kell kivarnod 2 legjellemzobb eset: dns es identd/amit sokminden hasznalna eloszeretettel/ arrol nem is beszelve hogy ha az icmp-t letiltod kivulrol nem kapod meg a host/port unreach-okat ami szinten hosszu timeout varast eredmenyez.

ICMP miatt a web nem lassul le. Pingeld meg a HUP-ot. A HUP sem valaszol. De amugy igaz, a DROP miatt sokszor kell timeoutra varni. De webszerver eseten nem jatszik szerintem. Nekem sok webszerverem megy default DROP/ESTABLISHED,RELATED-del gond nelkul.

( polya v | 2004. 08. 18., sze – 18:44 )

[quote:4cb29b750e="trey"]
ICMP miatt a web nem lassul le. Pingeld meg a HUP-ot. A HUP sem valaszol. De amugy igaz, a DROP miatt sokszor kell timeoutra varni. De webszerver eseten nem jatszik szerintem. Nekem sok webszerverem megy default DROP/ESTABLISHED,RELATED-del gond nelkul.

maga a webszolgaltatas nem - de egyeb dolgok igen akkar egy ftp/ssh kapcsolat a serverrol kifele ami frissitesnel meg ugy alltalaban is konnyen elofordulat - ill nem mondtam hogy nemszabad dropolni csak van amit erdemesebb rejectelni ill annyira az echo-reqest nem bantja a servert persze ez utobbi nem trivialis ha win9x-en fut a webserver.

( lacika v | 2004. 08. 18., sze – 19:14 )

[quote:0101c7331b="vmiklos"]sajnos én is programokkal gyártom a scriptjeimet :-(
azt h csak ssh meg http jöjjön be, és minden más bejövőt tiltasz, ezt hogy csinálod meg 4-5 sorban?

iptables -P INPUT DROP
iptables -A INPUT -p tcp --dport 80 -d ipcim -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -d ipcim -j ACCEPT
iptables -A INPUT -i intefesz -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPU -i lo -j ACCEPT

Így nem jó?

Laci

( lacika v | 2004. 08. 18., sze – 19:29 )

Egy ici picit off, de anyir lehet hogy még sem. Melyik az a parancs debian alatt, amivel meg lehet nézni, hogy melyik portot melyik procesz használja éppen?

Laci

( vmiklos | 2004. 08. 18., sze – 19:36 )

nem a netstatra gondolsz? nem csak debian alatt van :wink:

( snq- | 2004. 08. 18., sze – 19:40 )

[quote:753e1e9e80="lacika"]hogy melyik portot melyik procesz

netstat -lnp?

( vmiklos | 2004. 08. 18., sze – 19:40 )

[quote:95395bda30="lacika"]iptables -A INPUT -i intefesz -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPU -i lo -j ACCEPT

az első sor az mit csinál?

ps: gondolom a végén is INPUT :wink:

( trey | 2004. 08. 18., sze – 19:45 )

[quote:0d33d4533f="vmiklos"][quote:0d33d4533f="lacika"]iptables -A INPUT -i intefesz -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPU -i lo -j ACCEPT

az első sor az mit csinál?

ps: gondolom a végén is INPUT :wink:

Lacika leirta ugyanazt amit en, csak forditott sorrendben + szint. hibakkal :-D

Az EST,RELATED azt jelenti, hogy a te altalad inditott keresekre visszaengedi a valaszt. Ami kell is mert jol neznel ki, ha egy elinditott web keresre nem engedned vissza a valaszt (a DROP ezt teszi).

( vmiklos | 2004. 08. 18., sze – 19:47 )

kösz. télleg bocs, h nem rtfmelek, de a howtokról már te is leírtad a véleményed, erre meg most nem sikerült rájönnöm a manpageből ;-)

( snq- | 2004. 08. 18., sze – 19:51 )

lehet meg szinezni ilyesmikkel, hogy csibesz-flagkombinaciok szurese:

ipatables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
ipatables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
ipatables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
ipatables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
ipatables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
ipatables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

vagy limitalt icmp:

iptables -A INPUT -i <interface> -p icmp -m limit --limit 10/minute --limit-burst 3 -j ACCEPT

( lacika v | 2004. 08. 18., sze – 19:57 )

[quote:c8b06fd522="snq-"][quote:c8b06fd522="lacika"]hogy melyik portot melyik procesz

netstat -lnp?

Nem egészen erre gondoltam. Régen használtam egy parancsot (most nagyon nem jut eszembe sajna), amivel le lehetett kérni hogy melyik procesz használja pl. a 80/TCP portot. Válaszként visszakaptunk egy procesz IDt. Így tudjátok már melyik lehet?

Laci

( trey | 2004. 08. 18., sze – 20:01 )

[quote:43d0b7312d="lacika"][quote:43d0b7312d="snq-"][quote:43d0b7312d="lacika"]hogy melyik portot melyik procesz

netstat -lnp?

Nem egészen erre gondoltam. Régen használtam egy parancsot (most nagyon nem jut eszembe sajna), amivel le lehetett kérni hogy melyik procesz használja pl. a 80/TCP portot. Válaszként visszakaptunk egy procesz IDt. Így tudjátok már melyik lehet?

Laci

man fuser

( snq- | 2004. 08. 18., sze – 20:05 )

[quote:de60cd0523="trey"]Az EST,RELATED azt jelenti, hogy a te altalad inditott keresekre visszaengedi a valaszt. Ami kell is mert jol neznel ki, ha egy elinditott web keresre nem engedned vissza a valaszt (a DROP ezt teszi).

_imo_ amit mondasz, az csak az ESTABLISHED, a RELATED osszetettebb dolgoknal erdekes (pl active ftp)

de a RELATED tud rosszul is elsulni:
http://www.tempest.com.br/pesquisa_whitepapers_advisory200101.htm

( lacika v | 2004. 08. 18., sze – 20:05 )

[quote:dc53b82db0="trey"][quote:dc53b82db0="lacika"][quote:dc53b82db0="snq-"][quote:dc53b82db0="lacika"]hogy melyik portot melyik procesz

netstat -lnp?

Nem egészen erre gondoltam. Régen használtam egy parancsot (most nagyon nem jut eszembe sajna), amivel le lehetett kérni hogy melyik procesz használja pl. a 80/TCP portot. Válaszként visszakaptunk egy procesz IDt. Így tudjátok már melyik lehet?

Laci

man fuser

Pontosan erre gondoltam! Köszönöm szépen!! Majd a homlokomra írom, hogy ne felejtsem el :)

Laci

( trey | 2004. 08. 18., sze – 20:14 )

[quote:b61e9d2a87="snq-"]
_imo_ amit mondasz, az csak az ESTABLISHED, a RELATED osszetettebb dolgoknal erdekes (pl active ftp)

Persze. Ket mondatban nem lehet ``How to become an iptables expert in five minutes (nutshell)'' tanfolyamot tartani. Akit bovebben erdekel a tema annak el kell benne merulni melyebben.

de a RELATED tud rosszul is elsulni:
http://www.tempest.com.br/pesquisa_whitepapers_advisory200101.htm

Nyilvan minel szorosabb egy tuzfal policy, annal biztonsagosabb. Vannak azonban olyan esetek ahol muszaj a RELATED. Azt meg azert tetelezzuk fel, hogy az iptables-unk nem lyukas, es allandoan frissitjuk, mert ha nem igy van akkor megette a fene az egesz tuzfalasdit. (IMHO) :-D

( cstamas | 2004. 08. 18., sze – 23:51 )

[quote:ea7c1dcbfa="vmiklos"]sajnos én is programokkal gyártom a scriptjeimet :-(
azt h csak ssh meg http jöjjön be, és minden más bejövőt tiltasz, ezt hogy csinálod meg 4-5 sorban?

IMHO iptables-save - iptables-restore párost szeretem.

miért? mert a frankó iptables minden egyes szabálynál ki-be töltögeti az egész ruleset-et
és ez így nem optimális

*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p tcp --dport 80 -j ACCEPT
COMMIT

cat iptables-rules | iptables-restore
én így szoktam csinálni. Igaz az amit fentebb írtam problémát csak nagyszámú szabálynál okoz érezhető lassulást.

Ja persze amíg kikisérletezed addig érdemes sima iptables parancsokat mondani, viszont a végén iptables-save > file
és kész a fent idézett file.

És még valami így nincs szükség semmi -F -re szabályok láncok törlésére, sőt a számlálókat is kimenti. (bár ha ezt egyszer csinálod akkor tök mindegy)

( BOB | 2004. 08. 19., cs – 00:40 )

Most igy elgondolkodom azon hogy mikor lattam utoljara ilyen kilometeres iptables scripteket. Egy alapottarto csomagszuro (pl. ipfilter) alatt ennyi lenne a "befele http + ssh" megoldas:
[code:1:0a2b991aad]
block in log all
pass out all keep state
pass in on {interfeszneve} proto tcp from any to {enIPcimem} port = 80 keep state
pass in on {interfeszneve} proto tcp from any to {enIPcimem} port = 22 keep state
pass in on lo0 from any to any
[/code:1:0a2b991aad]

Es mar ebben is vannak gyakorlatilag felesleges redundanciak.

( vmiklos | 2004. 08. 19., cs – 01:47 )

[quote:c2a653c706="cstamas"]IMHO iptables-save - iptables-restore párost szeretem.

igen, én is azt használom
most lacika meg trey magyarázatai alapján már asszem kidobom a generáló progikat, de idáig úgy csináltam, progival beállítottam, aztán meg iptables-save ;-)

( trey | 2004. 08. 19., cs – 07:19 )

[quote:8e4c2c480f="cstamas"][quote:8e4c2c480f="vmiklos"]sajnos én is programokkal gyártom a scriptjeimet :-(
azt h csak ssh meg http jöjjön be, és minden más bejövőt tiltasz, ezt hogy csinálod meg 4-5 sorban?

IMHO iptables-save - iptables-restore párost szeretem.

Valahogy en mindig utaltam. Okat nem tudom. Talan az, hogy a megirt scriptem mindenhol mukodik, meg egy 1 floppy-s tuzfal gepen is, ahol nincs iptables-save - iptables-restore. :-D