Versão Imprimível
E ai galera blz, tenho duas placas de redes no servidor kurumin - internet conexão de rádio (wlan0 - IP 10.0.1.37) e rede local (eth0 - IP 192.168.1.160), como faço para criar algumas regras com iptables, liberando acesso total as máquinas da rede local (liberando kazaa, ftp, http, msn, etc) e restringindo o acesso da rede da internet as máquinas internas ..... valew ....
Por você ter IP frio nas 2 pontas não tem muito stress :P
Supondo que o Kurumin está bem configurado, navegando bunitinho, para ter o que você quer sem enrolação (considerando que a rede local eh 192.168.1.0/24), crie um arquivo com as seguintes linhas para ser executado sempre na inicialização do Kurumin:
iptables -F
iptables -X
iptables -P FORWARD DROP
iptables -P INPUT DROP
iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -o wlan0 -j MASQUERADE
iptables -I FORWARD -s 192.168.1.0/24 -j ACCEPT
iptables -I FORWARD -d 192.168.1.0/24 -m state --state ESTABLISHED -j ACCEPT
#Carrega os modulos
modprobe iptables
modprobe iptable_nat
# Compartilha a conexão
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
# Abre para a rede local
iptables -A INPUT -p tcp --syn -s 192.168.0.0/255.255.255.0 -j ACCEPT
# Fecha o resto
iptables -A INPUT -p tcp --syn -j DROP
Valeu mano espero ter ajudado !!!
Isso nao fecha tudo nunca! Isso soh fecha conexoes de pacotes SYN,Citação:
Postado originalmente por gatoseco
pra fechar tudo eh como o dropall falou antes
iptables -P INPUT DROP
E isso soh vai permitir a rede "conectar" no servidor, mas nao vai trafegar nada pq vc soh liberou o synCitação:
Postado originalmente por gatoseco
Obrigado pela correçao 1c3_m4n vc e sempre muito prestativo!!!
heheheeh :D
So mais um detalhe, suas regras ateh podem funcionar do jeito que estao pq no inicio vc soh bloqueia o syn, e depois vc libera ele pra rede interna, entao pode da a impressao que ta funfando certinho, mas rode um nmap com as opcoes sF(FIN),sX(XMAS) e você vai ver que ele ainda vai acusar as portas como abertas
O que vc acha que nao vai trafegar ? Poderia postar algum Exemplo ?
mesmo vc construindo um fw com ajuda do pessoal daqui, é fundamental vc ter conhecimentos sobre iptables e tcp/ip.
vai no google e digita focalinux
flw
Com as suas regras vai funcionar normal como falei antes, mas se vc colocar iptables -P INPUT DROP como falamos, e depois liberar pra rede interna usando a sua regra (--syn ACCEPT) qq coisa vai ficar bloqueada, FTP é uma, depois faz o teste usa as regras assim:Citação:
Postado originalmente por gatoseco
iptables -P INPUT DROP
iptables -A INPUT -p tcp -s REDE --syn -j ACCEPT
conecta no ftp e tenta transferir alguma coisa, utilize o iptraf pra ficar monitorando a conexao e voce vai ver o server resetando a conexao ;)
Pois e mas isso e se eu colocar como vc bem disse mas ja passei as regras na sequencia certa pra que funcione perfeitamente e logico que ele podera incluir a regra que vc citou no final do arquivo para realmente fechar tudo, so dei um pequeno exemplo de como ele poderia fazer pra iniciar um firewall nada muito complexo mas derrepente vc poderia postar um exemplo mais robusto e eficiente pra que nos pudessemos fazer criticas emcima e chegar em alguma coisa proxima da perfeiçao,
Pois nao to entendendo uma hora vc diz que funciona depois ja nao funciona mais !!!
o fw que o dropall passou ai no inicio ta perfeito, eu sohincluiria a opcao
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
pra poder usar o server normalmente
recomendo: iptables.under-linux.org
lah explica direitinho as tabelas nat
Na boa... vamos rever uma coisa... a tabela Filter que eh default pra nossas regras mais expecificamente a chain INPUT e onde tudo oque eh destinado ao IP, veja bem, ao IP do firewall passa.Citação:
Postado originalmente por gatoseco
Sendo assim quando uma maquina dentro da rede chama um servidor FTP ela nao vai fazer isso:
Maquina -> Firewall -> FTP
Quero dizer a maquina dentro da rede nao procura pelo Firewall, o IP dele, ao invez disso ela procura o IP do FTP é depois de verificado a tabela de roteamento local descobre que o IP, o do FTP, nao esta na mesma rede, oque ela faz?
Manda pra unica maquina capaz de reenviar esse pacote é que talvez não consiga mas esta la pra fazer a "Ponte", o Gateway.
Concluindo, abrir a chain INPUT para que as maquinas dentro da rede usarem Internet nao é necessario, porque voce acha que existe uma chain que chama FORWARD é existe um parametro no kernel que habilita ou desabilita o repasse?
Ao menos que voce precise acessar o SSH ou Squid nessa maquina, nao abra nada no INPUT.
Como ja havia dito essas regras sao simples e apenas um inicio para alguem que ta começando a construir um firewall !!!
Mas se o nosso amigo necessitar de algo mais complexo e so dar uma olhada em www.linuxit.com.br e la tera um artigo escrito por mim que se chama script completo de firewall com mais de 2.700 visitas !!!
E preciso ter coragem pra escrever e nao ficar sempre atras do muro so com a intençao de criticar !!!
Falar de mim e facil dificil e ser eu !!!
Desculpa viu...Citação:
Postado originalmente por gatoseco
ppl sem flames.... :@:Citação:
Postado originalmente por gatoseco
Agora aproveite as novas dicas do forum e atualize seu artigo pra ficar melhor ainda :D
Eeeee pesssoal NO FLAMES :@:
Vamos todos :clap: e cantar.... :P
:P
Copiar e colar, é sempre muito facil, o dificil é entender...
Então:
http://www.iptablesbr.cjb.net
Leia, teste e aprenda...
Abraço []´z
iptables.under-linux.org :D
eh o mesmo desse cjb, mas ele fica hospedado aki na under (fica mais rapido ;) )
Ops ops 1c3_m4n HEHE...
http://iptables.under-linux.org
ACONTECE?! :good:
[]´z
Ae galera..
olha esse artigo:
"Script Completo* de Firewall"
http://www.linuxit.com.br/section-viewarticle-714.html
Olkem lá aprendam tropa de ignorante.. Tudom perfeitinho, sem faltar nem sobrar..
*Mas é completo... Sem meio termo...
(ironia é meu forte.. hehehe)
Vc ja escreveu alguma coisa pra tentar ajudar alguem ou apenas faz criticas em cima de artigos escritos por outros?
O interessante e que nunca vi nada escrito por vc, sera que e por falta de tempo ou conteudo?
Mas obrigado por tudo o q escreveu me ensinou muitas coisas que ate agora eu nao sabia!!! hehehe
Valeu mano espero ter mais uma vez ajudado !!!
eh... coisa de quem você nao viu escrito?
Minha neh.. huahauhauahua...
A hora que conseguir fazer alguma coisa que ninguém ainda tenha feito, ou que eu conseguir escrever algo que facilite o aprendizado, com certeza eu escrevo, afinal, minha pobre cultura, nunca ficou nem nunca ficará guardada só pra mim..
Mas vc me deu uma idéia, que tal se eu copiar o teu artigo, e dar uma "editadazinha" e então postar em algum site? Fácil neh? Vamos lá.. Já to sentindo falta de teus artigos criativos e indispensáveis..
Beijão..
(tá quase na hora de bloquear o topico.. heheh)
Nao... na boa, eu sempre posto na intencao de compartilhar oque eu sei, esse eh a idea, na boa
? nunentendí velho...Citação:
Postado originalmente por felco
ahh... esquece, esse topico morreu jaCitação:
Postado originalmente por w00dy
sohCitação:
Postado originalmente por felco