Como proteger minha rede interna com Iptable ???

Essa minha regra do Iptable, sei que nao esta protegendo a rede local, como devo fazer para proteger totalmente a rede local, liberando depois as portas, que for achando necessario?????

Rede com duas Maquinas , uma com Linux e outra com Win98, a maquina com Linux acessa a net, via adsl com ppp0.....modem e maquinas ligadas a um rub.

modprobe iptable_nat
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

#abre algumas portas
#iptables -A INPUT -p tcp --destination-port 139 -j ACCEPT
#iptables -A INPUT -p tcp --destination-port 137 -j ACCEPT
#abre a rede local

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --syn -s 192.168.0.0/255.255.255.0 -j ACCEPT

#fecha o resto

iptables -A INPUT -p tcp --syn -j DROP

Oi amigo,


primeira coisa, vc definiu a politica padrão das chains como DROP ?????

A regra do meu iptable e essa que postei acima..........., gostaria da ajuda de voces, para bloquear o acesso a minha rede interna, isso e a maquina com win98, e com linux, e ir liberando conforme a minha necessidade....

basicamente seria isso
---

#!/bin/sh
echo 1 > /proc/sys/net/ipv4/ip_forward

INT="eth1"
EXT="eth0"

iptables -F
iptables -X

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -i $INT -o $EXT -j ACCEPT
iptables -A FORWARD -i $EXT -i $INT -j ACCEPT

iptables -t nat -A POSTROUTING -o $EXT -j MASQUERADE
---

bem simples so pra vc estudar

INT="eth1"
Essa seria a maquina com win98??
EXT="eth0"
Essa a maquina com Linux?? A conexao e atraves do ppp0 e nao do eth0, nao vai ter problema???
iptables -F
iptables -X

iptables -P INPUT DROP
iptables -P FORWARD DROP -> esta bloqueando a rede interna???
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -i $INT -o $EXT -j ACCEPT -> A rede local esta se comunicando????
iptables -A FORWARD -i $EXT -i $INT -j ACCEPT

iptables -t nat -A POSTROUTING -o $EXT -j MASQUERADE


Sera que foi isso mesmo que entendi????

para aprender como o iptables funciona, e resolver seu problema...
d uma olhada nesse link:

http://iptables.under-linux.org/

[]'s

Citação:

---

Postado originalmente por Anonymous

INT="eth1"
Essa seria a maquina com win98??
EXT="eth0"
Essa a maquina com Linux?? A conexao e atraves do ppp0 e nao do eth0, nao vai ter problema???
iptables -F
iptables -X

iptables -P INPUT DROP
iptables -P FORWARD DROP -> esta bloqueando a rede interna???
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -i $INT -o $EXT -j ACCEPT -> A rede local esta se comunicando????
iptables -A FORWARD -i $EXT -i $INT -j ACCEPT

iptables -t nat -A POSTROUTING -o $EXT -j MASQUERADE


Sera que foi isso mesmo que entendi????

---

1) Nao tem problema pode usar o ppp0 nessa var
2) Essa regra bloqueia o repasse de pacotes de qualquer lugar para qualquer lugar ou seja nada passa ser explicitamente permitido (-j ACCEPT)
3) Essa regra permite que a rede local saia para a internet eh que a resposta volte ao usuario

vale a pena seguir a dica do amigo demiurgo pois nao existe melhor forma de construir um firewall senao vc mesmo criar o ruleset pois vc pode criar um firewall realmente eficaz sob medida coisa que eu nao poderia fazer daqui

Eu so quero bloquear o acesso a minha rede interna e depois liberar conforme a necessida, ou seja regra para bloquear tudo:
regra para liberar certa porta.

Entendi... pensei que voce estava se referindo ao inverso "Proteger sua rede do que vem de fora" nesse caso todas as regras irao no FORWARD
Entenda o seguinte na chain FORWARD vc controla tudo oque eh repassado da internet para seu cliente na rede e vice-versa.. entao partindo dai:

#permitir que pacotes relacionados eh coneccoes estabelecidas passem
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

#a porta 53 para consultas nos servidores de nomes remotos
iptables -A FORWARD -s $INT -p udp --dport 53 -j ACCEPT

#a porta 80 para acesso ao conteudo http
iptables -A FORWARD -s $INT -p tcp --dport 80 -j ACCEPT

eh assim por diante... 25 smtp, 110 smtp, 443 https, 21 ftp nao esqueca ;)