Firewall Ideal

[flaviobatistela]

Pessoal,

Sei que cada rede tem o seu firewall ideal, mas estou precisando de uma solução que bloquei todas as portas e depois vai liberando só as principais.
Já testei vários firewalls desse tipo, mas nenhum foi satisfatório.
Estou montando um servidor simples, que vai barrar p2p, MSN entre outros e deve liberar a navegação para os clientes.
Alguem pode postar um bom modelo que tenha sido testado e funcionado.
Grato.

[darkwarrior]

Aqui na empresa utilizamos o shorewall (Shoreline Firewall)
No começo ele pode parecer meio estranho, mas com algumas lidas no manual você vai ver que ele é ótimo para gerenciar as regras e bem organizado.

Uma coisa que não gosto tanto é a quantidade de regras criadas que são um pouco exageradas, mas de resto aqui estamos satisfeitos.

[flaviobatistela]

Amigo darkwarrior , obrigado pela dica. Vou dar uma olhada.
Se o pessoal tiver scripts, pode enviar também, não precisa ser um software.
Grato.

[darkwarrior]

Só para constar, o shorewall trabalha com o iptables.

[flaviobatistela]

Pessoal,

Alguem tem algum script??????

Grato.

Flávio.

[mistymst]

Bom vamos lá...


script "pre"-feito como a gente chama.. geralmente nunca vai aparecer e sempre é meio que furada... o que o nosso amigo sugeriu ali em cima é bem legal, mas eu nunca usei o shorewall para avaliar o seu funcionamento, mas tem outra dica também que é o IPCop, que eh outra distro voltada para Firewalling, e bem simples de ser instalada... como toda distro tem suas limitações mas ela tem uma boa desenvoltura e eu sempre indico para quem quer um firewall e nao quer ter muita dor de cabeca/nao sabe muito bem como anda o "trem".

[flaviobatistela]

mistymst,

Valew pela ajuda. Mas o que ocorre é que tenho outros serviços rodando nessa máquina. Tenho proxy, DNS, gráficos e nessas distribuições voltadas para firewall, isso não é profissional.

Na verdade, o que eu gostaria é que o cara conseguisse apenas navegar via proxy e o restante das portas fossem todos bloqueados.
Estou postando aqui no fórum, pq me atrapalho um pouco com regras de firewall.
Se alguem puder me ajudar, ficarei imensamente grato.
Abraços.

[mistymst]

Bom, tem dois pontos nisso... é meio complicado alguem fazer algo para voce até porque vc q vai ter q dar manutencao nisto, e entender como funciona para nao ficar perdido na hora que tiver que mudar algo.

Bom, quanto as distros voltadas para Firewall, dependendo do que voce tiver, geralmente temos nelas tanto proxy quanto DNS, ja a parte do X eu duvido muito que tenha.

Quanto a parte simples, esta de ninguem "sair" para internet, exceto esteja pelo proxy. Simplesmente se voce desabilitar o ip_forward do kernel resolve, sem regras de firewall, mas sinceramente nao sei como é a tua estrutura e se esta solução seria "a simples e ideal" para voce.

[flaviobatistela]

Bom, tem dois pontos nisso... é meio complicado alguem fazer algo para voce até porque vc q vai ter q dar manutencao nisto, e entender como funciona para nao ficar perdido na hora que tiver que mudar algo.

Bom, quanto as distros voltadas para Firewall, dependendo do que voce tiver, geralmente temos nelas tanto proxy quanto DNS, ja a parte do X eu duvido muito que tenha.

Quanto a parte simples, esta de ninguem "sair" para internet, exceto esteja pelo proxy. Simplesmente se voce desabilitar o ip_forward do kernel resolve, sem regras de firewall, mas sinceramente nao sei como é a tua estrutura e se esta solução seria "a simples e ideal" para voce.

Mas se o ip_forward estiver desativado não vai haver navegação para rede interna, não é?

[darkwarrior]

Mas se o ip_forward estiver desativado não vai haver navegação para rede interna, não é?

Isso, sua rede interna não vai conseguir sair para a internet, somente utilizando o proxy.

[mistymst]

Quanto voce esta usando uma aplicação do tipo "Proxy", o seu kernel nao "encaminha" os pacotes por isso ele nao precisa do ip_forward, já quando é o kernel que esta encaminhando, ou por simplesmente roteamento ou com a adição de NAT, ai voce precisa.

Entendido?