+ Responder ao Tópico



  1. #1
    guardian_metal
    Depois que troquei minhas regras de firewall, minha net funciona meio intermitente mas os serviços iptables e squid não caem. O que pode ser? Abaixo estão as regras.

    "
    # Script de Firewall e Roteamento de Portas
    #
    # Ativa Modulos
    modprobe iptable_nat
    modprobe ip_conntrack
    modprobe ip_conntrack_ftp
    modprobe ip_nat_ftp
    modprobe ipt_LOG
    modprobe ipt_REJECT
    modprobe ipt_MASQUERADE
    #
    # Ativa roteamento no kernel
    echo "1" > /proc/sys/net/ipv4/ip_forward
    #
    # Protecao contra IP spoofing
    echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
    #
    # Zera regras
    iptables -F
    iptables -X
    iptables -F -t nat
    iptables -X -t nat
    iptables -F -t mangle
    iptables -X -t mangle
    #
    # Determina a politica padrao
    iptables -P INPUT DROP
    iptables -P OUTPUT DROP
    iptables -P FORWARD DROP
    #
    # Aceita os pacotes que realmente devem entrar
    iptables -A INPUT -i ! eth0 -j ACCEPT
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A OUTPUT -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT
    iptables -A FORWARD -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT
    #
    # Protecao contra trinoo
    iptables -N TRINOO
    iptables -A TRINOO -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL: trinoo: "
    iptables -A TRINOO -j DROP
    iptables -A INPUT -p TCP -i eth0 --dport 27444 -j TRINOO
    iptables -A INPUT -p TCP -i eth0 --dport 27665 -j TRINOO
    iptables -A INPUT -p TCP -i eth0 --dport 31335 -j TRINOO
    iptables -A INPUT -p TCP -i eth0 --dport 34555 -j TRINOO
    iptables -A INPUT -p TCP -i eth0 --dport 35555 -j TRINOO
    #
    # Protecao contra trojans
    iptables -N TROJAN
    iptables -A TROJAN -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL: trojan: "
    iptables -A TROJAN -j DROP
    iptables -A INPUT -p TCP -i eth0 --dport 666 -j TROJAN
    iptables -A INPUT -p TCP -i eth0 --dport 666 -j TROJAN
    iptables -A INPUT -p TCP -i eth0 --dport 4000 -j TROJAN
    iptables -A INPUT -p TCP -i eth0 --dport 6000 -j TROJAN
    iptables -A INPUT -p TCP -i eth0 --dport 6006 -j TROJAN
    iptables -A INPUT -p TCP -i eth0 --dport 16660 -j TROJAN
    #
    # Protecao contra worms
    iptables -A FORWARD -p tcp --dport 135 -i eth1 -j REJECT
    #
    # Protecao contra syn-flood
    iptables -A FORWARD -p tcp --syn -m limit --limit 2/s -j ACCEPT
    #
    # Protecao contra ping da morte
    iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
    #
    # Protecao contra port scanners
    iptables -N SCANNER
    iptables -A SCANNER -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL: port scanner: "
    iptables -A SCANNER -j DROP
    iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -i eth0 -j SCANNER
    iptables -A INPUT -p tcp --tcp-flags ALL NONE -i eth0 -j SCANNER
    iptables -A INPUT -p tcp --tcp-flags ALL ALL -i eth0 -j SCANNER
    iptables -A INPUT -p tcp --tcp-flags ALL FIN,SYN -i eth0 -j SCANNER
    iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -i eth0 -j SCANNER
    iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -i eth0 -j SCANNER
    iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -i eth0 -j SCANNER
    #
    #Habilita (NAT) Para converter ip 192.168.1.x para 200.x.x.x
    #iptables -t nat -A POSTROUTING -s 192.168.172.0/24 -o eth1 -j SNAT --to 192.168.172.17
    #iptables -t nat -A POSTROUTING -s 192.168.172.0/24 -o eth0 -j MASQUERADE
    iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
    #
    #Redireciona Todas as portas para a 8080 (http) (Squid)
    iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to 8080
    #
    #-------------------- CONTROLA TODAS AS INPUT NO SERVIDOR ---------------------
    #
    #Libera as portas para entrada no servidor
    #
    iptables -A INPUT -p tcp -s 192.168.172.0/24 --dport 53 -j ACCEPT
    iptables -A INPUT -p udp -s 192.168.172.0/24 --dport 53 -j ACCEPT
    iptables -A INPUT -p tcp -s 192.168.172.0/24 --dport 8080 -j ACCEPT
    iptables -A INPUT -p tcp -s 192.168.172.0/24 --dport 80 -j ACCEPT
    iptables -A INPUT -p tcp -s 192.168.172.0/24 --dport 25 -j ACCEPT
    iptables -A INPUT -p tcp -s 192.168.172.0/24 --dport 110 -j ACCEPT
    iptables -A INPUT -p tcp -s 192.168.172.0/24 --dport 137:139 -j ACCEPT
    iptables -A INPUT -p udp -s 192.168.172.0/24 --dport 137:139 -j ACCEPT
    #Mantem a conexao das portas liberada acima
    iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    #--------------------- CONTROLA TODOS OS FORWARD NO SERVIDOR ------------------
    #
    #libera as portas para passar pelo servidor e ter acesso externo
    iptables -A FORWARD -s 192.168.172.0/24 -i eth1 -j ACCEPT
    iptables -A FORWARD -p tcp -s 192.168.172.0/24 --dport 25 -j ACCEPT
    iptables -A FORWARD -p tcp -s 192.168.172.0/24 --dport 110 -j ACCEPT
    iptables -A FORWARD -p tcp -s 192.168.172.0/24 --dport 80 -j ACCEPT
    #Mantem a conexao das portas acima liberada
    iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

    #Portas Bloqueadas (MSN)
    iptables -A FORWARD -p TCP --dport 1863 -j DROP
    iptables -A FORWARD -d 64.4.13.0/24 -j REJECT

    "

  2. #2
    gmlinux
    O que esta acontecendo, quais os serviços estão tendo problemas, se usar diretamente a máquina firewall ela é atingida por este problema?

    Tipo
    iptables -A FORWARD -p tcp --syn -m limit --limit 2/s -j ACCEPT

    Aqui vc limita 2 requisições por segundo de serviços tcp, da rede interna para rede externa e vice-versa (ftp ativo por exemplo) (serviços que não usam o proxy, evidentemente).



  3. #3
    guardian_metal
    Comnetei essa linha que vc me falou e vou ver comot a agora. Além de intermitente, ela ta muito lerda mas no servidor firewall, ela ta rápida como sempre.

  4. #4
    gmlinux
    Citação Postado originalmente por guardian_metal
    Comnetei essa linha que vc me falou e vou ver comot a agora. Além de intermitente, ela ta muito lerda mas no servidor firewall, ela ta rápida como sempre.
    Estou confuso com a última frase, o fato de estar intermitente e lerda já é após o comentário da linha? Ou só é a resposta em relação a pergunta se a partir do server as coisas estavam iguais?

    De qualquer forma, esta mais simples, agora só temos que avaliar os FOWARDs
    Por análise superficial, não parece ter problema.... (exceto a tal linha que já falei)






Tópicos Similares

  1. Dominio .net
    Por redoctober no fórum Servidores de Rede
    Respostas: 6
    Último Post: 18-12-2002, 09:01
  2. Navegando na NET na SUB REDE com IPTABLES
    Por soyeu no fórum Servidores de Rede
    Respostas: 0
    Último Post: 10-12-2002, 16:47
  3. Ip and Sub-net Mask
    Por AndrewAmorimdaSilva no fórum Servidores de Rede
    Respostas: 6
    Último Post: 19-11-2002, 13:00
  4. Respostas: 4
    Último Post: 14-11-2002, 19:56
  5. NET TIME
    Por no fórum Servidores de Rede
    Respostas: 2
    Último Post: 14-11-2002, 09:26

Visite: BR-Linux ·  VivaOLinux ·  Dicas-L