Ponieważ w powyższych regułkach nie = zdefiniowałem interfejsu sieciowego, będą one działały na obu = kartach sieciowych w naszym ruterze. W drugiej linijce definiujemy = regułkę mówiącą: pakiety protokołu tcp pochodzące z = portów powyżej 1023 skierowane na port 22 (ssh) i uznane za NEW, = połączenia nawiązanego za pomocą pakietu przepuszczonego przez = regułkę nr 2 zostana przepuszczone przez regułkę w linii 4. = Mówi ona: pakiety które uznasz za należące (ESTABLISHED) lub = związane (RELATED) z juz istniejącym połączeniem zaakceptuj. = Pakiety nie zaakceptowane przez te regułki zostaną zalogowane = (regułka nr 5) i usunięte (regułka nr 6). Oczywiście gdyby nie = było regułki nr 6 to zadziałała by polityka łańcucha INPUT = ustawiona równiez na DROP ale troche paranoi nikomu nie zaszkodzi. = Gdybyśmy uruchomili na naszym ruterze serwer WWW (czego oczywiście = ze względów bezpieczeństwa nie polecam) wystarczyłoby = skopiować regułkę nr 2, wkleić poniżej tej regułki (w linii = poprzedzającej regułkę 4) i zmienić wartość portu 22 na 80. = Przypominam, że numery portów znajdziesz w pliku /etc/services. Do = wytłumaczenia pozostaje regułka nr 3. Bardzo czesto różne = serwery usług (np ftp) pytają się hosta z którego sie = łączymy o nasze dane za pomocą usługi ident działającej na = porcie 113. Jeżeli nie byłoby regułki 3, przykładowy serwer FTP = wysłałby pakiet na port 113 naszego rutera i czekał na = odpowiedź. Ponieważ pakiet ten zostałby skasowany, nie = otrzymałby żadnej odpowiedzi. W końcu otrzymalibyśmy zgode na = połączenie, ale czas oczekiwania byłby dosyć długi. W linii 3 = powodujemy, że na zapytania na port 113 protokołu TCP generowany = jest pakiet protokołu ICMP z komunikatem: icmp-port-unreachable. = Serwer FTP jest poinformowany że na naszym hoście usługa ident nie = Zwróć również uwagę że dla protokołu UDP nie zostały = zdefiniowane żadne regułki, ponieważ nie udostępniamy żadnych = usług korzystających z tego protokołu. tak napr!

awde to udostepniamy jedynie ssh. Bardzo polecane = byłoby zawężenie działania regułki 2 poprzez podanie numeru IP = komputera z którego umożliwiamy połączenia na ssh.

  # lancuch OUTPUT
  iptables -A OUTPUT -m state --state ! INVALID = -j ACCEPT
  iptables -A OUTPUT -j LOG --log-level debug = --log-prefix "IPT OUTPUT: "
  iptables -A OUTPUT -j DROP

  W tym łańcuchu powinniśmy również = powinniśmy dokładnie zdefiniować połączenia które można = nawiązywać z naszego rutera. Jednak w ten sposób sami sobie = ograniczalibyśmy funkcjonalność naszego hosta. W przypadku = profesjonalnego rutera dla większej podsieci nie należy zostawiać = niczego przypadkowi, ale w naszym przypadku nie będziemy tacy = --state ! INVALID oznacza wszystkie pakiety nie zakwalifikowane jako = NEW, ESTABLISHED ani RELATED. czyli uszkodzone. Regułka 33 powoduje = logowanie odrzuconych pakietów,a regułka 4 ich = usunięcie.

  # lancuch forward
  iptables -A FORWARD -i eth1 -p tcp -s = 192.168.1.0/30 --sport 1024: -m state --state NEW,ESTABLISHED,RELATED -j = ACCEPT
  iptables -A FORWARD -i eth1 -p udp -s = 192.168.1.0/30 --sport 1024: -m state --state NEW,ESTABLISHED,RELATED -j = ACCEPT
  iptables -A FORWARD -o eth1 -p tcp -d = 192.168.1.0/30 --dport 1024: -m state --state ESTABLISHED,RELATED -j = ACCEPT
  iptables -A FORWARD -o eth1 -p udp -d = 192.168.1.0/30 --dport 1024: -m state --state ESTABLISHED,RELATED -j = ACCEPT
  iptables -A FORWARD -p icmp -m state --state ! = INVALID -j ACCEPT
  iptables -A FORWARD -j LOG --log-level debug = --log-prefix "IPT FORWARD: "
  iptables -A FORWARD -j DROP

  W łańcuchu FORWARD definiujemy regułki = 3 oznaczają: dla protokołów TCP i UDP wchodzących na kartę = 1023 przepuść pakiety nawiązujące połączenia, pakiety = należące do istniejących połączeń i pakiety związane z = możemy nawiązywac połączenia. Regułki 4 i 5 oznaczają: dla = protokołów TCP i UDP wychodzących z karty eth1 ( -i eth1 ) do = sieci lokalnej 192.168.1.0/30 na porty powyżej 1023 przepuść = pakiety należące do istniejących połączeń i pakiety = związane z istniejącymi połączeniami. W domysle nie przepuszczaj = pakietów nawiązujących połączenia. Regułka 6 pozwala na = niczym nie ograniczony ruch poprawnych pakietów protokołu ICMP. = Jeśli pojawią się jakieś pakiety nie należące do = pakiety.

----------------------------------------------------------------= --------------

  Tworzenie firewalla - końcówka.

  W tym momencie mamy działającego poprawnie = firewalla. Należy tylko obserwować logi systemu i patrzeć co jest = wycinane przez nasze regułki. Każdy wycięty pakiet będzie = opatrzony przedrostkiem który zdefiniowaliśmy w regułkach = --log-prefix "IPT FORWARD: " i dzięki temu łatwo dojdziemy = gdzie się dzieje coś niedobrego. Przydało by się, abyśmy = na koniec pliku /etc/syslog.conf coś takiego:

  = *.*           = /dev/tty12
  = *.*           = /var/log/all

  i oczywiście restartujemy demona = syslogd:

  # killall -HUP syslogd

  od tego momentu w pliku /var/log/all (oraz na = konsoli12 - Alt+F12) będziemy mieli wszystkie logi systemowe. Należy = uważać aby logi nam nie zapchały twardego dysku, czyli należy = skonfigurować logrotate, ale to oczywiście znajdziecie już na = stronach dotyczących konfiguracji Linuxa.

        = ---------------------------------------------------------------------- =
        Poznam = mila dziewczyne w celu... >>> http://link.interia.pl/f16f8 =