iptables + posta + irc

[guldo76]

Ciao
n-esimo thread su iptables :D
Sto cercando di capirci qualcosa, e ho impostato tutto su DROP, salvo poi aprire le porte che mi servono.
Quali porte devo aprire per la posta? Ho provato con 25, 110 e 113, ma non bastano, a quanto pare: il mio gnus non riesce a connettersi per scaricare. (le ho aperte solo in INPUT; tutto DROP in OUTPUT)

Ho tentato di fare analogamente anche per irc; ho visto che porte venivano usate di solito per i downloads e ho aperto quelle. Tutto e` filato liscio per un po', finche' non ho trovato dei canali che mi mandano i file su porte sempre diverse e che non c'entrano una mazza con le porte che mi sono lasciato aperte di solito. Com'e` che funziona?!?

Grazie mille :)

Guldo

[NA01]

per i download puoi sempre usare RELATED, per la posta non ho capito se te hai il server o se hai un client

cia

[guldo76]

RELATED?!? :huh:
Per la posta, intendo scaricare la mia posta pop3 dall'account di libero. Uso il client gnus con emacs.

Grazie

[NA01]

http://www.sns.ias.edu/~jns/security/iptables/iptables_conntrack.html
per la posta non so....


cia

[Psycotic]

Ma se droppi tutto output... Come vuoi che escono i pacchetti?
Se devi fare un firewall solo secondo me puoi anche accettare tutto in uscita...
Perche' dovresti bloccare?
In input invece nn devi aprire x es la porta 25 la devi aprire solo se in quella porta ai qualche server in ascolto... e mi sembra che nn hai niente..
Sei tu che ti connetti casomai alla porta 25 di un pc esterno nn lui sulla tua

[guldo76]

Grazie a tutti.
Cmq mi sono sbagliato prima... :p
La chain di OUTPUT e` impostata su ACCEPT di default, mentre INPUT e FORWARD sono su DROP.

[Psycotic]

e quindi nn ti funziona ugualmente :D
nn ho capito se ti seve ancora aiuto oppure no...
Cmq casomai i related accettali in input... Forse puoi bloccare tutto sotto la porta 1024.. perche' tanto x le related nn dovrebbe usarle in teoria..

[guldo76]

Quello che ancora mi sfugge e`: per scaricare la posta sul mio pc, dovro` pure aprire qualche porta in INPUT, no? Quale porta?

[NA01]

nessuna.
devi accettare tutte le estabilished e le related.
così apri tutto, ma fai in modo che la connessione può essere stabilita SOLO da te.
nessuno può aprire una connessione verso di te, solo te verso l'esterno

cia

[guldo76]

Ah, capisco :)
Grazie!!!

EDIT: ... ma non funziona lo stesso. il client di posta si blocca subito. Ci rinuncio. E` troppo difficile per me, a quanto pare. Grazie cmq a tutti per l'aiuto.

[NA01]

scusa, mi puoi postare lo script che hai usato?
cmq se rinunci ti uccido :D