iptables, non capisco dove sbaglio..........

stefanoxjx · 14-11-2005, 15:28

Ciao a tutti, volevo un consiglio su iptables perchè sto facendo una configurazione un po' particolare ma non capisco dove sto sbagliando.
Secondo come la vedo io, con una configurazione così:

Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- localnet/24 anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:www
ACCEPT tcp -- anywhere anywhere tcp dpt:smtp
ACCEPT tcp -- anywhere anywhere tcp dpt

op3
LOG all -- anywhere anywhere LOG level debug prefix `Blocked Packet: '
DROP tcp -- 192.168.0.98 anywhere tcp dpt:www

Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT all -- localnet/24 anywhere
DROP tcp -- 192.168.0.98 anywhere tcp dpt:www

Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere localnet/24
ACCEPT all -- anywhere anywhere state NEW,RELATED,ESTABLISHED
DROP tcp -- 192.168.0.98 anywhere tcp dpt:www

il Sig. 192.168.0.98 non dovrebbe riuscire a navigare su internet.
Come mai naviga lo stesso?

Grazie.

ilsensine · 14-11-2005, 15:43

iptables -L -n -v cosa riporta?

stefanoxjx · 14-11-2005, 15:45

Quote:

Originariamente inviato da ilsensine

iptables -L -n -v cosa riporta?

WarhMachine:~/fw# iptables -L -n -v
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
674 54902 ACCEPT all -- * * 192.168.0.0/24 0.0.0.0/0
15 1950 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:25
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:110
0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 LOG flags 0 level 7 prefix `Blocked Packet: '
0 0 DROP tcp -- * * 192.168.0.98 0.0.0.0/0 tcp dpt:80

Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
2136 923K ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
102 6395 ACCEPT all -- * * 192.168.0.0/24 0.0.0.0/0
0 0 DROP tcp -- * * 192.168.0.98 0.0.0.0/0 tcp dpt:80

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
442 51256 ACCEPT all -- * * 0.0.0.0/0 192.168.0.0/24
15 1050 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state NEW,RELATED,ESTABLISHED
0 0 DROP tcp -- * * 192.168.0.98 0.0.0.0/0 tcp dpt:80

ilsensine · 14-11-2005, 15:52

Questa:

Codice:

Chain FORWARD (policy DROP 0 packets, 0 bytes) 
 pkts bytes target prot opt in out source destination 
 (...)
 102 6395 ACCEPT all -- * * 192.168.0.0/24 0.0.0.0/0

viene prima di questa:

Codice:

 0 0 DROP tcp -- * * 192.168.0.98 0.0.0.0/0 tcp dpt:80

La consultazione della catena è sequenziale, ricordalo.

stefanoxjx · 14-11-2005, 15:53

Analizzando l'output di iptables -L -n -v, ho visto che la prima colonna (packets) è a 0 proprio nelle righe equivalenti alle regole che dovrebbero bloccare l'ip 192.168.0.98.
Questo vuol dire che le regole che ho inserito a tal proposito vengono proprio ignorate.
Forse perchè già prima viene trovata una regola che dice di lasciare passare il pacchetto?

stefanoxjx · 14-11-2005, 15:56

Quindi la mia idea, di fare in modo che tramite uno script venisse aperta o chiusa la porta www per un determinato indirizzo ip, diventa più complicata del previsto

ilsensine · 14-11-2005, 16:22

Invece di usare iptables -A (append), usa iptables -I (insert) per le regole da sfogliare prima delle altre.

stefanoxjx · 14-11-2005, 18:26

L'opzione -I mi ha salvato la vita.
Grazie o inesauribile fonte di consigli!!!!

HexDEF6 · 14-11-2005, 20:22

altrimenti fatti una catena apposita (dove redirigi tutti i pacchetti con porta di destinazione 80) e poi aggiungi regole al volo in quella catena!

14-11-2005, 15:28	#1
stefanoxjx Senior Member Iscritto dal: Jul 2002 Città: Padova Messaggi: 4245	iptables, non capisco dove sbaglio.......... Ciao a tutti, volevo un consiglio su iptables perchè sto facendo una configurazione un po' particolare ma non capisco dove sto sbagliando. Secondo come la vedo io, con una configurazione così: Chain INPUT (policy DROP) target prot opt source destination ACCEPT all -- localnet/24 anywhere ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:ssh ACCEPT tcp -- anywhere anywhere tcp dpt:www ACCEPT tcp -- anywhere anywhere tcp dpt:smtp ACCEPT tcp -- anywhere anywhere tcp dptop3 LOG all -- anywhere anywhere LOG level debug prefix `Blocked Packet: ' DROP tcp -- 192.168.0.98 anywhere tcp dpt:www Chain FORWARD (policy DROP) target prot opt source destination ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT all -- localnet/24 anywhere DROP tcp -- 192.168.0.98 anywhere tcp dpt:www Chain OUTPUT (policy DROP) target prot opt source destination ACCEPT all -- anywhere localnet/24 ACCEPT all -- anywhere anywhere state NEW,RELATED,ESTABLISHED DROP tcp -- 192.168.0.98 anywhere tcp dpt:www il Sig. 192.168.0.98 non dovrebbe riuscire a navigare su internet. Come mai naviga lo stesso? Grazie.

14-11-2005, 15:43	#2
ilsensine Senior Member Iscritto dal: Apr 2000 Città: Roma Messaggi: 15625	iptables -L -n -v cosa riporta? __________________ 0: or %edi, %ecx; adc %eax, (%edx); popf; je 0b-22; pop %ebx; fadds 0x56(%ecx); lds 0x56(%ebx), %esp; mov %al, %al andeqs pc, r1, #147456; blpl 0xff8dd280; ldrgtb r4, [r6, #-472]; addgt r5, r8, r3, ror #12

14-11-2005, 15:52	#4
ilsensine Senior Member Iscritto dal: Apr 2000 Città: Roma Messaggi: 15625	Questa: Codice: Chain FORWARD (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination (...) 102 6395 ACCEPT all -- * * 192.168.0.0/24 0.0.0.0/0 viene prima di questa: Codice: 0 0 DROP tcp -- * * 192.168.0.98 0.0.0.0/0 tcp dpt:80 La consultazione della catena è sequenziale, ricordalo. __________________ 0: or %edi, %ecx; adc %eax, (%edx); popf; je 0b-22; pop %ebx; fadds 0x56(%ecx); lds 0x56(%ebx), %esp; mov %al, %al andeqs pc, r1, #147456; blpl 0xff8dd280; ldrgtb r4, [r6, #-472]; addgt r5, r8, r3, ror #12

14-11-2005, 16:22	#7
ilsensine Senior Member Iscritto dal: Apr 2000 Città: Roma Messaggi: 15625	Invece di usare iptables -A (append), usa iptables -I (insert) per le regole da sfogliare prima delle altre. __________________ 0: or %edi, %ecx; adc %eax, (%edx); popf; je 0b-22; pop %ebx; fadds 0x56(%ecx); lds 0x56(%ebx), %esp; mov %al, %al andeqs pc, r1, #147456; blpl 0xff8dd280; ldrgtb r4, [r6, #-472]; addgt r5, r8, r3, ror #12

14-11-2005, 20:22	#9
HexDEF6 Senior Member Iscritto dal: Dec 2000 Città: Trento Messaggi: 5917	altrimenti fatti una catena apposita (dove redirigi tutti i pacchetti con porta di destinazione 80) e poi aggiungi regole al volo in quella catena! __________________ Linux User #272700 >+++++++++[<+++++++++>-]<+.++.>++++[<---->-]<++.+++++++. HOWTO: SSH Firewall e DMZ ɐɹdosoʇʇos oʇuǝs ıɯ

14-11-2005, 15:53	#5
stefanoxjx Senior Member Iscritto dal: Jul 2002 Città: Padova Messaggi: 4245	Analizzando l'output di iptables -L -n -v, ho visto che la prima colonna (packets) è a 0 proprio nelle righe equivalenti alle regole che dovrebbero bloccare l'ip 192.168.0.98. Questo vuol dire che le regole che ho inserito a tal proposito vengono proprio ignorate. Forse perchè già prima viene trovata una regola che dice di lasciare passare il pacchetto?

14-11-2005, 15:56	#6
stefanoxjx Senior Member Iscritto dal: Jul 2002 Città: Padova Messaggi: 4245	Quindi la mia idea, di fare in modo che tramite uno script venisse aperta o chiusa la porta www per un determinato indirizzo ip, diventa più complicata del previsto

14-11-2005, 18:26	#8
stefanoxjx Senior Member Iscritto dal: Jul 2002 Città: Padova Messaggi: 4245	L'opzione -I mi ha salvato la vita. Grazie o inesauribile fonte di consigli!!!!

Strumenti
Mostra una versione stampabile Invia questa pagina per email