apertura porta su firewall linux

[Davidino]

Abbiamo un firewall linux (distribuzione redhat) con tutte le porte chiuse tranne la 25 e la 80.
Ora io temporaneamente dovrei aprire la porta tcp 3389 per le sessioni terminal. Mi hanno detto che va modificata l'iptable ma non saprei dove mettere mano...qualcuno mi sa aiutare? Grazie

[franciccio]

Innanzitutto devi fornire piu informazioni sulla rete del tipo , la macchina su cui hai installato il firewall linux fa anche da router? I pacchetti che devono filtrare per la porta che dici devono transitare dal firewall o sono diretti alla macchina del firewall stessa?
Ipotizziamo che la machcina (linux con firewall) sia destinataria dei pacchetti, si puo sfruttare la catena predefinita di INPUT, altrimenti dovremmo parlare di forwarding e probabilmente anche di DNAT e SNAT e le cose si complicano un po per via del prerouting e postrouting sullo stack tcp/ip.

1) dovresti avere un file del tipo "/etc/rc.d/rc.iptables"

2) aprilo con vi per editarlo (o altro editor)

3)definiamo adesso la regola per i pcchetti in input/output in questo modo (righe di script da aggiungere subito prima o dopo la regola che ti lascia passare le porta 80 e 25)
$IPTABLES -A INPUT -p TCP --dport 3389 -j ACCEPT
$IPTABLES -A OUTPUT -p TCP --dport 3389 -j ACCEPT
iptables aggiunge alla catena predefinita di INPUT/OUTPUT la regola basata sul confronto delle informazioni di protocollo e porta , contenute negli headers dei pacchetti, con le informazioni da noi indicate (-p tcp --dport3389), se vi è corrispondenza accetta il pacchetto in ingresso/uscita

Ho approfittato per dare una spiegazione (al quanto riduttiva, mi scuso per questo con tutti) di come funziona una regla di iptbles. In ogni caso basta che cerchi la regola che lascia passare le porte che gia funzionano->copi/incolli e cambi solo la porta.

Saluti

[Davidino]

Grazie franciccio, scusatemi se sono stato vago ma non potevo immaginare che genere di informazioni potessero tornare utili.
Il router è a parte e i pacchetti devono transitare per arrivare ad una macchina webserver.
Quindi siamo nel caso della situazione più complessa...?
Domani posso vedere se riesco ad individuare il file che dici e compilarlo come da tuo esempio...spereeem

[gohan]

non sarebbe meglio se vi rivolgeste a chi ha configurato quel firewall?

[franciccio]

Configurare le regole per iptables non è particolarmente difficile basta fare dimestichezza con la sintassi e poi quando lanci iptables (deamon) il file di script viene "compilato" (non è proprio il termine esatto visto che si tratta di uno script appunto e non di un sorgente) e restituiti gli errori eventualmente commessi per facilitarne la correzione.

Adesso bisogna ricavare queste informazioni:
1) quante schede di rete ci sono nel pc con il firewall linux?
per saperlo dovrebbe bastare digitare questa stringa in un prompt di shell (dovrebbe funzionare su redhat anche se io ho fedora core ma è quasi lo stesso):
/etc/sysconfig/network-scripts -ls
2) bisogna sapere che catene di FWD personalizzate sono state gia create per evitare di duplicare lavoro inutilmente

In generale l'idea di base (tenendo presene il principio del "packet filtering") è quella di creare delle catene personalizzate e tramite queste analizzare i pacchetti che transitano per il firewall e che hanno destinazione il serverweb.

Per Gohan: sicuramente è piu facile contattare chi ha editato il file inizialmente però se il thread viene bene e poi riusciamo a far funzionare il firewall puo essere istruttivo e di aiuto anche per altri.

Ciao

[franciccio]

Dimenticavo il server web ed il firewall sono fisicamente sullo stesso pc o sono 2 macchine diverse? Il router (ricordando che anche un pc puo fare da router) è una terza macchina ancora?

[gohan]

sì ma bisogna anche avere delle basi su come funzionano le regole di un firewall, non basta sapere solo i comandi di iptables.

[franciccio]

a tal proposito ho dato un esame su sta roba comunque l'intento era di dare una mano... cio che scrivo non l'ho copia-incollato da intenet è roba che ho faticosamente studiato spaccando testa sui libri


dai Gohan che riusciamo a farlo funzionare sto firewall!!

[gohan]

certo, però Davidino nel frattempo dovrebbe studiarsi un po' delle basi di come funziona un firewall (nel caso non l'avesse già fatto)

[Davidino]

ok, riporto a galla la discussione per renderla pubblicamente utile.

Il mio caso si risolveva così:


Aprire l'editor "vi" per editare il file di iptables:

vi /etc/rc.d/rc.local

Entrare in modalità inserimento/comando:

i oppure ESC

Inserire la riga:

iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 3389 -j DNAT --to 10.x.x.x:3389

Per disattivare la stringa basta inserire il ; davanti alla riga stessa

Inoltre per sicurezza ho impostato una regola sul router.


Ringrazio tutti e spero che questo possa essere utile a qualcuno, ciao!