Автор Тема: Сетевая Безопасность (Прочитано 10936 раз)

ksa · « **Ответ #30 :** 19.04.2012 06:45:09 »

Цитата: YYY от 18.04.2012 21:01:49

...
Код: [Выделить]
#!/bin/sh /sbin/iptables -P INPUT DROP /sbin/iptables -F INPUT /sbin/iptables -P OUTPUT ACCEPT /sbin/iptables -F OUTPUT /sbin/iptables -P FORWARD DROP /sbin/iptables -F FORWARD /sbin/iptables -t nat -F /sbin/iptables -A INPUT -i lo -j ACCEPT /sbin/iptables -A OUTPUT -o lo -j ACCEPT /sbin/iptables -A INPUT -p udp -m udp --dport 68 --sport 67 -j ACCEPT /sbin/iptables -A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT /sbin/iptables -A INPUT -p tcp -m tcp --sport 53 --dport 1024:65353 -j ACCEPT ! --syn /sbin/iptables -A INPUT -p tcp -m tcp -m multiport --dport 1024:65535 --sports 25,110,22,21,79,43,70,119 -j ACCEPT ! --syn /sbin/iptables -A INPUT -p tcp -m tcp -m multiport --dport 1024:65535 --sports 80,81,82,83,8001,8080,3128,443 -j ACCEPT ! --syn...

Достаточно будет такого варианта:

Код: [Выделить]

/sbin/iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --sport 53 -j ACCEPT ! --syn

sneg2911 · « **Ответ #31 :** 19.04.2012 08:47:46 »

совсем запутали! я так понимаю сначала
su-
touch /etc/rc.d/rc.firewall
chmod +x /etc/rc.d/rc.firewall
mcedit /etc/rc.d/rc.firewall
ну и туда эту фигню, далее :)
#!/bin/sh

/sbin/iptables -P INPUT DROP
/sbin/iptables -F INPUT

/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -F OUTPUT

/sbin/iptables -P FORWARD DROP
/sbin/iptables -F FORWARD
/sbin/iptables -t nat -F

/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A OUTPUT -o lo -j ACCEPT

/sbin/iptables -A INPUT -p udp -m udp --dport 68 --sport 67 -j ACCEPT
/sbin/iptables -A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --sport 53 --dport 1024:65353 -j ACCEPT ! --syn
/sbin/iptables -A INPUT -p tcp -m tcp -m multiport --dport 1024:65535 --sports 25,110,22,21,79,43,70,119 -j ACCEPT ! --syn
/sbin/iptables -A INPUT -p tcp -m tcp -m multiport --dport 1024:65535 --sports 80,81,82,83,8001,8080,3128,443 -j ACCEPT ! --syn
и наполнить по желанию

или вместо всего вот этого названного фигней достаточно будет
/sbin/iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --sport 53 -j ACCEPT ! --syn

?

или лучше всего после того что сам нашел (http://blog.911.in.ua/2011/08/iptables.html) сказать service iptables save

asy · « **Ответ #32 :** 19.04.2012 09:57:03 »

Цитата: sneg2911 от 19.04.2012 08:47:46

совсем запутали!

Распутаться придётся самостоятельно.

Цитата: sneg2911 от 19.04.2012 08:47:46

я так понимаю сначала
su-
touch /etc/rc.d/rc.firewall
chmod +x /etc/rc.d/rc.firewall
mcedit /etc/rc.d/rc.firewall
ну и туда эту фигню, далее :)
#!/bin/sh

"далее" не надо, а "#!/bin/sh", вообще, к содержимому скрипта относится. Если все правила записать в rc.firewall, дальше можно просто этот скрипт запустить, и всё. Всё "далее" будет сделано скриптом rc.firewall.

Цитата: sneg2911 от 19.04.2012 08:47:46

или лучше всего после того ... сказать service iptables save

Это - другой способ. Вместо rc.firewall. Более того, если решите использовать rc.firewall, надо отключить запуск сервиса iptables при старте, если, вдруг, он включен: chkconfig iptables off

А, ещё, мне не очень нравится подход "написать что-нибудь". Всё, что тут было описано, Вам может быть не нужно; возможно, Вам нужны другие правила. Бездумно наковырять правил из сети не выйдет. Или выйдет, но какая-то ерунда получится. И, если, скажем, я расскажу, что именно надо написать, чтобы "было клёво", это будет только лишь моё видение того, как оно, это "клёво".

ksa · « **Ответ #33 :** 19.04.2012 17:26:20 »

Имелось ввиду, что вместо строчек:

Код: [Выделить]

/sbin/iptables -A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --sport 53 --dport 1024:65353 -j ACCEPT ! --syn

будет достаточно прописать:

Код: [Выделить]

/sbin/iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --sport 53 -j ACCEPT ! --syn

Все остальные правила остаются в силе, конечно!
Не совсем четко выразился, пардон :)

sneg2911 · « **Ответ #34 :** 20.04.2012 00:51:23 »

контрольный в голову

Код: [Выделить]

su-

chkconfig iptables off

touch /etc/rc.d/rc.firewall
chmod +x /etc/rc.d/rc.firewall

mcedit /etc/rc.d/rc.firewall

Содержание скрипта:

Код: [Выделить]

!/bin/sh

/sbin/iptables -P INPUT DROP
/sbin/iptables -F INPUT

/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -F OUTPUT

/sbin/iptables -P FORWARD DROP
/sbin/iptables -F FORWARD
/sbin/iptables -t nat -F

/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A OUTPUT -o lo -j ACCEPT

/sbin/iptables -A INPUT -p udp -m udp --dport 68 --sport 67 -j ACCEPT
/sbin/iptables -A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --sport 53 --dport 1024:65353 -j ACCEPT ! --syn
/sbin/iptables -A INPUT -p tcp -m tcp -m multiport  --dport 1024:65535 --sports  25,110,22,21,79,43,70,119 -j ACCEPT ! --syn
/sbin/iptables -A INPUT -p tcp -m tcp -m multiport  --dport 1024:65535 --sports  80,81,82,83,8001,8080,3128,443 -j ACCEPT ! --syn

и все это дело закрепить

Код: [Выделить]

service iptables save
хотя наверное после команды :

Код: [Выделить]

mcedit /etc/rc.d/rc.firewall

Код: [Выделить]

service iptables saveбудет лишним?

теперь правильно? если чет не то подкорректируйте пожалуйста

sneg2911 · « **Ответ #35 :** 20.04.2012 02:56:29 »

А как вам такой исход событий?

Код: [Выделить]

iptables -P INPUT DROP
 iptables -P OUTPUT DROP
 iptables -P FORWARD DROP

Код: [Выделить]

iptables -A INPUT -i lo -j ACCEPT 
 iptables -A OUTPUT -o lo -j ACCEPT

Код: [Выделить]

iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type 11 -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

Код: [Выделить]

iptables -A OUTPUT -p TCP --sport 32768:61000 -j ACCEPT
iptables -A OUTPUT -p UDP --sport 32768:61000 -j ACCEPT

Код: [Выделить]

iptables -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p UDP -m state --state ESTABLISHED,RELATED -j ACCEPT

Код: [Выделить]

iptables -A INPUT -i eth0 -p TCP --dport 22 -j ACCEPT 
iptables -A OUTPUT -o eth0 -p TCP --sport 22 -j ACCEPT

Код: [Выделить]

service iptables save
ничего не упустил?

asy · « **Ответ #36 :** 20.04.2012 09:30:53 »

Цитата: sneg2911 от 20.04.2012 00:51:23

Содержание скрипта:
Код: [Выделить]
!/bin/sh

тут должно быть так: #!/bin/sh
"#" означает начало комментария, но не в этом месте. После "#!" записывается путь к интерпретатору, который всё это будет исполнять. /bin/sh, в данном случае.

Цитата: sneg2911 от 20.04.2012 00:51:23

Код: [Выделить]
service iptables saveбудет лишним?

Верно. service iptables не нужен, если не используется.

Цитата: sneg2911 от 20.04.2012 02:56:29

А как вам такой исход событий?

А какова цель ? Чем должен заниматься хост, какие сервисы на нём и т.п. ? Почему только эти типы ICMP-запросов разрешены ? Чем, например, провинился тип 3 ? Почему выбран диапазон портов 32768:61000 ?

YYY · « **Ответ #37 :** 20.04.2012 10:04:28 »

> А как вам такой исход событий?

Фигня какая-то....
И выставлять 22 порт в интернет... Тут ни о какой "Сетевая Безопасность" и речи нет...

sneg2911 · « **Ответ #38 :** 20.04.2012 10:07:52 »

скажите пожалуйста:
в этом месте mcedit /etc/rc.d/rc.firewall у меня получится сохранить #!/bin/sh ?

sneg2911 · « **Ответ #39 :** 20.04.2012 10:12:14 »

Цитата: sneg2911 от 20.04.2012 02:56:29

А как вам такой исход событий?

Код: [Выделить]
iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD ACCEPT
Код: [Выделить]
iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT
Код: [Выделить]
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT iptables -A INPUT -p icmp --icmp-type 11 -j ACCEPT iptables -A OUTPUT -p icmp -j ACCEPT
Код: [Выделить]
iptables -A OUTPUT -p TCP --sport 32768:61000 -j ACCEPT iptables -A OUTPUT -p UDP --sport 32768:61000 -j ACCEPT
Код: [Выделить]
iptables -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p UDP -m state --state ESTABLISHED,RELATED -j ACCEPT
Код: [Выделить]
service iptables save
ничего не упустил?

так сильно улучшит положение?

asy · « **Ответ #40 :** 20.04.2012 10:20:37 »

Цитата: YYY от 20.04.2012 10:04:28

> А как вам такой исход событий?

Фигня какая-то....
И выставлять 22 порт в интернет... Тут ни о какой "Сетевая Безопасность" и речи нет...

Почему ? А если надо ? Авторизация по ключу уже даёт эффект. У меня вот открыт, правда, с ограничением на количество попыток подряд.

asy · « **Ответ #41 :** 20.04.2012 10:23:53 »

Цитата: sneg2911 от 20.04.2012 10:12:14

так сильно улучшит положение?

ВСё же, какова конечная цель ? Что должен делать хост, для которого это настраивается ?

sneg2911 · « **Ответ #42 :** 20.04.2012 10:33:10 »

цель настроить межсетевой экран на безопасный режим работы станции!

sneg2911 · « **Ответ #43 :** 20.04.2012 10:43:18 »

Цитата: sneg2911 от 20.04.2012 00:51:23

контрольный в голову
Код: [Выделить]
su- chkconfig iptables off touch /etc/rc.d/rc.firewall chmod +x /etc/rc.d/rc.firewall mcedit /etc/rc.d/rc.firewall
Содержание скрипта:
Код: [Выделить]
#!/bin/sh /sbin/iptables -P INPUT DROP /sbin/iptables -F INPUT /sbin/iptables -P OUTPUT ACCEPT /sbin/iptables -F OUTPUT /sbin/iptables -P FORWARD DROP /sbin/iptables -F FORWARD /sbin/iptables -t nat -F /sbin/iptables -A INPUT -i lo -j ACCEPT /sbin/iptables -A OUTPUT -o lo -j ACCEPT /sbin/iptables -A INPUT -p udp -m udp --dport 68 --sport 67 -j ACCEPT /sbin/iptables -A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT /sbin/iptables -A INPUT -p tcp -m tcp --sport 53 --dport 1024:65353 -j ACCEPT ! --syn /sbin/iptables -A INPUT -p tcp -m tcp -m multiport --dport 1024:65535 --sports 25,110,22,21,79,43,70,119 -j ACCEPT ! --syn /sbin/iptables -A INPUT -p tcp -m tcp -m multiport --dport 1024:65535 --sports 80,81,82,83,8001,8080,3128,443 -j ACCEPT ! --syn

подкорректируйте пожалуйста

Цитата: sneg2911 от 20.04.2012 10:07:52

скажите пожалуйста:
в этом месте mcedit /etc/rc.d/rc.firewall у меня получится сохранить #!/bin/sh ?

YYY · « **Ответ #44 :** 20.04.2012 10:44:12 »

Цитата: asy от 20.04.2012 10:20:37

Цитата: YYY от 20.04.2012 10:04:28
И выставлять 22 порт в интернет... Тут ни о какой "Сетевая Безопасность" и речи нет...
Почему ? А если надо ? ... У меня вот открыт

А оно ТСу надо ? А если нет, то зачем светить ?
Даже больше - зачем вообще лишние демоны запущенными держать ?
Выключить их и компутер загружается быстрее и безопасно :)
Тот-же постфикс пока стартанет... а нужен ли он дома ?
Да и если надо... то лучше перевесить со стандартного порта - от зомби ;)
Циферку одну запомнить проблем нет...

Форум сообщества
Альт Линукс