+ Новая дискуссия Люди в теме - 521 Рулевой - grisha
1004

Firewalls

Кто подскажет, как правильно строить Firewall'ы на базеipchains/iptables. Прочел Ipchains-HOWTO - недостаточно.Для примера - хочу чтобы ICMP Echo-Reply (Pong) отсылалсяне чаще чем раза три в секунду.Если можно - приведите свои примеры Firewall'ов.Кстати, еще такая мутка с nmap'ом. Когда сканируешь порты закрытыетипаipchains -A input -s 0/0 -d $MyExternalIP/32 8080 -p TCP -j DENYто nmap отмечает их как filtered, то есть все равно известно что данныйсервис на сервере запущен. Мутка в том что сама ОперационнаяСистема согласно какому-то RFC обязана отвечать, что данный портзакрыт, чем nmap и пользуется. Как бы это прикрыть?
0
mt19 Марта 2003, 15:11
M
mt19 Марта 2003, 15:11

po povodu scanirovanija, v FreeBSD est' takaja fiska:
net.inet.tcp.blackhole=2
net.inet.udp.blackhole=2
v linux ne znaju, no dumaju chto dolzjno byt'.

0
  • 0
  • 0
Administrator@@_19 Марта 2003, 18:18
A
Administrator@@_19 Марта 2003, 18:18

О! Забыл добавить - собственно Линукс и интересует :-))) Ядро 2.4

0
  • 0
  • 0
mt19 Марта 2003, 18:52
M
mt19 Марта 2003, 18:52

nu znachit ja bol'she zdes' spammit' ne budu :)

0
  • 0
  • 0
grisha19 Марта 2003, 22:04
G
grisha19 Марта 2003, 22:04
mt...po povodu scanirovanija, v FreeBSD est' takaja fiska:...

uai , daca omu scrie ca i iptables/ipchains , priciom aishi fribesedeu ? :))

http://shorewall.sourceforge.net/
shel mai crutoi pe care lam intilnit eu
odata chiar am catat 2 zile la rind ,numa shi kakaturi nan facut pe comp.

da aista mi so parut facut cel mai cu cap
nish nu tre s te kinui s fashi scripturi cu miinile

in legatura cu ping-reply , la fel este in shorewall

da cu nmap , ceea ce arata filtered , cind scanezi de la alt comp , nu de la server , ce zice ? ni se pare ca nici nu l vede deschis.

0
  • 0
  • 0
Administrator@@_20 Марта 2003, 02:28
A
Administrator@@_20 Марта 2003, 02:28

#4 Apa-i asta si este chestea - ca scanez de la alt comp, si se
scrie FILTERED. Dar daca scanez serverul de la server insasi - clar
lucru ca scrie OPEN. Iata-i cum

0
  • 0
  • 0
Administrator@@_20 Марта 2003, 12:08
A
Administrator@@_20 Марта 2003, 12:08

По поводу сканирования:
Действительно, ipchains палится nmap'om. Забудь про ipchains. Переходи на IPTABLES.
Цель DROP отлично работает. Притом nmap показывает такие смешные результаты :))
Когда сканят SYN'om, то все порты открыты, когда FIN'om - все открыты :))
О Лимите:
iptables -A INPUT -p icmp --icmp-type echo-reply -m limit --limit 3/second -j ACCEPT
Только не пойму почему на PONG? Может на пинг? Тебе надо наверное дропать слишком частые попытки PING. Если заблокировать PING, то и PONG не вернется, а если PONG, -- хаха - тоже самое почти

Не забудь выставить политику DROP на цепочку INPUT (iptables -P INPUT DROP )

Простите, опечатка
"Когда сканят SYN'om, то все порты открыты, когда FIN'om - все открыты :))"
Надо
"Когда сканят SYN'om, то все порты закрыты, когда FIN'om - все открыты :))"

0
  • 0
  • 0