[OT] Reihenfolge der iptables rules
Hi, ich baue gerade eine kleine Firewall für dem Übergang zwischen Wlan und dem restlichen Netzwerk, bisher habe ich meine Firewalls immer unter OBSD mit PF oder PIXen erstellt, geht aber diesesmal aufgrund einiger Besonderheiten nicht... Ich stoße bei dem erstellen der rules auf ein Problem: Wenn ich $IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT $IPT -A INPUT -m tcp -p tcp --dport ssh -j ACCEPT $IPT -A INPUT -p tcp -j REJECT --reject-with tcp-reset $IPT -A INPUT -p udp -j REJECT --reject-with icmp-admin-prohibited $IPT -A INPUT -s 192.168.17.0/255.255.255.0 -p icmp -j ACCEPT $IPT -A INPUT -s ! 192.168.17.0/255.255.255.0 -p icmp --icmp-type echo-request -j ACCEPT $IPT -A INPUT -s ! 192.168.17.0/255.255.255.0 -p icmp -j REJECT --reject-with icmp-admin-prohibited $IPT -A INPUT -d 127.0.0.1 -j ACCEPT wird die ja doch sehr grobe letzte Regel einfach ignoriert (vermutlich wegen den Rejects darüber), setze ich -A INPUT -d localhost ganz nach oben, läuft alles. Für eben diesen Fall gibts bei pf pass in quick (PF geht nach meinem verständis erst alle Regeln durch und nimmt nicht die erste die halbwegs passt...). Meine Frage: Ich habe eine vergleichbare Funktion in der doku zu iptables nicht gefunden, gibt's sowas nicht? Und wie soll ich dann z.B. zusätzliche Ports öffnen (z.B. einfach für einen DNS-Server der noch auf den Server soll)? ein -A INPUT -p udp --dport 53 -j ACCEPT wird ja nicht funktionieren, da die Rule am Ende angefügt wird und somit garnicht erst gelesen wird. Alle Regeln entfernen oder irgendwie dazwischenquetschen ist ja auch nicht sehr elegant. Greetings Chris
Re: [OT] Reihenfolge der iptables rules
On Thu, Jun 01, 2006 at 12:07:15PM +0200, Chris C. wrote: ich baue gerade eine kleine Firewall für dem Übergang zwischen Wlan und dem restlichen Netzwerk, bisher habe ich meine Firewalls immer unter OBSD mit PF oder PIXen erstellt, geht aber diesesmal aufgrund einiger Besonderheiten nicht... Ich stoße bei dem erstellen der rules auf ein Problem: Wenn ich $IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT $IPT -A INPUT -m tcp -p tcp --dport ssh -j ACCEPT $IPT -A INPUT -p tcp -j REJECT --reject-with tcp-reset $IPT -A INPUT -p udp -j REJECT --reject-with icmp-admin-prohibited $IPT -A INPUT -s 192.168.17.0/255.255.255.0 -p icmp -j ACCEPT $IPT -A INPUT -s ! 192.168.17.0/255.255.255.0 -p icmp --icmp-type echo-request -j ACCEPT $IPT -A INPUT -s ! 192.168.17.0/255.255.255.0 -p icmp -j REJECT --reject-with icmp-admin-prohibited $IPT -A INPUT -d 127.0.0.1 -j ACCEPT Du benutzt eine etwas ungewöhnliche Reihenfolge. Normalerweise baut man einen Regelsatz so auf, dass man das erlaubt, was erlaubt sein soll. Und am Ende kommt die große Böse REJECT- oder DROP-Regel. Damit sollte deine Logik etwas einfacher werden. Meine Vorlage für ein iptables-Skript: http://workaround.org/moin/IptablesScript Von Cisco PIX weiß ich nur, dass ich darum einen großen Bogen mache, wo ich kann. ;) Gruß Christoph -- ~ ~ .signature [Modified] 1 line --100%--1,48 All signature.asc Description: Digital signature
Re: [OT] Reihenfolge der iptables rules
Chris C. [EMAIL PROTECTED] schrieb am Thu, Jun 01, 2006 at 12:07:15PM +0200: Hi, ich baue gerade eine kleine Firewall für dem Übergang zwischen Wlan und dem restlichen Netzwerk, bisher habe ich meine Firewalls immer unter OBSD mit PF oder PIXen erstellt, geht aber diesesmal aufgrund einiger Besonderheiten nicht... Hi, hast du dir schon mal den fwbuilder angesehen? Das ist zwar was zum klicken, aber vielleicht passt es ja. Gruss, Paul signature.asc Description: Digital signature
Re: [OT] Reihenfolge der iptables rules
Am Donnerstag 01 Juni 2006 12:40 schrieb Christoph Haas: On Thu, Jun 01, 2006 at 12:07:15PM +0200, Chris C. wrote: [...] Du benutzt eine etwas ungewöhnliche Reihenfolge. Normalerweise baut man einen Regelsatz so auf, dass man das erlaubt, was erlaubt sein soll. Und am Ende kommt die große Böse REJECT- oder DROP-Regel. Damit sollte deine Logik etwas einfacher werden. H eigentlich habe ich es immer genau andersherum gemacht, block in all und dann passen was man haben möchte. Meine Vorlage für ein iptables-Skript: http://workaround.org/moin/IptablesScript Thx, schaue ich mir gerade an. Von Cisco PIX weiß ich nur, dass ich darum einen großen Bogen mache, wo ich kann. ;) :) Naja, ich hab die PIXe schon seit ewigkeiten genutzt, aber seit ich PF genutzt habe ... vorallem CARP, pfsync, authpf sind sehr nützliche Helfer, aber das geht auf einer Linux-Liste wohl zu weit vom Theme ab (es sei denn es gibt jetzt einen Port für linux :)) Also gehe ich recht in der Annahme, dass ich neue Regeln immer irgendwie oben zwischenschieben muss, damit sie nicht von den REJECT Regeln übergangen wegen? Gruß Christoph Greetings Chris
Re: [OT] Reihenfolge der iptables rules
Gruesse! * Chris C. [EMAIL PROTECTED] schrieb am [01.06.06 12:07]: Hi, ich baue gerade eine kleine Firewall für dem Übergang zwischen Wlan und dem restlichen Netzwerk, bisher habe ich meine Firewalls immer unter OBSD mit PF oder PIXen erstellt, geht aber diesesmal aufgrund einiger Besonderheiten nicht... Ich stoße bei dem erstellen der rules auf ein Problem: Wenn ich $IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT $IPT -A INPUT -m tcp -p tcp --dport ssh -j ACCEPT $IPT -A INPUT -p tcp -j REJECT --reject-with tcp-reset $IPT -A INPUT -p udp -j REJECT --reject-with icmp-admin-prohibited $IPT -A INPUT -s 192.168.17.0/255.255.255.0 -p icmp -j ACCEPT $IPT -A INPUT -s ! 192.168.17.0/255.255.255.0 -p icmp --icmp-type echo-request -j ACCEPT $IPT -A INPUT -s ! 192.168.17.0/255.255.255.0 -p icmp -j REJECT --reject-with icmp-admin-prohibited $IPT -A INPUT -d 127.0.0.1 -j ACCEPT wird die ja doch sehr grobe letzte Regel einfach ignoriert (vermutlich wegen den Rejects darüber), Jep, die Reihenfolge der Regeln in der sequentiellen Abarbeitung ist bindend. setze ich -A INPUT -d localhost ganz nach oben, läuft alles. Für eben diesen Fall gibts bei pf pass in quick (PF geht nach meinem verständis erst alle Regeln durch und nimmt nicht die erste die halbwegs passt...). Aber sie paßt ja nicht halbwegs, sondern sie paßt ;-) Jedweder TCP-Verkehr wird rejected. Punkt. Meine Frage: Ich habe eine vergleichbare Funktion in der doku zu iptables nicht gefunden, gibt's sowas nicht? Und wie soll ich dann z.B. zusätzliche Ports öffnen (z.B. einfach für einen DNS-Server der noch auf den Server soll)? ein -A INPUT -p udp --dport 53 -j ACCEPT wird ja nicht funktionieren, da die Rule am Ende angefügt wird und somit garnicht erst gelesen wird. Alle Regeln entfernen oder irgendwie dazwischenquetschen ist ja auch nicht sehr elegant. a) Spezielle Regeln nach vorne b) Dann die allgemeinen c) am Ende die last chance Regeln d) ganz am Ende (wenn ein Paket bis dahin gelangt) greift dann die Tables-Policy, die i.d.R. auf DROP stehen sollte Abgesehen von Minimal-Home-Rechner-Paketfilter bietet sich bei iptables aber an, mit eigenen Tables zu arbeiten. Dann ist auch das Einfügen eigener Rules transparenter. Z.B. ein Table für erlaubte Dinge, einer für abgewiesene Pakete ohne Logging und einer für abgewiesene mit Logging. Diese eigenen Tables jeweils als Target (-j) für INPUT,OUTPUT und ggf. FORWARD. In diesen eigenen Tables ist die Reihenfolge der Regeln dann meist egal, da diese ja meist einen konkreten Fall abdecken und sich nicht überschneiden. Also eher modular arbeiten als sequentiell. Die Doku gibt da hinreichend Beispiele. Greetings Chris Gruß Gerhard -- It's nice to be important... but it's more important to be nice. -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: [OT] Reihenfolge der iptables rules
Hi, Chris C. wrote: Hi, [..] wird die ja doch sehr grobe letzte Regel einfach ignoriert (vermutlich wegen den Rejects darüber), setze ich -A INPUT -d localhost ganz nach oben, läuft alles. Für eben diesen Fall gibts bei pf pass in quick (PF geht nach meinem verständis erst alle Regeln durch und nimmt nicht die erste die halbwegs passt...). Ein quick benötigst Du bei Linux nicht. Im Gegensatz zu OpenBSD, sorgt der erste Treffer dafür, dass das Packet die weiteren Regeln nicht mehr durchläuft. Bei OpenBSD durchläuft das Packet die Regeln aber immer vollständig, es sei denn, Du nimmst es mit quick raus. OpenBSD nimmt übrigens keine Packete die 'halbwegs passen', sondern matched wie Linux nur bei exakter Übereinstimmung;-) -hth -Jörg -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: [OT] Reihenfolge der iptables rules
On Thu, Jun 01, 2006 at 12:07:15PM +0200, Chris C. wrote: [...] da die Rule am Ende angefügt wird und somit garnicht erst gelesen wird. Alle Regeln entfernen oder irgendwie dazwischenquetschen ist ja auch nicht sehr elegant. Es gibt kein dazwischenquetschen aber es gibt ein Einfuegen an einer bestimmten Position mittels -I int anstatt -A. Was daran unelegant sein sollte, entgeht mir. Wenn ich meine Regeln dynamisch anpasse, mache ich genau das, falls ich fuer bestimmte Faelle nicht vorher schon eine eigene Tabelle angelegt hatte, bei der ich dann wieder nur anhaengen kann. Mittels iptables -L -n --line-numbers kannst Du Dir auch die Zeilen der Ausgabe numieren lassen. Um mit iptables umgehen zu lernen gibt es ein sehr gutes Iptables Tutorial[1] von Oskar Andreasson und ein Script Easy Firewall Generator for IPTables [2], dass danach Firewalls generiert. --jc [1] http://iptables-tutorial.frozentux.net/ [2] http://easyfwgen.morizot.net/gen/ -- Ignorance more frequently begets confidence than does knowledge. -- Charles Darwin -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: [OT] Reihenfolge der iptables rules
Am Donnerstag 01 Juni 2006 15:44 schrieb Juergen Christoffel: On Thu, Jun 01, 2006 at 12:07:15PM +0200, Chris C. wrote: [...] da die Rule am Ende angefügt wird und somit garnicht erst gelesen wird. Alle Regeln entfernen oder irgendwie dazwischenquetschen ist ja auch nicht sehr elegant. Es gibt kein dazwischenquetschen aber es gibt ein Einfuegen an einer bestimmten Position mittels -I int anstatt -A. Was daran unelegant sein sollte, entgeht mir. Wenn ich meine Regeln dynamisch anpasse, mache ich genau das, falls ich fuer bestimmte Faelle nicht vorher schon eine eigene Tabelle angelegt hatte, bei der ich dann wieder nur anhaengen kann. Ja, ich hatte die Doku auf netfilter.org zwar gelesen, aber das mit dem -I irgendwie falsch interpretiert. Mittels iptables -L -n --line-numbers kannst Du Dir auch die Zeilen der Ausgabe numieren lassen. Um mit iptables umgehen zu lernen gibt es ein sehr gutes Iptables Tutorial[1] von Oskar Andreasson und ein Script Easy Firewall Generator for IPTables [2], dass danach Firewalls generiert. Hmmm... eigentlich blöde wegen einem einzigen Spezialfall so einen aufwand zu betreiben, aber OK... lernen verlangsamt ja angeblich den verdummungsprozess ;-) Dank euch allen. Greetings Chris --jc [1] http://iptables-tutorial.frozentux.net/ [2] http://easyfwgen.morizot.net/gen/ -- Ignorance more frequently begets confidence than does knowledge. -- Charles Darwin
Re: [OT] Reihenfolge der iptables rules
Am Donnerstag, 1. Juni 2006 17:10 schrieb Chris C.: Am Donnerstag 01 Juni 2006 15:44 schrieb Juergen Christoffel: On Thu, Jun 01, 2006 at 12:07:15PM +0200, Chris C. wrote: [...] da die Rule am Ende angefügt wird und somit garnicht erst gelesen wird. Alle Regeln entfernen oder irgendwie dazwischenquetschen ist ja auch nicht sehr elegant. Es gibt kein dazwischenquetschen aber es gibt ein Einfuegen an einer bestimmten Position mittels -I int anstatt -A. Was daran unelegant sein sollte, entgeht mir. Wenn ich meine Regeln dynamisch anpasse, mache ich genau das, falls ich fuer bestimmte Faelle nicht vorher schon eine eigene Tabelle angelegt hatte, bei der ich dann wieder nur anhaengen kann. Ja, ich hatte die Doku auf netfilter.org zwar gelesen, aber das mit dem -I irgendwie falsch interpretiert. Mittels iptables -L -n --line-numbers kannst Du Dir auch die Zeilen der Ausgabe numieren lassen. Um mit iptables umgehen zu lernen gibt es ein sehr gutes Iptables Tutorial[1] von Oskar Andreasson und ein Script Easy Firewall Generator for IPTables [2], dass danach Firewalls generiert. Hmmm... eigentlich blöde wegen einem einzigen Spezialfall so einen aufwand zu betreiben, aber OK... lernen verlangsamt ja angeblich den verdummungsprozess ;-) Dank euch allen. Im Gegensatz zu pf, wenn ich das richtig verstanden habe, arbeitet iptables die Regeln von oben nach unten ab und nimmt die erste Regel, die passt, alle darunter werden für das Paket dann ignoriert. Um eine Regel z.B. an 2. Stelle einzufügen, ist -I das richtige: iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT um z.B. ssh zusätzlich zu erlauben. Mfg, Thomas
Re: [OT] Reihenfolge der iptables rules
On Thu, Jun 01, 2006 at 05:40:25PM +0200, Thomas Gräber wrote: Im Gegensatz zu pf, wenn ich das richtig verstanden habe, arbeitet iptables die Regeln von oben nach unten ab und nimmt die erste Regel, die passt, alle darunter werden für das Paket dann ignoriert. Jein: zwar arbeitet iptables die Regeln erst mal von oben nach unten ab. Aber zum einen kannst Du in iptables z.B. mittels -j die Reihenfolge der Abarbeitung aendern. Zum anderen gibt es Regeln, die durchaus die weitere Verarbeitung zulassen, sonst koenntest Du z.B. nicht erst loggen und dann ein reject erzeugen. Ein Beispiel: $IPT -A icmp_packets --fragment -p ICMP -j LOG --log-prefix DROP: $IPT -A icmp_packets --fragment -p ICMP -j DROP Hier wird erst ein Log-Eintrag erzeugt, dann das Packet weggeworfen (es koennte auch akzeptiert werden). --jc -- Ignorance more frequently begets confidence than does knowledge. -- Charles Darwin -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: [OT] Reihenfolge der iptables rules
On Thu, Jun 01, 2006 at 05:10:19PM +0200, Chris C. wrote:
Am Donnerstag 01 Juni 2006 15:44 schrieb Juergen Christoffel:
Es gibt kein dazwischenquetschen aber es gibt ein Einfuegen an einer
bestimmten Position mittels -I int anstatt -A.
Ja, ich hatte die Doku auf netfilter.org zwar gelesen, aber das mit dem -I
irgendwie falsch interpretiert.
Ausser -I und -A kannst Du uebrigens auch mittels -R Regeln ersetzen. Ich
erlaube zum Beispiel meiner Workstation zuhause, die bei DSL-Flatrate alle
24 Stunden eine neue IP-Adresse kriegt, bestimmte Zugriffe auf einem
externen Host. Auf diesem Host laeuft ein Script, dass die Regeln aendert,
wenn sich die Adresse aendert:
#! /bin/bash
CHAIN=dsl_in
MYHOST=$(host gipsnich.dyndns.org | awk '{print $NF}')
# list: iptables -v -n --line-numbers -L dsl_in
### some sanity checks first
# check if chain exists
if iptables -n -L $CHAIN /dev/null ; then
: ok
else
echo $0: chain $CHAIN missing, exiting
exit 1
fi
# check if ip address looks ok
if expr $MYHOST : '.*[0-9][0-9].[0-9][0-9]' /dev/null; then
: ok
else
echo $0: bogus ip address $MYHOST, exiting
exit 1
fi
iptables -R dsl_in 1 -p TCP -s $MYHOST --dport 80 -j ACCEPT
iptables -R dsl_in 2 -p TCP -s $MYHOST --dport 443 -j ACCEPT
iptables -R dsl_in 3 -p TCP -s $MYHOST --dport 25 -j ACCEPT
iptables -R dsl_in 4 -p TCP -s $MYHOST --dport 53 -j ACCEPT
Hier ist eine eigene Chain dsl_in eingetragen, die fuer eingehende
Verbindungen aus dem Adressbereich meines Providers angesprungen wird und
nur die private Adresse filtert. Alle anderen fallen unten aus der
Chain wieder raus in die normale Verarbeitung.
Dank der separaten Chain bin ich immer sicher, dass die hart kodierten
Positionen 1..4 in der Chain auch stimmen. Denn bei den uebergeordneten
Chains koennte sich das durch -I weiter vorne schon mal aendern, was dann
komplexeres Parsen erzwingen wuerde
--jc
--
Ignorance more frequently begets confidence than does knowledge.
-- Charles Darwin
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/
Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED]
mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
