subject:"\[PUG\] IPTABLES"

[PUG] IPTABLES

2004-06-16 Thread Ernst May-Jung

Hallo, 

in einen gewissen Turnus sind es doch immer wieder ähnliche Probleme.

Ich habe nun mein Gentoo auf den 2.6er Kernel gebracht. Das Zeug für IP-Tables 
habe ich nicht mehr als Module laufen sondern gleich fest eingebunden. Ich 
habe dabei einfach die Standartkonfiguration übernommen. Hat einfach gut 
ausgesehen :-)

Nun, mein IP-Tables Skript. Das hab ich von der PUG und ich glaube das 
verwenden viele hier, läuft auch halbwegs schön durch und tut auch was, wie 
das Listing unten zeigt.

Eine Regel wird mit 'Invalid Argument' quittiert. Welche hab ich noch nicht 
herausgefunden. Ich glaube das war bei mir früher auch schon so.

'echo 1 > /proc/sys/net/ipv4/ip_forward' ist auch drin.

Dennoch fehlt mir was, damit die Kiste routet. :-(

Fällt Euch da was auf? Gibt es grundlegende Änderungen beim 2.6er Kernel 
diesbezüglich?

Gruß
 Ernst



/home/ernst: iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source   destination
block  all  --  anywhere anywhere

Chain FORWARD (policy ACCEPT)
target prot opt source   destination
block  all  --  anywhere anywhere
TCPMSS tcp  --  anywhere anywhere   tcp 
flags:SYN,RST/SYN TCPMSS clamp to PMTU

Chain OUTPUT (policy ACCEPT)
target prot opt source   destination

Chain block (2 references)
target prot opt source   destination
ACCEPT all  --  anywhere anywhere   state 
RELATED,ESTABLISHED
ACCEPT all  --  localhost/24 anywhere   state NEW
ACCEPT all  --  192.168.0.0/24   anywhere   state NEW
ACCEPT all  --  10.0.0.0/24  anywhere   state NEW
ACCEPT tcp  --  anywhere anywhere   tcp dpt:auth 
flags:SYN,RST,ACK/SYN
ACCEPT tcp  --  anywhere anywhere   tcp dpt:ssh 
flags:SYN,RST,ACK/SYN
ACCEPT tcp  --  anywhere anywhere   tcp dpt:www 
flags:SYN,RST,ACK/SYN
ACCEPT tcp  --  anywhere anywhere   tcp dpt:https 
flags:SYN,RST,ACK/SYN
ACCEPT udp  --  anywhere anywhere   udp dpt:talk
ACCEPT udp  --  anywhere anywhere   udp dpt:ntalk
ACCEPT icmp --  anywhere anywhere
LOGall  --  192.168.0.0/24   anywhere   limit: avg 3/hour 
burst 5 LOG level warning prefix `Bad packet from LAN:'
LOGall  -- !192.168.0.0/24   anywhere   limit: avg 3/hour 
burst 5 LOG level warning prefix `Bad packet from Internet:'
LOGall  -- !10.0.0.0/24  anywhere   limit: avg 3/hour 
burst 5 LOG level warning prefix `Bad packet from Internet:'
REJECT all  --  anywhere anywhere   reject-with 
icmp-port-unreachable



Kurze Zusatzinfo:
/home/ernst: uname -a
Linux ernst 2.6.6 #6 Mon Jun 14 21:47:36 CEST 2004 i686 AMD Athlon(tm) 
processor AuthenticAMD GNU/Linux



PUG - Penguin User Group Wiesbaden - http://www.pug.org

[PUG] iptables

2003-01-18 Thread Denny Schierz

hi,

ich benutze dieses Script im Anhang, für die Firewall. Das Problem ist,
das sie außer ihr eigentliches Netz 192.168.1.0 auch noch in 53.101.48.0
zu routen hat.

Starte ich da Script, so passiert genau das was ich will, nach außen
hin. Aber die Clients die im 53.101.48.0'er Netz können dann nicht mehr
über diesen Router ins Internet, bzw, über den darauf laufenden Proxy
Server.
Sprich der Router ist aus dem internen Netz 53.101.48.0 nicht mehr
erreichbar (nicht von uns eingerichtet worden, war nen Mercedes Werk)

eth0 192.168.1.2 (intern) route -net > 53.101.48.0 gw 192.168.1.1
eth1 xxx.xxx.xxx (extern) 

gibt es da einen sinnvollen weg, dass das 53.101.48.0'er Netz auch noch
läuft, wenn ich das Script starte?
Welche Regeln wären sinnvoll, ohne es doppelt fürhren zu müssen...

-- 
Denny Schierz <[EMAIL PROTECTED]>

#!/bin/sh

#Iptable firewall v0.82
#updated 09/24/01

#Define some constants
echo "Seting up firewall."
LOCALNETWORK="192.168.1.0/255.255.255.0"
INTINT="eth0" #The internal interface
EXTINT="eth1" #The external interface
#INTIP="192.168.1.1" #The internal interface address - Not used
#DHCPSERVER="208.191.175.254/32"
#DHCPSERVER2="192.168.100.6/32"
SQUID="192.168.1.2:3128"
# User should not have to change anything below here
LOOPBACK="127.0.0.0/8"
CLASS_A="10.0.0.0/8"
CLASS_B="172.16.0.0/12"
CLASS_C="192.168.0.0/16"
MULTICAST="224.0.0.0/4"
CLASS_E="240.0.0.0/5"
ANYWHERE="any/0"
BROADCAST_SRC="0.0.0.0/32"
BROADCAST_DEST="255.255.255.255/32"
PRIVPORTS="0:1023"
#You can change the local unprivileged port range 
#with: net.ipv4.ip_local_port_range = 32768 61000
#for example

PUBLICPORTS="1024:65535"
NFS_PORT="2049"
SOCKS_PORT="1080"
XWINDOW_PORTS="6000:6023"
# traceroute usually uses -S 32769:65535 -D 33434:33523
TRACEROUTE_SRC_PORTS="32769:65535"
TRACEROUTE_DEST_PORTS="33434:33523"

#=
# Non iptables stuff
#=
# TCP syncookie protection
if [ -e /proc/sys/net/ipv4/tcp_syncookies ]; then
  echo -n "Enabling TCP syncookie protection..."
  echo 1 > /proc/sys/net/ipv4/tcp_syncookies
  echo "done."
else
  echo "Problem enabling TCP syncookie protection.  Be worried."
fi


# Disable source routed packets
if [ -e /proc/sys/net/ipv4/conf/all/accept_source_route ]; then
   echo -n "Disabling source routed packets"
   for f in /proc/sys/net/ipv4/conf/*/accept_source_route; do echo 0 > $f
   done
   echo "done."
else
   echo "Problems disabling source routed packets, be worried."
fi


# Disable ICMP Redirect Acceptance
if [ -e /proc/sys/net/ipv4/conf/all/accept_redirects ]; then
   echo -n "Disabling ICMP Redirect Acceptance..."
   for f in /proc/sys/net/ipv4/conf/*/accept_redirects; do echo 0 > $f
   done
   echo "done."
else
   echo "Problems disabling ICMP Redirect Acceptance, be worried."
fi


# Turn on IP Spoof protection by using IP Source Address Verification
# This is from the IPChains-HOWTO, but it works for iptables too.
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]; then
   echo -n "Setting up IP spoofing protection..."
   for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f
   done
   echo "done."
else
   echo PROBLEMS SETTING UP IP SPOOFING PROTECTION.  BE WORRIED.
fi


# Don't respond to broadcast pings.
if [ -e /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts ]; then
  echo -n "Stopping broacast pings..."
  echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
  echo "done."
else
  echo "Problem stopping broadcast pings.  Be worried."
fi


# Activate the forwarding!
if [ -e /proc/sys/net/ipv4/ip_forward ]; then
  echo -n "Turning on forwarding..."
  echo 1 >/proc/sys/net/ipv4/ip_forward
  echo "done."
else
  echo "Forwarding not turned on!  Be worried."
fi


# Enable bad error message protection
if [ -e /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ] ; then
  echo -n "Turning on bad error message protection..."
  echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
  echo "done."
else
  echo "Problem turing on bad error message protection.  Be worried."
fi

# Insert the required kernel modules
# Note if iptables is compiled in, this will
# generate error messages.  These can be safely
# ignored.
#modprobe iptable_nat
#modprobe ip_conntrack
#modprobe ip_conntrack_ftp

#=
# Flush the old rules and set default policies
#=
echo "Setting defaults"
/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT REJECT
/sbin/iptables -P FORWARD DROP
/sbin/iptables -t nat -P POSTROUTING ACCEPT
/sbin/iptables -t nat -P PREROUTING ACCEPT
/sbin/iptables -t nat -P OUTPUT ACCEPT

#=
# Filter rules
#=
# Filter out some troublesome things I would drop anyway
#/sbin/iptables -t nat -A PREROUTING -i ppp+ \
# -s 192.168.0.2 -j DROP

#Test transparent proxying
# Uncomment if you want to

[PUG] iptables Logfile

2001-03-20 Thread Stefan Klein


Mahlzeit !

Ich hab ne firewall mit iptables aufgesetzt die gedroppten Packete logt. 
Dieses log hätte ich gerne in nem eigenen Logfile ( also nicht in 
/var/log/messages ). Meine idee war in der /etc/syslog.conf einen 
Entsprechenden Eintrag zu machen. Die Frage ist nun was ich da reinschreibe, 
in der /usr/include/sys/syslog.h hab ich nichts gefunden.

-- 
Kein Mann sollte ein Geheimnis vor seiner Frau haben. - 
Sie wird es in jedem Falle herausfinden.
  -- Oscar Wilde
---
PUG - Penguin User Group Wiesbaden - http://www.pug.org

[PUG] iptables test

2001-07-20 Thread Denny-Schierz


Guten Tag talk,

  ich habe gerade damit angefangen, mich mit iptables zu beschäftigen.
  Dazu habe ich mir einen Linux Debian genommen mit Kernel 2.4.6 und 2
  NIC's eth0 $DEV_LOC und eth1 $DEV_EXT . Da dies nur eine
  Testumgebung ist, lasse ich beide Anschlüsse an einen HUB gehen, der
  wiederrum ist an einem Switch. Das Internet erreicht er über einen
  Linux Router der am Swtitch hängt (als Standartgateway eingetragen
  unter eth1).

  Meine Frage daher, geht das überhaupt an einem HUB, beide NIC's?
  Denn aus einer Linux Zeitschrift, hab ich mir die ersten Regeln
  herraus geschrieben und sie getestet. Nur leider funzt das nicht,
  nicht einmal ein Ping geht. Ich vermute es hängt mit dem HUB
  zusammen.
  eth0: 192.168.10.1
  eth0: 192.168.100.233 gateway 192.168.100.253

  Hier das ich bisher eingetippt habe:
-
#!/bin/sh

# Some General Settings
# path to iptabl
IPTABLES=/sbin/iptables

# what are the internel and external device
DEV_LOC=eth0
DEV_EXT=eth1

# Don't allow what isn't allowed
# P = Target
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

# Kill all Temp-Rules
# F = Flush; t = table; X = delete Chain
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -X

# allow io interface, we need it for bind etc.
# A = Append to chain; j = Target for rule; i = interface; o = output interface
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT

# what to do with unknown packets, we drop it and log it :-)
# N = new Chain p = proto
$IPTABLES -N unknown
$IPTABLES -A unknown -p TCP -j LOG --log-prefix "UNKNOWN:TCP"
$IPTABLES -A unknown -p UDP -j LOG --log-prefix "UNKNOWN:UDP" 
$IPTABLES -A unknown -p ICMP -j LOG --log-prefix "UNKNOWN:ICMP"
$IPTABLES -A unknown -p TCP -j DROP

# prepare kernel for dynamic ip
# das brauche ich nicht, da wir eine feste ip haben
#echo "1" > /proc/net/ipv4/ip_dynaddr
#echo "1" > /proc/net/ipv4/ip_forward

# enable Masquerade
$IPTABLES -t nat -A POSTROUTING -o $DEV_EXT -j MASQUERADE

# let connections open if it from us
$IPTABLES -A FORWARD -i $DEV_LOC -o $DEV_EXT -m state --state ESTABLISHED,RELATED -j 
ACCEPT
$IPTABLES -A FORWARD -i $DEV_EXT -o $DEV_LOC -m state --state ESTABLISHED,RELATED -j 
ACCEPT

# all other connections drop to unknown
$IPTABLES -A FORWARD -i $DEV_EXT -o $DEV_LOC -m state --state NEW,INVALID -j unknown 

# ok, here some Services

# we want ssh
$IPTABLES -A INPUT -i $DEV_LOC -s 192.168.100.0/255.255.255.0 -p TCP --sport 1000:1023 
--dport ssh -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A OUTPUT -o $DEV_LOC -d 192.168.100.0/255.255.255.0 -p TCP --dport 
1000:1023 --sport ssh -m state --state ESTABLISHED,RELATED -j ACCEPT
 
# we want aktive ftp 
# what for a port wants the server
$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport ftp -m state 
--state NEW -j ACCEPT

# but some browser wants passive ftp
$IPTABLES -A FORWARD -o $DEV_EXT -p tcp --sport 1024:65535 --dport 1024:65535 -m state 
--state NEW -j ACCEPT

# for ping we need this
$IPTABLES -A FORWARD -o $DEV_EXT -p ICMP --icmp-type echo-request -j ACCEPT
$IPTABLES -A FORWARD -o $DEV_LOC -p ICMP --icmp-type echo-request -j ACCEPT

# All other unknown packets to the /dev/null ;)
$IPTABLES -A INPUT -j unknown
$IPTABLES -A OUTPUT -j unknown
$IPTABLES -A FORWARD -j unknown 
  

Also, wenn ich das so durchlese, erscheint es mir logisch, das nix
funzt. Nun, wie testet man dann seine Firewall richtig, ob ping etc
funzt. Ach, wenn ich das Script starte, dann haut es mir sämtliche
Meldungen auf den Screen, egal welche Konsole. Kann man das nicht
umleiten?
--
Mit freundlichen Grüssen
Denny-Schierz  mailto:[EMAIL PROTECTED]


PUG - Penguin User Group Wiesbaden - http://www.pug.org

[PUG] iptables CLUSTERIP

2006-08-15 Thread Thorsten Gowik

-BEGIN PGP SIGNED MESSAGE-
Hash: SHA1

Hallo erstmal,

bin mal wieder ein wenig am experimentieren, diesmal angeregt durch
diesen:
http://flaviostechnotalk.com/wordpress/index.php/2005/06/12/loadbalancer-less-clusters-on-linux/
Artikel habe ich mir zwei ausgediente Maschinen geschnappt ein
abgespecktes SuSE 10 drauf installiert und das ganze einmal ausprobiert.

Soweit sieht das ganze auch schon recht gut aus, unter /proc wird auch
die entsprechende Datei auf den Nodes angelegt. Allerdings stoße ich auf
genau den selben Fehler wie viele anderen die einen Kommentar
hinterlassen haben, die Dokumentation von CLUSTERIP ist ebenfalls mehr
als dürftig. Keiner der Nodes antwortet auf den ARP Request, ich habe
also mal angefangen alle möglichen und unmöglichen Kombinationen
auszuprobieren. Beide Nodes mit gleicher IP und gleicher MAC >> kein
Erfolg, jeder Node mit eigener MAC und seiner eigenen IP + Cluster IP am
gleichen Interface >> kein Erfolg, beide Nodes mit gleicher MAC
unterschiedlichen IP sowie der Cluster IP >> kein Erfolg. In allen
Fällen scheitert es bereits am ARP Request bzw. im zuletzt genannten
Fall gibt keiner der Nodes eine Antwort auf die Anfrage des Clients.

Hat von euch schon einmal jemand eine solche Konfiguration erfolgreich
aufgesetzt, oder eine Idee wie das Funktionieren könnte/soll? Eventuell
kann mir ja auch einer mal eben schnell eine Kerze reichen damit ich ein
wenig Licht in das Dunkel hier bringen kann. :-)

Gruß
Thorsten
-BEGIN PGP SIGNATURE-
Version: GnuPG v1.4.3 (MingW32)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iD8DBQFE4dlNUu/IL/BsO/URAl9gAJsHmu9FAaPIEAj8ODEgJiqyg+hdzQCeIGtk
WUFjVswrljfgF5uyOPH9DW4=
=R0Dl
-END PGP SIGNATURE-
--

PUG - Penguin User Group Wiesbaden - http://www.pug.org

47 matches

Mail list logo