Ola Rodrigo, tudo bem?
Estou mexendo com iptables faz um tempinho e pelo que eu li no seu script e fazendo
alguma compara��o com alguns scripts que montei, acho que quando vc quer bloquear ou
aceitar algum servi�o � mais interessante fazer isso na chain FORWARD. Supondo que vc
tenha uma eth0 conectada na rede externa e uma eth1 conectada na rede interna.
Construindo as regras de permi��o de servi�os na chain FORWARD da tabela filter isso
facilita as coisas na hora de permitir qual porta os usu�rios poder�o se conectar. E
n�o fazer o bloquei na chain INPUT.
Nessa parte do seu script:
echo " ##############################################"
echo " # Abrindo portas TCP e UDP Necessarias #"
echo " ##############################################"
$fe -A INPUT -p tcp --dport 20 -j ACCEPT
$fe -A INPUT -p tcp --dport 21 -j ACCEPT
$fe -A INPUT -p tcp --dport 22 -j ACCEPT
$fe -A INPUT -p tcp --dport 25 -j ACCEPT
$fe -A INPUT -p tcp --dport 53 -j ACCEPT
$fe -A INPUT -p tcp --dport 80 -j ACCEPT
$fe -A INPUT -p tcp --dport 110 -j ACCEPT
$fe -A INPUT -p tcp --dport 443 -j ACCEPT
#########
## UDP ##
#########
$fe -A INPUT -p udp --dport 22 -j ACCEPT
$fe -A INPUT -p udp --dport 53 -j ACCEPT
$fe -A INPUT -p udp --dport 443 -j ACCEPT
$fe -A INPUT -p udp --dport 110 -j ACCEPT
Eu faria assim:
echo " ##############################################"
echo " # Abrindo portas TCP e UDP Necessarias #"
echo " ##############################################"
$fe -A FORWARD -s 192.168.0.0/24 -p tcp --dport 20 -j ACCEPT
$fe -A FORWARD -s 192.168.0.0/24 -p tcp --dport 21 -j ACCEPT
$fe -A FORWARD -s 192.168.0.0/24 -p tcp --dport 22 -j ACCEPT
$fe -A FORWARD -s 192.168.0.0/24 -p tcp --dport 25 -j ACCEPT
$fe -A FORWARD -s 192.168.0.0/24 -p tcp --dport 53 -j ACCEPT # n�o � necess�rios,
requisi��es de DNS � feito com UDP
$fe -A FORWARD -s 192.168.0.0/24 -p tcp --dport 80 -j ACCEPT
$fe -A FORWARD -s 192.168.0.0/24 -p tcp --dport 110 -j ACCEPT
$fe -A FORWARD -s 192.168.0.0/24 -p tcp --dport 443 -j ACCEPT
#########
## UDP ##
#########
$fe -A FORWARD -p udp -s 192.168.0.0/24 --dport 22 -j ACCEPT
$fe -A FORWARD -p udp -s 192.168.0.0/24 --dport 53 -j ACCEPT
$fe -A FORWARD -p udp -s 192.168.0.0/24 --dport 443 -j ACCEPT
$fe -A FORWARD -p udp -s 192.168.0.0/24 --dport 110 -j ACCEPT
Assim vc controla tudo oque passa entre a rede interna e externa na chain FORWARD e na
chain INPUT vc deixa passar apenas pacotes ESTABLISHED, RELATED, NEW para fora da rede
e ESTABLISHED, RELATED para dentro da rede.
Se eu estiver errado, por favor me corrigem....
at+
---------------------------------------------------------------------
Jo�o Henrique F. de Freitas
FATEC-AM
Linux user: 306924 - Slackware 9.1
[EMAIL PROTECTED]
---------------------------------------------------------------------
On Fri, 28 May 2004 07:53:56 -0300
"Rodrigo Natale" <[EMAIL PROTECTED]> wrote:
> Bom dia pessoal.
>
> Estou com um problema que ta me deixando careca com o iptables...
>
> Tenho um servidor de firewall/proxy rodando o slack 9.1 e iptables, onde o
> squid esta funcionando perfeitamente, a rede navega na internet normalmente
> sem o firewall ativado. Quando ativo o firewall as esta��es nao conseguem
> navegar e nem receber/enviar e-mail com o outlook, e ja revisei diversas
> vezes o script para ver o que esta bloqueando a navega��o e nao consigo. As
> esta��es usam windows, e no internet explorer aparece a mensagem no rodap�
> "Localizando o site: www.xxx.com"
> Ja criei logs para tentar descobrir o que ta bloqueando, mas parece ser
> alguma coisa com dns, e nao consigo saber o que �. Parece que o site, nao
> consegue enviar a resposta ao proxy, pois o firewall bloqueia algo. S�
> conseguem navegar com o firewall ativado, caso eu deixe a linha IPTABLES -P
> INPUT ACCEPT.
> Anexo, estou enviando o script, e gostaria que vcs me ajudassem, estarei
> muito grato.
>
> Obrigado
> Rodrigo Natale Ciochetti de Camargo - Administrador de Redes Jr.
>
>
> Rodrigo Natale Ciochetti de Camargo - Administrador de Redes Jr.
> CUNO Latina Ltda.
> *(0XX11) 4718-8516
> * www.cunolatina.com.br
>
>
--
GUS-BR - Grupo de Usu�rios Slackware - BR
http://www.slackwarebrasil.org/
http://www.linuxmag.com.br/mailman/listinfo/slack-users
