iptables og Diable forwarding

Den konkrete linie disabler router-funktionen på serveren. Det vil sige, at du kan ikke komme igennem linux maskinen. Sidste linie åbner for routeren igen.

Hvis den står til 0, så er det alene linux maskinen som kan komme ud i verden.

Takker! Men hvad er pointen så med den pågældende kommando? - Man kan vel ikke påstå det er en fejl, at generatoren skriver den?

Det er ikke en fejl. Scriptet starter med at disable routning, da routning er begge veje - og derfor også indgående. Det vil sige, at umiddelbart efter at routning disables tømmes iptables (altså ingen sikkerhed), hvorefter iptables genopbygges - og til slut tillades routning igen.

Teorien er, at mens der etableres en firewall (med iptables), så kan jeg angribe igennem routeren - men ikke hvis den er stoppet.

Hvad kan forklaringen være på, at ovenstående iptables ikke virker 100%. Jeg kan komme på nettet med fjernmaskinen, men fildeling via samba virker ikke længere. Hvad skal rettes til så det kommer til at passe til mine behov? Har rodet lidt frem og tilbage, men uden held hvilket piner mig. Har en anden iptables jeg har "samlet" fra flere eksempler, men den har samtlige UDP porte åbne, hvilke jeg ikke kan finde ud af at få lukket. Denne generetor er rimelig overskuelig og ikke så lang at læse og dermed mere overskuelig. Problemet er bare den ikke løser min opgave. Se og min nyeste tråd: http://www.eksperten.dk/spm/411548

Hvis det er samba fra lan-siden imod linux-maskinen, så burde det virke. Jeg har i hvert fald ingen problemer.

Ellers er jeg sig umiddelbart svar skyldig - men hvad siger log-filerne?

for at få ovenstående til at virke skal jeg medtage følgende linie:
iptables -A INPUT -p ALL -i $LAN_NIC -s $LAN_IP_NET -j ACCEPT

Linien gør det muligt at jeg i windows kan skrive "\\computernavn" og dermed få mit delte (samba) filtræ frem. Dette virker ikke uden ovenstående.

Nu har jeg dig lap. Har du en logisk forklaring på hvorfor tre portscannere (browser baserede) siger der ingen UDP porte er åbne. Men når jeg anvender "Advanced Administrative Tools" (windows program) får jeg svar tilbage om at alle UDP porte er åbne? Du er velkommen til at følge mit indlæg omkring dette http://www.eksperten.dk/spm/411548 Det bør siges jeg anvender den iptables der er liste i denne tråd. Den anden er altså ikke længere gældende på mit system.

Mon ikke, at du afvikler din portscanner fra indersiden, hvorimod de browser baserede kommer udefra?

hm... jo... det kan der være noget om men har fået en kammerat til at scanne mig og der er resultatet også en masse åbne udp porte.

Kan jeg få dig til at copy-paste din iptables fil? Jeg ved vi har samme opsætning og fast ip. Så er jeg i hvert fald sikker på det ikke kan gøres bedre! Jeg ved ikke hvorfor, men den generator du linkede til engang er nede og det irriterer mig helt vildt jeg er i vilrede. Prøver nogle forskellige ting af, men inten virker samba ikke eller også er der noget galt med vnc eller det at komme på nettet i det hele taget. Jeg har fundet en anden generator, men den genererer ipchains og det system er jeg ikke så meget inde i. Filen er også mange, mange linier større og dermed mere uoverskuelig.

jeg kan godt klippe min opsætning, men jeg er bange for, at du får et mage-chok - da jeg slet ikke bruger scriptet fra 1go.dk - jeg bruger et script som er kæmpestort, og som kan det hele på den halve tid :-)

Det er super konfigurerbart og med DMZ-ben osv., men hvis du er interesseret, så sig bare til - jeg linker lige til det: http://monmotha.mplug.org/firewall/index.php

Hvis du vil se en konfigureret udgave, så har jeg selvfølgelig det. En deltalje man skal huske - moduler som skal loades klares ikke af scriptet - i modsætning til 1go.dk script.

et af mine problemer med ipchain udgaven er også at den skal installeres på en anden måde og ved ikke om det er korrekt.... jeg er klar :-) Vil da gerne se hvordan det skal gøres ordentligt - håber bare jeg forstår det

Jeg brugte denne, men ja... er ikke sikker på jeg installerer den korrekt. Men kan godt lide muligheden for at specificere lidt dybt.

hov http://www.linux-firewall-tools.com/linux/firewall/index.html

virker temmelig skidt

yea.... men hvad skal jeg gøre når på den 1go ikke virker? ;-) Jeg er jo ved at blive lidt desperat! Vil rigtig gerne have noget ordentlig og ja.. den er vel bedre end ingenting. Jeg kan bare ikke rigtig installere den korrekt og synes det er lidt forvirrende da ... ja... skal iptables så køre som en tjeneste? Alt i alt foretrækker jeg iptables fremfor ipchain... Er iptables ikke også afløseren?

her kommer min konfigurationsdel - selve scriptet kan du selv downloade. Efter tilretning af script kører jeg det - og derefter en "service iptables save" - og får de nødvendige moduler i /etc/rc.local:

# Main configuration, modify to suit your setup.  Help can be found at:
#    http://www.mplug.org/phpwiki/index.php?MonMothaReferenceGuide
IPTABLES="/sbin/iptables"              # set to your iptables location, must be set
TCP_ALLOW="25 80"                              # TCP ports to allow
UDP_ALLOW="XXX 68 XXXX XXXX XXXX"              # UDP ports to allow
INET_IFACE="eth1"                              # the interface your internet's on (one only), must be set
LAN_IFACE="eth0"                                # the interface your LAN's on (one only)
INTERNAL_LAN="10.0.0.0/8"                      # The internal LAN (including DMZs but not censored hosts)
MASQ_LAN="10.0.0.0/8"                          # the internal network(s) to be masqueraded (this is overridden by MAC_MASQ)
SNAT_LAN=""                                    # Internal networks/hosts to use static NAT (format is <internal ip or network>:<external ip>) (this is overridden by MAC_SNAT)
DROP="DROP"                                    # What to do with packets we don't want: DROP, REJECT, TREJECT (Reject with tcp-reset for TCP), LDROP (log and drop), LREJECT (log and reject), LTREJECT (log and reject with tcp-reset)
DENY_ALL=""                                    # Internet hosts to explicitly deny from accessing your system at all
DENY_HOSTWISE_TCP=""                            # Specific hosts to deny access to specific TCP ports; format is "IP>PORT"
DENY_HOSTWISE_UDP=""                            # Specific hosts to deny access to specific UDP ports; format is "IP>PORT"
BLACKHOLE=""                                    # People you don't want to have anything to do with (equivlent of my old TK_DROP).  This is a bidirectional drop.
BLACKHOLE_DROP="DROP"                          # What to do for the blackholes (same options as DROP directive above)
ALLOW_HOSTWISE_TCP=""                          # Specific hosts allowed access to specific TCP ports; format is "IP>PORT"
ALLOW_HOSTWISE_UDP=""                          # Specific hosts allowed access to specific UDP ports; format is "IP>PORT"
TCP_FW=""                                      # TCP port forwards, form is "SPORT:DPORT>IP"
UDP_FW=""                                      # UDP port forwards, form is "SPORT:DPORT>IP"
MANGLE_TOS_OPTIMIZE="TRUE"                      # TOS "optimizations" on or off (TRUE/FALSE toggle)
ENABLE="Y"                                      # Set to 'Y' when it's configured; this is for your own saftey


# Flood Params.  You will still recieve the packets and the bandwidth will be used, but this will cause floods to be ignored (useful against SYNFLOODS especially)
LOG_FLOOD="2/s"                                # Limit on logging (for LTREJECT, LREJECT and LDROP, the packet will always take the policy regardless of logging)
SYN_FLOOD="20/s"                                # GLOBAL limit on SYN packets (servers will probably need even higher sustained rates as this isn't on a per IP basis)
PING_FLOOD="1/s"                                # GLOBAL limit on ICMP echo-requests to reply to

# Outbound filters (they work, but are of limited functionality), probably better to use a proxy here
ALLOW_OUT_TCP=""                                # Internal hosts allowed to be forwarded out on TCP (internet censorship!) (do not put this/these host/s in INTERNAL_LAN, but do define their method of access [snat, masq] if not a public ip)

# Below here is experimental (please report your successes/failures)
MAC_MASQ=""                                    # MAC addresses permitted to use masquerading, leave blank to not use
MAC_SNAT=""                                    # MAC addresses permitted to use static NAT, leave blank to not use (format is <MAC Address>:<external ip>)
TTL_SAFE=""                                    # How many hops packets need to make once they get on your LAN (null disables the mangling) (requires patch from patch-o-matic)
USE_SYNCOOKIES="TRUE"                          # TCP SynCookies on or off (TRUE/FALSE toggle)
PROXY="10.0.0.XXX:3128"                          # Redirect for Squid or other transparent proxy. Syntax to specify the proxy is "host:port".
DHCP_SERVER="TRUE"                              # Set to true if you run a DHCP server. DHCP clients do not need this. This allows broadcasts to the server from potential clients on the LAN to succeede. MUST DEFINE LAN_IFACE IF YOU USE THIS!

# Only touch these if you're daring (PREALPHA stuff, as in basically non-functional)
DMZ_IFACE=""                                    # Interface your DMZ is on (leave blank if you don't have one) MUST DEFINE LAN_IFACE IF YOU USE THIS!

# Home made by lap
PPTP_SERVER="FALSE"                            # PPTPD server on firewall


# Flood Params.  You will still recieve the packets and the bandwidth will be used, but this will cause floods to be ignored (useful again
st SYNFLOODS especially)
LOG_FLOOD="2/s"                                # Limit on logging (for LTREJECT, LREJECT and LDROP, the packet will always take the polic
y regardless of logging)
SYN_FLOOD="20/s"                                # GLOBAL limit on SYN packets (servers will probably need even higher sustained rates as t
his isn't on a per IP basis)
PING_FLOOD="1/s"                                # GLOBAL limit on ICMP echo-requests to reply to

# Outbound filters (they work, but are of limited functionality), probably better to use a proxy here
ALLOW_OUT_TCP=""                                # Internal hosts allowed to be forwarded out on TCP (internet censorship!) (do not put this/these host/s in INTERNAL_LAN, but do define their method of access [snat, masq] if not a public ip)

# Below here is experimental (please report your successes/failures)
MAC_MASQ=""                                    # MAC addresses permitted to use masquerading, leave blank to not use
MAC_SNAT=""                                    # MAC addresses permitted to use static NAT, leave blank to not use (format is <MAC Addres
s>:<external ip>)
TTL_SAFE=""                                    # How many hops packets need to make once they get on your LAN (null disables the mangling
) (requires patch from patch-o-matic)          USE_SYNCOOKIES="TRUE"                          # TCP SynCookies on or off (TRUE/FALSE toggle)
PROXY="10.0.0.1:3128"                          # Redirect for Squid or other transparent proxy. Syntax to specify the proxy is "host:port
".
                                                                                                                        295,1        31%
USE_SYNCOOKIES="TRUE"                          # TCP SynCookies on or off (TRUE/FALSE toggle)
PROXY="10.0.0.1:3128"                          # Redirect for Squid or other transparent proxy. Syntax to specify the proxy is "host:port".
DHCP_SERVER="TRUE"                              # Set to true if you run a DHCP server. DHCP clients do not need this. This allows broadcasts to the server from potential clients on the LAN to succeede. MUST DEFINE LAN_IFACE IF YOU USE THIS!

# Only touch these if you're daring (PREALPHA stuff, as in basically non-functional)
DMZ_IFACE=""                                    # Interface your DMZ is on (leave blank if you don't have one) MUST DEFINE LAN_IFACE IF YOU USE THIS!

Du har jo en firewall, som du er ret sikker på virker.

Jeg kan da godt hjælpe dig med at etablere Monmotha - den er jeg helt sikker på virker.

puha... sikken er smøre :-) Er det mon klogt jeg går i krig med den konfiguration... har ikke megen forstand på at sætte det op. Har måske en ide, men...

Vil du gerne det?! Takker mange gange... men skal jeg så ikke lige skrive hvad min opsætning skal - altså hvad jeg vil have kørende?

Egentlig ikke, vi tager det efterhånden som vi kommer igennem konfigurationslinierne - du starter med at downloade nyeste udgave af scriptet fra linket

Det første du har hjulpet mig med at sætte op synes jeg har givet mig rimelig mening.... vil gerne lære nyt, men det er op til dig at vurdere om det er for kompliceret. Jeg synes om udgangspunkt det virker overvældende at skal redigere i en kæmpe tekst fil frem for et grafik klik-klik miljø. Tja, er måske windows skadet...

I virkeligheden er det ikke så meget vi skal redigere - det er rigtigt, at det ser slet ud, men det er trods alt kun konfigurtationsafsnittet vi skal tilpasse.

Det vigtigste er bare, at du har en editor du kan finde rundt i - har du det?

slet=slemt

det skal lige siges at min vnc server ikke er kørende i øjeblikket. Men har en skærm så på linux maskinen... kan overføre via diskette :-)

Er det her jeg skal hente scriptet? http://monmotha.mplug.org/~monmotha/firewall/firewall/ hvilken version?

notepad? Ja.. jeg kører windows i øjeblikket.. Er det ikke bedre jeg skifter 100% til linux boxen?

jo, 100% linux - og download version rc.firewall-2.3.8-pre9

tag evt. browser på linux og find siden - tag teksten og kopier teksten til en tekstfil med navn iptables.sh - har du en brugbar editor på linux?

ok... sidder på linux maskinen nu. jeg prøver at finde og downloade din fil du refererer til...

53K

filen er hentet og gemt som rc.firewall i kataloget root

har loaded filen i teksteditoren... har prøvet at bruge vi engang imellem, men... den er lidt for langhåret ;-)

godt - tag en editor og åbn filen - find 1 linie, som ikke starter med en # (langt nede IPTABLES="/usr/bin/iptables")

jep... jeg er med

ret:
IPTABLES="/sbin/iptables"

spørgsmål: hvad skal man kunne nå på din maskine udefra?

altså lokalt på linux maskinen - ikke noget med "igennem linux og ind på dit lokalnet"?

det kunne være mail (25), ssh (22), web (80) osv.

en ting.,.. kan jeg lave en # umiddelbart bag linien og skrive kommentar? Jeg vil gerne gøre det sådan således jeg kan sætte maskinen op alene en anden dag

ja, lav en <tabulator> efter sidste " - så er det helt ok

jeg vil gerne kunne logge på vnc udefra - altså port 22. Lokalt skal jeg kunne logge pp port 22 og i fx stifinder kunne skrive \\computernavn og dermed få det filtræ frem som er del via samba. Mail kører jeg via outlook og kalder op til min udbyder. Så... ja.. jeg skal vel ikke have port 25 åben for at kunne det?

jeg skal også have mulighed for at bruge min printer lokalt, men ikke globalt. Mit såkaldte filtræ vil jeg også gerne kunne se.. men så er FTP vel mere smart. Vil faktisk gerne have en ftp op men kan vel altid tilføje port 21 når jeg når så langt?

port 22 er ssh - port 5800-5810 er vnc - med mindre du portforwarer i din ssh-klient. Vi tager udgangspunkt i ssh - altså skal TCP_ALLOW="22" - som den er.

adgang fra lokal til server er alt åben i denne firewall.

Internettet - eth0 eller eth1 ?

Vi sætter ALENE adgang fra internettet imod din linux lige nu

hm... mener jeg bruger port 5901 som vnc (grafisk)

internettet er tilsluttet eth0

hvis jeg senere vil have ftp skal der så stå "22, 21" ??

ja, web-delen :-( er port 5900-5910 - så skriver du:
TCP_ALLOW="22 5900 5901 5902"

og ja til ftp.

INET_IFACE="eth0"
LAN_IFACE="eth1"

hvilke ip-adresser bruger du på lokalnettet (indersiden af firewall)?

vil det sige at der er åbent for tre samtidige vnc'er kørende?

2 - nemlig window 1 og 2 (5900 er "styreport")

sig til hvis jeg er for ivrig og vil for mange ting. Du må gerne sige jeg skal holde lidt igen :-), men kan vi ikke sætte ftp op med det sammen.... hmm... vi må hellere droppe det.... jeg har ikke pakkerne installeret... vi tager en ting af gangen...

ok... synes det er sjovt at jeg selv er ved at få lidt styr på tingene :-)

ja, ændringen til ftp er nem - for når scriptet er færdigt, så skal du bare rette i det - og køre det igen - så er det lavet.

Jeg skal nok stoppe dig, hvis det bliver for "håbløst" at svare på det hele..

ok... tak! Jeg skal lige være sikker... vil tilfælde bliver linien:
TCP_ALLOW="21 22 5900 5901 5902"

nu jeg husker at spørge... hvordan er den mest fornuftige opsætning af den firewall funktion der er i win XP? Skal den ik bare være deaktiveret?

Korrekt :-) Der sker ikke noget ved at åbne for port 21 selvom ftp-pakker ikke er installeret. Firewall'en er et ekstra "lag", så du kan også godt installere en ftp-server - og ved ikke at åbne i firewall, så virker den alligevel indefra.

Tja, det er lidt smag og behag. Hvis det skal være sikkert, så er 2 firewalls bedre end 1, men personligt ville jeg slå den fra.

ok... hvis jeg installerer en ftp og ikke ikke tilføjer port 21 er ftp'en tilgængelig indefra? Skal lige være 110% med...

Er portene 5900 osv... tcp porte?

korrekt - og ja, TCP_ALLOW er tcp-porte (browser bruger tcp) - UDP_ALLOW er åbne udp-porte - klippet fra manualen:

UDP ports to allow on incoming connections to the firewall itself (localhost). The defaults are what you need to play all battle.net games (including Starcraft and Diablo ][) and to act as a DHCP client if the connection tracker fails. These also apply to any computers behind the firewall.

det er også min erfaring den skal være fra... ellers virkede min tidligere opsætning ikke... men kunne jo bare åbne for de porte jeg har brug for men... så er det nemmere at slå den helt fra. Firewall på linux'en er for mig ok

jeg bruger ikke lokal firewall (udover den på linux firewall) - og det er også fint med mig (så længe jeg er på mit eget lokalnet !!)

jeg er ingen stor gamer... men er det ik ok at udp portene forbliver åbne? Håber ikke du spurgte mig om en mening til det ;-)

jeg spiller ALDRIG - og har også ladet portene stå åbne - du kunne vel risikere at få gæster... som vil spille :-)

til det med udp skal det siges det har irriteret mig VOLSOMT at har lykkedes mig at scanne dem som værende åbne... ok.. jeg snakker vidst for meget... jeg lytter... :-)

vi nåede til: hvilke ip-adresser bruger du på lokalnettet?

jeg er nu heller ikke perfekt... så det er nok en ok løsning alligvel :-) men .. ja, hvad gør portene egentlig?

ikke forstået - hvad gør portene?

det er lykkedes mig at opsætte en dhcp server (smiler stolt)... bruger ip'en 192.168.0.1 mener det kommer til at se således ud 192.168.0.1/24

hvad åbner udp portene op for? ligesom fx port 21 er ftp 80 er www og ja... gør udp portene så? Er det generelt sådan at der ikke kan hackes gennem en udp port?

nej, 192.168.0.0/24:
INTERNAL_LAN="192.168.0.0/24"
MASQ_LAN="192.168.0.0/24"

Vi du gerne logge besøg udefra i din firewall (ADVARSEL: det er rigtig meget) - og skal porte være "closed" eller "stealth" på ydersiden. Forskellen er, og en portscanner får at vide, at porten er lukket - eller at den ikke eksisterer?

har lige kigget ... ip'en på eth1 er 192.168.0.1/24

en udp-port er ligeså usikker som en tcp (i teorien). Nu kommer vi ud i noget basalt netværks protokol, men måden tcp og udp arbejder på er meget forskellige. Tcp er en "snakke frem og tilbage" protokol, hvorimod udp er mere en "send et spørgsmål og håb på et svar - engang" (det var en meget simpel udlægning).

ja, og derfor er nettet 192.168.0.0/24 = netværk 192.168.0.0, subnet mask 255.255.255.0 = alle adresser på det pågældende net skal ligge imellem 192.168.0.1 og 192.168.0.254.

ip'en er sat til 192.168.0.1 og sub-maske til 255.255.255.0 har lige kigget i det grafiske "netværks konfigurations...."

portene skal være "stealth"

filen som jeg hentede den ser således ud:
INTERNAL_LAN="192.168.0.0/24 192.168.1.0/24"
MASQ_LAN="192.168.0.0/24 192.168.1.0/24"
så jeg skal altså ikke rette noget

ok.. ved udp bruges til streaming...

godt:
DROP="TREJECT"

Er der ip-adresser, som du ikke vil snakke med OVERHOVEDET på internettet?
Er der ip-adresser fra dit lokalnet, som ikke må komme i kontakt med noget på internettet?

Svar er sikkert nej?

Jo, for der står både 192.168.0.0 og 192.168.1.0

svaret er nej.... skal vi ikke have skrevet noget i SNAT_LAN="" - der skal ved stå eth0??

nej, den bruges hvis du har flere ip-adresser på ydersiden, og en given adresse skal sendes til en bestemt adresse på indersiden (f.eks. direkte til din XP) - og det er IKKE portforwaring endnu.

Er der porte fra ydersiden, som skal sendes direkte ind på dit lokalnet. Det kunne f.eks. være, at du har en web-server på din XP - så hvis jeg forbinder mig til web på din linux, så skal jeg sendes videre til XP?

ok.... jeg har behov for standard opsætningen... men gider bare ikke kunne pinges...

hov.. ikke at det har sammenhæng det det vi snakker om nu men... ja, siger tingene når jeg kommer i tanke om det :-)

ok - vi fortsætter:
DHCP_SERVER="TRUE"
BAD_ICMP="0 5 9 10 15 16 17 18"
ENABLE="Y"

nej.. min xp maskine er og skal forblive "dum" den er ikke fast.. flyttes rundt omkring (er en bærebar). Det er linux maskinen der skal alt det sjove... den skal lave al arbejdet her i huset ;-)

og så er scriptet færdigt. Gem filen og i kommando prompt:

cd /root
chmod 750 rc.firewall
./rc.firewall

Hvis det nu går galt, så mister du forbindelsen til internettet.

siger vi true her pga min interne dhcp server?
og skal 8 11 ikke tilføjes hvis jeg ikke vil have folk kan pinge?

jeg satser på det går godt. i kommando prompt:

service iptables save

jooeee, men vi løser det andetsteds alligevel, så det gør ingen forskel.

Tilret /etc/sysctl.conf:

# Controls IP packet forwarding
net.ipv4.ip_forward = 1

# Controls source route verification
net.ipv4.conf.default.rp_filter = 1

# Controls the System Request debugging functionality of the kernel
kernel.sysrq = 0

# Controls whether core dumps will append the PID to the core filename.
# Useful for debugging multi-threaded applications.
kernel.core_uses_pid = 1

# Disable ping
net.ipv4.icmp_echo_ignore_all = 1
# Enables DoS syn cookies
net.ipv4.tcp_syncookies = 1

indrømmer jeg har vidst nok lavet noget lort i forbindelse med den opsætning jeg har nu.. skal jeg prøve at rette det tilbage? jeg skriver følgende i filen /etc/rc.d/rc.local: sh /etc/rc.d/rc.firewall

jeg har ikke gjort noget endnu... vil lige have et svar på det jeg er "kommet" til at tilføje

Fjern alt omkring firewall i /etc/rc.local - og indsæt følgende i stedet for:

# modules for active ftp/firewall
/sbin/insmod ip_nat_ftp
/sbin/insmod ip_conntrack_ftp

ok.. nu er de tre linier indsat... skal jeg så prøve at skrive filen iptables og save og start?

du løber lidt for hurtigt nu... du er næsten ved at tabe mig....

har du afviklet:

cd /root
chmod 750 rc.firewall
./rc.firewall
service iptables save
service iptables restart

hov... har du forstået mig således at der skal skal 21 i TCP_ALLOW??

nej... gør det nu

det har ingen betydning med port 21, eftersom du ikke har installeret en ftp-server.

jeg tilføjede 21 og har genstartet... det virker hvis du ser dette :-)

det gør jeg - har du tilrettet /etc/sysctl.conf?

et udklip... har dette noget at sige i forbindelse med load:
LREJECT TREJECT iptables: No chain/target/match b
y that name
iptables: No chain/target/match by that name

nope... synes du holder mig til nu :-)

Check hvad DROP står til - skal stå til TREJECT, men jeg tror ikke det betyder noget - vi checker med en scan efterfølgende.

done... gemt og lukket... men har ikke genstartet noget... tilføjede kun de sidste fire linier... det andet var ok

den står til TREJECT

kør:
sysctl -p

for en sikkerheds skyld kører du også:

cd /root
chmod 750 rc.firewall
./rc.firewall
service iptables save
service iptables restart

der er også en besked længere oppe:
Setting up drop chains chains: LDROP iptables: No
chain/target/match by that name
iptables: No chain/target/match by that name

den sidste linie er gentaget 4 gange hvilket den også var sidst

forresten, så gør "sysctl -p" bare det, at det du har skrevet i /etc/sysctl.conf bliver afviklet.

får du fortsat fejl fra rc.firewall her anden gang?

done.. men den skriver det samme snask igen... sikkert ingen betydning

kør lige en "iptables -L" - der skal gerne være en Chain ved navn TREJECT ?

dejligt du skriver hvad tingene gør... tror ikke du løber om hjørner med mig.. men... jeg kunne læse det på skærmen... kunne se den kørte filen... men lignede lidt et ? til at starte med ;-)

yea... den er god nok :-)
Skriver : Chain TREJECT (13 references)

Godt, hvis du har lyst, så kan du genstarte linux, men en security scan er nu det rigtige. Det er ikke utænkeligt, at port 21 svarer "closed", men ellers skal porte være stealth.

Læg ud med de 2 du selv har skrevet - tag en hurtig omgang først, så jeg får en umiddelbar melding:

http://www.auditmypc.com
http://scan.sygate.com

ok.. jeg genstarter.. kommer her tilbage... og umiddlebart derefter foretager scan + tjekker om jeg kan det har min xp jeg gerne vil kunne
genstarter....

tilbage... starter scan fra linux nu

ok - du kan også starte scan fra XP, eftersom det vil være din linux maskine ip som bliver scannet.

ok.. auditmypc far linux siger at port 22 er åben, men ikke port 21 trods den er under allow - det skyldes vel at pakkerne ikke er installeret

under windows siger auditmypc at.. ja, den kommer med det rigtige gæt på ip adressen... kan det ændres?

det skyldes helt sikkert, at ftp ikke kører. Ip-adressen vil altid være din linux maskine yderside. Når du sender noget ud fra dit lokalnet, så vil afsender adressen være din linux yderside - sådan er en NAT firewall altid.

192.168.0.? kan ikke sendes ud på internettet.

en quick scan i scan.sygate.com siger at 21 er closed, 22 er open og resten er blocked

du er en sand mester! vnc virker og jeg kan skrive \\computernavn... :-)

men... mit portscanner program i xp siger stadig at en hulens masse porte er åbne af udp... og tcp port 25?? hvorfor det?

når du scanner fra inderside, så er ALLE porte åbne, så derfor hjælper det ikke at scanne indefra - en firewall lukker på ydersiden, så det store grumme internet ikke angriber dig.

Konkret er port 25 åben, da du har startet en mailserver op.

en scan fra xp med auditmypc skriver gætter den adressen maskinen har... skriver den med rødt...

den adresse som maskinen har - ja, det er vel linux? Det gør det i hvert fald hos mig.

mailserver.... hm... vil det sige at jeg har en sådan kørende i linux? for det kan da ikke være windows.... vel? Troede ellers jeg vidste hvilke pakker jeg har med....

hos mig skriver den adressen på min faste ip.. og gætter adressen på inderside maskinen... tror jeg har haft det fjernet engang men... kan ikke huske hvad...  kan det passe det var i forbindelse med noget SNAT??

når du arbejder med sikkerhed, så er der en basal kommando du skal kende: "netstat -an" - den virker på de fleste platforme (både unix, linux og windows) - den viser hvilke adresser/porte en maskine lytter på.

Prøv kommandoen på linux - du har med garanti sendmail startet op (vil vise sig som localadress 0.0.0.0:25)

snat kan godt skabe det, men hos mig skriver den kun 1 ip-adresse - giv lige et link dertil, hvor du får 2 adresser vist?

helt præcist kommer auditmypc med følgende under privacy..."Real IP [Best guess] The IP address you're trying to hide is 192.168.0.110" adressen er skrevet med rødt

ja, bortset fra at det ikke er med rødt, så kommer den også sådan hos mig - det tror jeg faktisk ikke, at du kan fjerne (jeg kan i hvert fald ikke), da det er min browser, som sender oplysningen.

det er under linket "privacy".... det jeg lige skrev står på en linie under "spyware if found"

hm... mente bare det kunen lade sig gøre... der står jo netop det er noget man prøver at fjerne som tilsyneladende ikke er lykkedes. Mener jeg har sket noget med SNAT der manipulerer med IP'erne på indersiden således en maskine på indersiden sender til linuxmaskinen... og derfra får pakkerne linuxmaskinens ip.. således det liger der kun er en pc på nettet

Nej, jeg får faktisk ikke min adresse der alligevel - det er lidt længere nede. Formentlig fordi jeg kører igennem en transperent proxy

tror jeg har det fra følgende:
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source xx.xx.xx.xx
skrevet af fra et eksempel tidligere har eksperimenteret med...

SNAT er noget andet - det du beskriver er rent faktisk NAT (Network Address Translation) - SNAT er Internal networks/hosts to use static NAT

men det kræver en ekstra ip-adresse/ekstra net på ydersiden.

uha.. nu begynder du at snakke om noget andet jeg også skal have sat op en dag.

Jeg er rigtig glad for det vi nu har lavet - er sikker på det er gjort rigtigt, men hvis jeg skal sige lidt så er det... jeg kunne også det samme før.. Er der mere jeg umiddelbart kan få implimenteret i løsningen for udnytte den bedre.. ja.. hvad hedder sådan noget.

Ja, jeg vil klart foreslå en transparent firewall - du har godt størt glæde af den, hvis du har flere PC'ere på LAN, men det giver også en god, konstant download selvom du ikke finder placering af downloadede filer hurtigt - så er filen alligevel under download.

Ellers har ikke nogle gode forslag - det er ved at være for fremskreden på aftenen.

Jeg vil til at putte/sove så småt...

den fil jeg havde til at hedde iptables.sh Er det den der nu hedder rc.firewall??

i virkeligheden har dit problem formentlig været, at du har scannet fra lokalnet - og været bekymret for det (uden grund).

ja

jeg siger mange tak for hjælpen... det er jeg glad for! Det du snakker om.. er det en almindelig opsætning af squid? Kan det gøre det?

ikke helt almindelig, da den lige skal gøres transp. - og du skal ændre lidt i rc.firewall - således at al trafik imod port 80 i verden sendes igennem proxy.

Opret nyt spørgsmål i morgen - så kan jeg hurtig finde det som skal til - men jeg lukker ned nu

ok... vi snakkes... men tror jeg ved hvad du mener... prøver så småt... :-)

helt ok - der er 2 linier i rc.firewall som skal tilrettes - godnat

kommer nok med en tråd i morgen... men... godnat... :-)