shorewall

rota · l33t Joined: 13 Aug 2003 Posts: 960

ciao a tutti ... è tutta la notte che sto provando shorewal

allora io o un macchina ...dovve eth0 va diretta a fastweb....

la macchina a solo una interfaccia di rete...

questa macchina devve fare da web server ( apache ....)

siccome all momento non o altre macchine a disposizione...mi tocca mettere anche il firewall sulla stessa macchina....
spero che me la lasciate andare (sapiamo tutti che è poco sicuro sta vonfigurazzione pero ...me tocca fare cosi ...tanto è il mio server beta cioè dovve ci faccio le provve ..... :wink:

)
allora io o impostato il file

rota · l33t Joined: 13 Aug 2003 Posts: 960

o fatto un casino.....

o editato il file /etc/shorewal/rules in questo modo

.:deadhead:. · Posted: Sat Mar 26, 2005 10:44 pm Post subject:

giusto per partire dalle cose semplici e funzionali dai un occhio qua http://www.xchris.net/index.php?page=Shorewall_1
_________________
Proudly member of the Gentoo Documentation Project: the Italian Conspiracy !

rota · l33t Joined: 13 Aug 2003 Posts: 960

gial letta...o seguito propio quella guida...

m...o resetato tutte le conf ...

come prima cosa o editato

ZONES

in questo modo ...

net Net Internet

soloche quando faccio partire shorewal mi dàquesto erorre....

Error: No appropriate chain for zone fw to zone net
Terminated

io o fastweb e il pc in questione sta colegato fisicamente afastweb senzza essere parte di una rete

avevo sbagliato a scrivere......nell file ZONES perche avevo fatto copia incolla e mi aveva creeato dei spazzi ....

adesso o seguito la guida pero niente mi blocca tutto ..... :cry:

arnor · Tux's lil' helper Joined: 01 Nov 2004 Posts: 147

ciao rota,

a mio avviso hai fatto un po' di casino con i file di shorewall. fai un reset e ricomincia dall'inizio tenendo presente:
1) creare la zona net (togliere il commento) /etc/shorewall/zones
2) andare in /etc/shorewall/policy e verificare che tutto quello che arriva dall'esterno (net) venga DROPPATO
3) aggiungere il concetto che da "fw" a "net" le connessioni sono accettate (io metto tutte solitamente)
3) modificare le rules aprendo le porte che interessano
4) shorewall check per verificare che le regole siano formalmente corette

ciao Lorenzo

ps. Purtroppo ora sono su win e non posso girarti i conf.

.:chrome:. · Posted: Sun Mar 27, 2005 8:39 pm Post subject:

uhm... secondo me è più semplice usare iptables, soprattutto in un caso come questo, in cui si ha da gestire una quantità ridicola di connessioni.
quello che non mi è chiaro, però, è perché tu voglia assolutamente mettere un firewall, se, come dici, questa è l'unica macchina di cui disponi:

rota · l33t Joined: 13 Aug 2003 Posts: 960

come perche ???

vabbe....

comunque..voglio imparare ad usare shorewall ...perche mi va...non cè un motivo serio.... :roll:

è mi sto imparando sia iptables che altri firewall tutto qui ...piu se ne sà meglio no???

linux è sicuro solo se lo rendi tale ..... :wink:

.:chrome:. · Posted: Sun Mar 27, 2005 9:07 pm Post subject:

gutter · Posted: Sun Mar 27, 2005 10:44 pm Post subject:

.:chrome:. · Posted: Sun Mar 27, 2005 11:21 pm Post subject:

quantumwire · Guru Joined: 15 Oct 2003 Posts: 403 Location: Lausanne

Ragazzi... io mi sono impallato molto prima ovvero non so quali moduli devo compilare nel kernel per Shorewall... :oops:

Chi mi puo' aiutare?
_________________
HOWTO 1: Spegnere il laptop!
HOWTO 2: Comprimere i DVDs!

.:chrome:. · Posted: Mon Mar 28, 2005 12:26 am Post subject:

rota · l33t Joined: 13 Aug 2003 Posts: 960

m....squsa allora io fino adesso non cio capito niente....di firewall

allora a che servve il firewall ??

come mi difendo dallo spoffing e atacchi simili ????

mi state dicendo che non o bisogno di firewall???

Ã¨ quando ne o bisogno ?????
:?:

e poi squsa ma se non uso il firewall come le chiudo le porte ???

sia per linux che per windows..... :roll:

io se ricordo bene il firewall servve per chidere le porte no???? :?:

m..pero mo che ci penso se io non attivo nessun servizzio ...automaticamente non apro nessuna porta.....

pero perche per windows diverso ?????

squste se parlo del nemico..solo che non ci sto capendo piu niente... :idea:

.:chrome:. · Posted: Mon Mar 28, 2005 8:14 am Post subject:

gutter · Posted: Mon Mar 28, 2005 8:15 am Post subject:

.:chrome:. · Posted: Mon Mar 28, 2005 8:24 am Post subject:

gutter · Posted: Mon Mar 28, 2005 8:31 am Post subject:

.:chrome:. · Posted: Mon Mar 28, 2005 8:41 am Post subject:

.:chrome:. · Posted: Mon Mar 28, 2005 8:56 am Post subject:

mouser · Veteran Joined: 10 Aug 2004 Posts: 1419 Location: Milano

Vedi, k.gothmog, io sono d'acordo con quanto detto da gutter.
Hai ragione per quanto riguarda il fatto che il firewall ti chiude delle porte che, effettivamente, sono gia' chiuse.
E' anche vero che, non mettendo il firewall per questo motivo, ogni volta che lanci un qualsiasi programma (che sia un client, un server, un demone, un'interfaccia grafica, un wm, un gioco..... qualsiasi cosa) dovreisti testare che effettivamente non ti viene aperto nulla.
E visto che la sicurezza non e' cosa con cui scherzare ultimamente, io, personalmente, preferisco "chiudere tutto a chiave e spendere 5 minuti in piu' quando devo aprire una porta che lasciarle tutte accostate per poi doverle controllare ogni 2 giorni".

Quindi, sicuramente e' una cosa soggettiva (si puo' preferire avere una cosa in meno da configurare e avere qualcosa di incerto che viceversa)..... io credo che su un server (e che deve rimanere sicuro) e' sempre meglio installare un firewall e inserire come prima cosa un blocco totale in entrate ed in uscita di tutte le porte; dopodiche' inizio ad aprire quello che mi serve!
Come dice gutter, la reale sicurezza non esiste, ma mettere qualcosa in piu' non puo' fare che bene!

Ovviamente tutto IMHO
Ciriciao
mouser :wink:

Taglia · Apprentice Joined: 05 Nov 2004 Posts: 244

Io ieri mi sono messo in testa di imparare a usare IPTABLES ... ma siccome con me gli approcci a forza bruta non funzionano ho pensato di installare Shorewall e poi vedere che regole impostava in iptables per realizzare quello che chiedevo. Tuttavia non ho ben capito una cosa. La mia rete è così disposta

Ho un router che fa da modem adsl e si connette ad internet. Poi ho una lan privata con 4 PC che si collegano ad internet via router. Al router è connesso anche un access point wireless ... per cui diciamo che ogni pc ha eth0 ed eth1 con cui si connette sia agli altri pc sia al router.

A questo punto leggendo le guide ho impostato i vari files di configurazione in questo modo (su uno dei PC collegati a questa rete, dato che ho diversi servizi aperti volevo fare un po di protezione assicurandomi che fossero raggiungibili solo dai PC della lan privata e non dall'esterno salvo eccezioni).

/etc/shorewall/interfaces

.:chrome:. · Posted: Mon Mar 28, 2005 10:10 am Post subject:

Taglia · Apprentice Joined: 05 Nov 2004 Posts: 244

iptables-save

.:chrome:. · Posted: Mon Mar 28, 2005 11:53 am Post subject:

allucinante! questo è quello che produce shorewall? in una parola è abominevole!!!
tutto quello che fa si poteva sostituire con una manciata di regole semplicissime da imparare. poi mi vengono a dire che shorewall è semplice e comodo...

allora... innanzitutto vedo delle regole di packet mangling. ne hai realmente bisogno? il packet mangling si usa solo su gateway ad alto traffico. fai i tuoi conti.
da un'occhiata rapidissima pare che il problema dia questo: hai messoa drop la politica di output (e fin qui può stare bene) e hai consentito l'uscita (chain fw2net) alle sole porte 80 e 53. che poi... anche qui è stato fatto un casino enorme. http usa sì la porta 80, ma in TCP, mentre tu hai messo sia TCP che UDP. il DNS, invece usa la porta 53, e fin qui ci siamo, ma usa UDP, mentre tu hai abilitato TCP.
l'errore più grosso che vedo a colpo d'occhio è quello
fai una cosa... scarica nel cesso shorewall e scrivi "iptables-restore < rules" dove rules è un file di regole fatto esattamente come l'output di iptables-save e contenente SOLO questo:

Taglia · Apprentice Joined: 05 Nov 2004 Posts: 244

Innanzitutto grazie per l'attenzione. Adesso sto uscendo (visite ai parenti rulez ahahah), però appena torno leggerò tutto approfinditamente. Unica cosa che non mi torna in quanto da te detto. eth0 e eth1 praticamente sono la stessa cosa! Solo che:

- eth0 è la lan ethernet usuale che si connette al router!
- eth1 è la scheda wlan , che si connette allo stesso router di cui sopra!

In pratica uso eth0 quando ho il cavo, eth1 quando non voglio attaccarmi con il cavo e preferisco usare l'access point. Ma a livello "logico" sono esattamente la stessa cosa.