Re: iptables+nmblookup
Rygoravich wrote:
> Доброго времени суток.
>
> Настроил iptables (спасибо всем, кто помог), но осталась парочка вопросов...
>
> Набор правил такой:
> # iptables-save
> # Generated by iptables-save v1.2.8 on Mon Nov 22 15:59:14 2004
> *filter
> :INPUT DROP [364:19906]
> :FORWARD DROP [0:0]
> :OUTPUT DROP [0:0]
> -A INPUT -s 127.0.0.1 -j ACCEPT
> -A INPUT -p icmp -j ACCEPT
> -A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
> -A INPUT -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --dport 137:139 -j ACCEPT
> -A INPUT -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 137 -j ACCEPT
> -A INPUT -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --dport 80 -j ACCEPT
> -A INPUT -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --dport 21 -j ACCEPT
> -A INPUT -p udp -m udp --sport 53 -j ACCEPT
> -A OUTPUT -s 127.0.0.1 -j ACCEPT
> -A OUTPUT -p icmp -j ACCEPT
> -A OUTPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
> -A OUTPUT -p tcp -m tcp --dport 21 -j ACCEPT
> -A OUTPUT -p tcp -m tcp --dport 2525 -j ACCEPT
> -A OUTPUT -p tcp -m tcp --dport 465 -j ACCEPT
> -A OUTPUT -p tcp -m tcp --dport 110 -j ACCEPT
> -A OUTPUT -p tcp -m tcp --dport 995 -j ACCEPT
> -A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
> -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
> -A OUTPUT -p tcp -m tcp --dport 137:139 -j ACCEPT
> -A OUTPUT -p udp -m udp --dport 137 -j ACCEPT
> COMMIT
> # Completed on Mon Nov 22 15:59:14 2004
>
> На данный момент вроде бы все работает, кроме определения собственного хоста...
> Смысл такой:
>
> $ nmblookup svin
> querying svin on 192.168.255.255
> 192.168.2.39 svin<00>
> $ nmblookup rygoravich
> querying rygoravich on 192.168.255.255
> name_query failed to find name rygoravich
> $
А без файервола такое дело работает?
Как вариант: может следует прописать свой хост в /etc/hosts?
>
> И еще хочется прояснить такие вопросы:
>
> 1. Безопасно ли использовать правило
> -A INPUT -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 137 -j ACCEPT
Если сервис на этом порту не дырявый то безопасно.
Мой опты показывает, что целенаправленной атакой при хорошем можно
устроить отказ в обслуживании любого udp сервиса.
>
> 2. То же самое относительно правила
> -A INPUT -p udp -m udp --sport 53 -j ACCEPT
> без него не получается работать с внешними dns-серверами.
53 - порт dns servera его придется открыть - без него никак
>
> 3. Насколько вообще целесообразно контролировать исходящие пакеты, не проще
ли
> разрешить их все?
Для домашней машины можно и все разрешить, для сервера лучше контролировать.
>
> 4. Все ли icmp-пакеты нужно разрешать или частично можно запретить?
>
Мой файрвол:
$IPTABLES -A icmp_pck -p ICMP --icmp-type 3 -j ACCEPT
$IPTABLES -A icmp_pck -p ICMP --icmp-type 0 -j ACCEPT
$IPTABLES -A icmp_pck -p ICMP --icmp-type 11 -j ACCEPT
$IPTABLES -A icmp_pck -m limit --limit 2/minute --limit-burst 6 -j LOG
--log-prefix "ICMP packet died: "
$IPTABLES -A icmp_pck -p ICMP -j DROP
Andrew Gusev
-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 13762; Возраст листа: 486; Участников: 1288
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/269302
-*Информационный канал Subscribe.Ru
Подписан адрес:
Код этой рассылки: comp.soft.linux.discuss
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Отписаться: mailto:comp.soft.linux.discuss--unsub@subscribe.ru?subject=comp.soft.linux.discuss
http://subscribe.ru/ http://subscribe.ru/feedback
