iptables+nmblookup
Доброго времени суток.
Настроил iptables (спасибо всем, кто помог), но осталась парочка вопросов...
Набор правил такой:
# iptables-save
# Generated by iptables-save v1.2.8 on Mon Nov 22 15:59:14 2004
*filter
:INPUT DROP [364:19906]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -s 127.0.0.1 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --dport 137:139 -j ACCEPT
-A INPUT -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 137 -j ACCEPT
-A INPUT -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -p udp -m udp --sport 53 -j ACCEPT
-A OUTPUT -s 127.0.0.1 -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 2525 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 465 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 110 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 995 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 137:139 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 137 -j ACCEPT
COMMIT
# Completed on Mon Nov 22 15:59:14 2004
На данный момент вроде бы все работает, кроме определения собственного хоста...
Смысл такой:
$ nmblookup svin
querying svin on 192.168.255.255
192.168.2.39 svin<00>
$ nmblookup rygoravich
querying rygoravich on 192.168.255.255
name_query failed to find name rygoravich
$
Где rygoravich - имя моего компа. Проблемой это является по крайней мере в отношении
обмена popup-сообщениями - я привык, что копия любого сообщения, которое я пишу
через linpopup приходила мне - для истории. А при такой настройке iptables я
могу послать сообщение любой машине в сети, кроме своей собственной:
$ smbclient -M rygoravich
added interface ip=192.168.2.115 bcast=192.168.255.255 nmask=255.255.0.0
Cannot resolve name rygoravich#0x3
$
Как можно решить эту проблему?
И еще хочется прояснить такие вопросы:
1. Безопасно ли использовать правило
-A INPUT -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 137 -j ACCEPT
без него nmbloookup вообще не работает, но теоретически-то можно с порта 137
послать что угодно...
2. То же самое относительно правила
-A INPUT -p udp -m udp --sport 53 -j ACCEPT
без него не получается работать с внешними dns-серверами.
3. Насколько вообще целесообразно контролировать исходящие пакеты, не проще ли
разрешить их все?
4. Все ли icmp-пакеты нужно разрешать или частично можно запретить?
Здравствуйте, Rygoravich.
ли
Вот тут и пришли к тому, что правильнее было бы настроить службы -
тогда и запрещать ничего (или практически ничего) не нужно было бы.
А с ICMP можно на уровне /proc поработать - запретить echo request и
прочее, если нужно