Problemi con iptables

Burroughs · Messaggio da **Burroughs** » lun 21 mar 2005, 18:22

Salve a tutti!
 Uso una Slack 10.0 (kernel 2.6.7) in dual-boot con Windows XP.
 Qualche giorno fa ho cominciato a configurarmi un firewallino software con iptables.
 Bando alle ciance, queste sono le mie impostazioni:
 
 # Impostazioni di default
 iptables -P INPUT DROP
 iptables -P OUTPUT ACCEPT
 
 # Apertura delle porte SSH e DNS
 iptables -A INPUT -p tcp --dport 22 -j ACCEPT
 iptables -A INPUT -p tcp --dport 53 -j ACCEPT
 
 # Regole anti-spoofing
 iptables -A INPUT -s 10.0.0.0/8 -i eth2 -j DROP
 iptables -A INPUT -s 172.16.0.0/12 -i eth2 -j DROP
 iptables -A INPUT -s 192.168.1.0/24 -i eth2 -j DROP
 
 #Eccezioni
 iptables -A INPUT -s 192.168.1.2/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.11/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.10/24 -i eth2 -j ACCEPT
 iptables -A INPUT -s 192.168.1.55/24 -i eth2 -j ACCEPT
 
 # Apertura di tutte le porte TCP e UDP non-note
 iptables -A INPUT -p tcp -i eth2 --dport 1024:65535 -j ACCEPT
 iptables -A INPUT -p udp -i eth2 --dport 1024:65535 -j ACCEPT
 
 # Regola per impedire il PING dall´esterno
 iptables -A INPUT -p icmp -i eth2 -j DROP
 
 # Regole di stateful inspection
 iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
 
 In sintesi, utilizzo un´interfaccia di rete wi-fi (eth2), ed ho scelto di bloccare tutto il traffico proveniente dall´esterno (con l´eccezione della porta 22 e della 53), abilitando invece il traffico verso Internet.
 Il resto, poi, lo vedete da voi.
 Tutto sembra funzionare bene; riscontro però due problemi:
 
 1) Quando cerco di emulare, tramite Wine, un software fisicamente presente sulla partizione FAT32 di Windows, iptables mi blocca la connessione e non riesco a capire il perché;
 2) Quando con OpenOffice cerco di connettermi al mio database mySQL, tramite driver JDBC e porta 3306, ancora una volta iptables mi blocca la connessione.
 
 Inutile dire, in un caso e nell´altro, che, cancellando tutte le regolette più sopra elencate, non ho più il minimo problema.
 
 Qualche idea?
 
 Burroughs.

el_machico · Messaggio da **el_machico** » lun 21 mar 2005, 19:06

così ad occhio e croce mi sembrerebbe tutto a posto
 prova a togliere la sezione anti-spoofing

strummer · Messaggio da **strummer** » mar 22 mar 2005, 0:03

prova ad abilitare il traffico anke sull´interfaccia di loopback (lo), che con la prima regola di default, iptables -P INPUT DROP, viene bloccato indistintamente su tutti i protocolli, tutte le porte e tutti gli ip. Con le regole successive che hai messo abiliti solo per l´eth2, forse, ma è una supposizione, quei processi che ti vengano bloccati lavorano in locale sull´indirizzo
 127.0.0.1 che invece risulta bloccato sulla catena di INPUT.

strummer · Messaggio da **strummer** » mar 22 mar 2005, 19:01

prova anke a mettere questa regola: che fa accettare i pacchetti in entrata che appartengono ad una connessione già esistente.
 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 ciao
 [ Questo Messaggio è stato Modificato da: strummer il 22-03-2005 19:01 ]

gerardo_sl · Messaggio da **gerardo_sl** » mer 23 mar 2005, 3:16

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE>
 22-03-2005 alle ore 00:03, strummer :
 prova ad abilitare il traffico anke sull´interfaccia di loopback (lo), che con la prima regola di default, iptables -P INPUT DROP, viene bloccato indistintamente su tutti i protocolli, tutte le porte e tutti gli ip. Con le regole successive che hai messo abiliti solo per l´eth2, forse, ma è una supposizione, quei processi che ti vengano bloccati lavorano in locale sull´indirizzo
 127.0.0.1 che invece risulta bloccato sulla catena di INPUT. 
 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE>
 
 Strummer ha ragione. Idipendentemente dallo specifico problema, la prima regola del firewall deve essere il traffico illimitato nel loopback: in caso di errore potresti avere il blocco totale dei pacchetti.

Burroughs · Messaggio da **Burroughs** » gio 24 mar 2005, 10:43

Sì, in effetti occorreva abilitare il traffico in entrata sull´interfaccia di loopback.

Grazie a tutti per l´aiuto!
 
 Burroughs.