🚀 go-pugleaf

Sander wrote:

> Hi, ik ben vandaag eens begonnen om mijn firewall te verbeteren. Nu ben ik een
> heel eind, alleen heb ik nog een paar korte vraagjes.
> Na mijn idee is het het belangrijkste om alle niet noodzakelijke services zoals
> die in de /etc/inetd.conf staan dicht te zetten (niet te laten draaien). Ook is
> het het belangrijkste om tot en met port 1023 te securen (Opmerkingen altijd
> welkom). Maar nu heb ik een paar vraagjes, m.b.t. het dichtzetten van 0-1023
> tcp/udp voor alles komende van de externe interface (ppp0). Ik draai een aantal
> services in deze poorten range zoals WWW en SMTP. Deze *moeten* dus voor ppp0
> open staan. Hoe is het dus het beste om alles tot en met 1023 (tcp/udp) dicht
> te zetten *behalve* 80 tcp en 25 tcp? Mijn huidige oplossing is als volgt :
>
> ANY="any/0"
> EXTERNAL_INTERFACE="ppp0"
> PRIVPORTS_A="0:24"
> PRIVPORTS_B="26:79"
> PRIVPORTS_C="81:1023"
>
> ipchains -A input -j DENY -p tcp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_A
> ipchains -A input -j DENY -p udp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_A
> ipchains -A input -j DENY -p tcp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_B
> ipchains -A input -j DENY -p udp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_B
> ipchains -A input -j DENY -p tcp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_C
> ipchains -A input -j DENY -p udp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_C
>
> Tevens is er een mogelijkheid om beide protocollen (tcp/udp) in een regel te
> laten DENY'en? (nb. -p ! ICMP helpt niet)
>
> Ik heb geprobeert het als volgt op te lossen :
>
> PRIVPORTS="0:1023"
>
> ipchains -A input -j DENY -p tcp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS
> ipchains -A input -j DENY -p udp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS
>
> en als volgt....
>
> ipchains -A input -j ACCEPT -p tcp -i $EXTERNAL_INTERFACE -d $ANY www
> ipchains -A input -j ACCEPT -p tcp -i $EXTERNAL_INTERFACE -d $ANY smtp
>
> Dit schijnt niet te werken, of maakt het nog uit *wanneer* je het aanroupt in je
> scriptje?

Inderdaad: de volgorde is van belang. De firewall zoekt vanaf 'boven' (de
als eerste gespecificeerde rules), naar 'onder'. Die ACCEPT rules moeten
dus boven de DENY rules staan.


>
> Hopelijk heeft U een antwoord voor mij :-)