🚀 go-pugleaf

Sander wrote:

> Hi, ik ben vandaag eens begonnen om mijn firewall te verbeteren. Nu ben ik een
> heel eind, alleen heb ik nog een paar korte vraagjes.
> Na mijn idee is het het belangrijkste om alle niet noodzakelijke services zoals
> die in de /etc/inetd.conf staan dicht te zetten (niet te laten draaien). Ook is
> het het belangrijkste om tot en met port 1023 te securen (Opmerkingen altijd
> welkom). Maar nu heb ik een paar vraagjes, m.b.t. het dichtzetten van 0-1023
> tcp/udp voor alles komende van de externe interface (ppp0). Ik draai een aantal
> services in deze poorten range zoals WWW en SMTP. Deze *moeten* dus voor ppp0
> open staan. Hoe is het dus het beste om alles tot en met 1023 (tcp/udp) dicht
> te zetten *behalve* 80 tcp en 25 tcp? Mijn huidige oplossing is als volgt :
>
> ANY="any/0"
> EXTERNAL_INTERFACE="ppp0"
> PRIVPORTS_A="0:24"
> PRIVPORTS_B="26:79"
> PRIVPORTS_C="81:1023"
>
> ipchains -A input -j DENY -p tcp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_A
> ipchains -A input -j DENY -p udp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_A
> ipchains -A input -j DENY -p tcp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_B
> ipchains -A input -j DENY -p udp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_B
> ipchains -A input -j DENY -p tcp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_C
> ipchains -A input -j DENY -p udp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS_C
>
> Tevens is er een mogelijkheid om beide protocollen (tcp/udp) in een regel te
> laten DENY'en? (nb. -p ! ICMP helpt niet)
>
> Ik heb geprobeert het als volgt op te lossen :
>
> PRIVPORTS="0:1023"
>
> ipchains -A input -j DENY -p tcp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS
> ipchains -A input -j DENY -p udp -i $EXTERNAL_INTERFACE -d $ANY $PRIVPORTS
>
> en als volgt....
>
> ipchains -A input -j ACCEPT -p tcp -i $EXTERNAL_INTERFACE -d $ANY www
> ipchains -A input -j ACCEPT -p tcp -i $EXTERNAL_INTERFACE -d $ANY smtp
>
> Dit schijnt niet te werken, of maakt het nog uit *wanneer* je het aanroupt in je
> scriptje?

Inderdaad: de volgorde is van belang. De firewall zoekt vanaf 'boven' (de
als eerste gespecificeerde rules), naar 'onder'. Die ACCEPT rules moeten
dus boven de DENY rules staan.


>
> Hopelijk heeft U een antwoord voor mij :-)

Hi, ik ben nog een gedeelte van mijn vraag vergeten te stellen, eentje die wel
vaker gesteld is maar die toch naar mijn mening niet echt goed is behandeld.
Het gaat over mogelijk afweer tegen ICMP attacks, zoals bijv. een pingflood
(ping -f optie). Wat is nu de beste methode om met ipchains dergelijk D.O.S.
aanvallen tegen te gaan, zonder alle ICMP te moeten DENY'en.

<KNIP>

#  0: Echo_Reply
#  3: Dest_Unreachable, Network_Unavailable, Service_Unavailable, etc.
#  4: Source_Quench
#  5: Redirect
#  8: Echo_Request
# 11: Time_Exceeded
# 12: Parameter_Problem

    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 0 -d $IPADDR  -j ACCEPT
    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 3 -d $IPADDR  -j ACCEPT
    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 4 -d $IPADDR  -j ACCEPT
    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 11 -d $IPADDR  -j ACCEPT
    ipchains -A input  -p icmp -i $EXTERNAL_INTERFACE \
             -s $ANYWHERE 12 -d $IPADDR  -j ACCEPT


    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 3 -d $ANYWHERE -j ACCEPT
    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 4 -d $ANYWHERE -j ACCEPT
    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 8 -d $ANYWHERE -j ACCEPT
    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 12 -d $ANYWHERE -j ACCEPT

    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 0 -d $DHCP_SERVER -j ACCEPT
    ipchains -A output -p icmp -i $EXTERNAL_INTERFACE \
            -s $IPADDR 11 -d $DHCP_SERVER -j ACCEPT

</KNIP>

Ik neem aan dat de variabelen voor zich spreken. Dit is een voorbeeld om de
noodzakelijke ICMP te accepten. Nu heb ik ooit wel eens een stukje gezien die
ongeveer hetzelfde deed als dit stukje alleen daar een stuk beknopter in was.
eg. zonder gebruik van $IPADDR en $DHCP. (En dus naar mijn idee veiliger met
een dynamisch IP nummer). Ik hoop dat iemand mij (ons?) een antwoord kan geven,
want volgens mij lopen meerdere mensen met deze vraag rond.

Hartelijk dank voor uw aandacht

Sander

On Tue, 15 Jun 1999, Sander wrote:

 > Wat is nu de beste methode om met ipchains dergelijk D.O.S.
 > aanvallen tegen te gaan, zonder alle ICMP te moeten DENY'en.
Sja, dat is een manier van het firewall opzetten.

Ikzelf deny alle input en laat slechts een beperkt aantal datastromen
door. Ditzelfde geldt dus ook voor ICMP; slechts een bescheiden aantal
laat ik door en thats is.

Ik denk dat het in elk opzicht veiliger is om niet enkel dat gedeelte af
te schermen wat je niet wilt. Want als men een nieuw gat in de beveiliging
vind dan ben je wel kwetsbaar tot het moment waarop bekend is hoe je je
firewall specifiek voor dat probleem kan dichten.

Als voorbeeld kan ik al de d.o.s aanval noemen. Mensen met een goed
opgezette (lees; volledig afgeschermde) firewall hoeven zich hier geen
zorgen over te maken.

-- 
Groetjes, Peter

Peter Looyenga <peter@catslair.demon.nl> writes:

>Als voorbeeld kan ik al de d.o.s aanval noemen. Mensen met een goed
>opgezette (lees; volledig afgeschermde) firewall hoeven zich hier geen
>zorgen over te maken.

D.O.S , Denial of Service ?
Bij een flooding kun je eigenlijk niks doen, hooguit je replies
tegen houden.
Voor de rest zit je lijn gewoon dicht met al die pakketten.
Je kunt dan alleen je uplink bellen en vragen of die een filter
zet.

Boudewijn
-- 
+--------------------------------------------------------------+
|Boudewijn Visser        | E-mail:visser@ph.tn.tudelft.nl      |           
| -finger for PGP-keys.- | http://www.ph.tn.tudelft.nl/~visser |
+-- my own opinions etc ---------------------------------------+

>> Dit schijnt niet te werken, of maakt het nog uit *wanneer* je het
aanroupt in je
>> scriptje?
>
>Inderdaad: de volgorde is van belang. De firewall zoekt vanaf 'boven' (de
>als eerste gespecificeerde rules), naar 'onder'. Die ACCEPT rules moeten
>dus boven de DENY rules staan.


En dat staat toch ECHT in de howto.