da ich mich gerade neu mit Debian beschäftige und vorher so gut wie keine Linux-Erfahrungen gesammelt habe, würd ich gern mal eure Meinung zu meinen Fragen / Problemen hören.
Ich habe mir ein kleines Script gemacht, welches beim Systemstart ein paar Regeln für ip_tables im Kernel hinterlegt.
Code: Alles auswählen
#! /bin/sh
#
# Grundkonfiguration des Paketfilters mittels ip_tables
#
iptables -N block
# Pings werden vom Rechner 196er-Netz geblockt, Ausnahme eigner Arbeitsplatz
# iptables -A block -m limit --limit 10/s -j LOG --log-level warning --log-prefix "IP-TABLE-LOG"
iptables -A block -s ! 196.57.1.93 -p icmp -j DROP
# alles andere wird verworfen
#iptables -A block -j DROP
# Von INPUT und FORWARD Ketten zu Kette "block" springen
iptables -A INPUT -p tcp --sport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --sport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -j DROP
iptables -A INPUT -j block
iptables -A OUTPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -j DROP
iptables -A FORWARD -j block
Ziel sollte sein, das ich a) einen FTP-Server auf dem Rechern laufen lassen kann und b) im Internet surfen. a funktioniert b konnte ich noch nicht testen.
Den Ping erlaube ich um von meinem Arbeitsplatz überprüfen zu können ob der Linux-Rechner noch lebt
Meine erste Frage ist jetzt, ob das soweit in Ordnung ist, oder ob ihr irgendwas anders machen würdet. Meine 2. Frage ist ob ich das Logging vom Paketfilter irgendwie umbiegen kann, damit es nicht im syslog erscheint.
Ich habe vor und nach dem einspielen der Regeln mit nmap einen Portscan gemacht und mir das Ergebnis in ein Logfile schreiben lassen. Leider kann ich mit dem Ergebnis nur begrenzt was anfangen und hab dazu noch ein paar Fragen.
Hier meine Logs..
Code: Alles auswählen
# nmap 3.81 scan initiated Wed May 17 14:00:11 2006 as: nmap -sR -P0 -O -v -f -oN /var/log/nmap.log 196.57.1.91
Interesting ports on schwarzstab.ARBEITSGRUPPE (196.57.1.91):
(The 1656 ports scanned but not shown below are in state: closed)
PORT STATE SERVICE VERSION
21/tcp open ftp
22/tcp open ssh
111/tcp open rpcbind (rpcbind V2) 2 (rpc #100000)
113/tcp open auth
606/tcp open status (status V1) 1 (rpc #100024)
631/tcp open ipp
10000/tcp open snet-sensor-mgmt
Device type: general purpose
Running: Linux 2.4.X|2.5.X|2.6.X
OS details: Linux 2.5.25 - 2.6.3 or Gentoo 1.2 Linux 2.4.19 rc1-rc7)
Uptime 0.016 days (since Wed May 17 13:37:06 2006)
TCP Sequence Prediction: Class=random positive increments
Difficulty=5187925 (Good luck!)
IPID Sequence Generation: All zeros
# Nmap run completed at Wed May 17 14:00:21 2006 -- 1 IP address (1 host up) scanned in 9.831 seconds
Code: Alles auswählen
# nmap 3.81 scan initiated Wed May 17 13:52:41 2006 as: nmap -sR -P0 -O -v -f -oN /var/log/nmap.log 196.57.1.91
Warning: OS detection will be MUCH less reliable because we did not find at least 1 open and 1 closed TCP port
All 1663 scanned ports on schwarzstab.ARBEITSGRUPPE (196.57.1.91) are: filtered
Too many fingerprints match this host to give specific OS details
TCP/IP fingerprint:
SInfo(V=3.81%P=i686-pc-linux-gnu%D=5/17%Tm=446B1000%O=-1%C=-1)
T5(Resp=N)
T6(Resp=N)
T7(Resp=N)
PU(Resp=N)
# Nmap run completed at Wed May 17 13:58:56 2006 -- 1 IP address (1 host up) scanned in 375.748 seconds
TCP Sequence Prediction: Class=random positive increments
Difficulty=5187925 (Good luck!)
IPID Sequence Generation: All zeros
und ist das 2. Log eher gut oder eher schlecht, nachdem ich meine Regeln eingestellt habe?
Gibt es noch Alternativen oder Ergänzungen zu iptables?
Viele Fragen auf einmal, aber ich hoffe ich bekomme ein paar Antworten.
Vielen Dank schonmal vorab
MfG
Markus
