Frage zu --syn auf HTTP Server

[feldmaus]

Hallo mal wieder,

ich setze einen Debian Lenny Server (Kernel 2.6.32.11) mit Apache (2.2.9-10+lenny7) und iptables-firewall (1.4.2-6) auf und habe zu --syn eine Frage. Meine relevanten iptables Regeln um einen Web-server zu betreiben sehen wie folgt aus:

Code: Alles auswählen

        echo -e "\nUnaufgeforderte und ungueltige Verbindungsaufbauten"
        iptables -N states              # Ungueltige und unaufgeforderte Pakete
        iptables -A INPUT -i "$DSLIF" -j states
        iptables -A FORWARD -i "$DSLIF" -j states
        iptables -A states -p icmp --icmp-type 8 -j RETURN # Sollen weiter verarbeitet werden, daher RETURN
        iptables -A states -p tcp -d "$DSLIP" -m state --state NEW -m limit --limit 2/s --limit-burst 2 --dport 21 -j RETURN #FTP-Server
        iptables -A states -p tcp -m state --state ESTABLISHED,RELATED --dport 21 -j RETURN #FTP-Server
        iptables -A states -p tcp -d "$DSLIP" -m state --state NEW -m limit --limit 2/s --limit-burst 2 --dport 80 -j RETURN #HTTP-Server
        iptables -A states -p tcp -m state --state ESTABLISHED,RELATED --dport 80 -j RETURN #HTTP-Server
        iptables -A states -p tcp -d "$DSLIP" -m state --state NEW --dport 443 -m limit --limit 2/s --limit-burst 2 -j RETURN #HTTPS-Server
        iptables -A states -p tcp -m state --state ESTABLISHED,RELATED --dport 443 -j RETURN #HTTPS-Server
        iptables -A states -m state --state NEW,INVALID -m limit --limit 3/s -j LOG --log-level info --log-prefix "Unerwuenschte Verbindung: "
        iptables -A states -m state --state NEW,INVALID -j DROP
        iptables -A states -j RETURN    # Ruecksprung, falls noch nicht verworfen

Ich habe eine eigene Chain namens state erstellt. Dort werden grundsätlich neue und invalide Pakete, die in die INPUT,FORWARD und OUPUT CHain gelangen, verworfen, allerdings neue Pakete für meinen Web-server mit iptables weiter verarbeitet in einer eigenen Chain namens dsl-in und dsl-out.

Danach werden die Pakete, die an meinen Server gehen sollen hier weiter verarbeitet:

Code: Alles auswählen

        echo -e "\nHTTP feld-server (80)"
        iptables -A dsl-in -p tcp --sport 1024:65535 --dport 80 -j ACCEPT
        iptables -A dsl-out -p tcp --dport 1024:65535 --sport 80 -j ACCEPT

        echo -e "\nHTTPS feld-server (443)"
        iptables -A dsl-in -p tcp --sport 1024:65535 --dport 443 -j ACCEPT
        iptables -A dsl-out -p tcp --dport 1024:65535 --sport 443 -j ACCEPT

An dieser Stelle darf ich kein ! --syn verwenden, da sonst gar keine neue Verbindung aufgebaut werden darf? Ist das korrekt?

Welche Regeln wendet Ihr an um Euren Server abzusichern?

Grüße Markus