iptables port sperren

[Faber38]

Hallo,
ich wollte nur mal nachfragen ob folgende Einstellung richtig ist..(bin mir unsicher)

Gegebenheit:
1x Linux-Server
3 Clients (2x Linux ,1x Windows )

ich möchte nun intern die ports TCP139 und 445 ermöglichen...
nach aussen hin natürlich blocken...

ist der Eintrag dafür im Server korrekt ?

Code: Alles auswählen

iptables -A FORWARD -p TCP -o ppp0 -s 192.168.10.0/24 --dport 139 -j DROP
iptables -A FORWARD -p TCP -o ppp0 -s 192.168.10.0/24 --dport 445 -j DROP

[Faber38]

warum bekomme ich mit iptraf
die ports
445 (Microsoft-DS SMB file sharing)
135 (Microsoft EPMAP)
139 (NetBIOS)
auf ppp0 angezeigt...??

sollten diese nicht nur auf die interne adresse pingen ?

[rendegast]

Ich würde es so lösen:

Code: Alles auswählen

iptables -t nat -i PREROUTING -p TCP -i ppp0 -m multiport --ports 135,137:139,445 -j DROP
iptables -t nat -i PREROUTING -p TCP -o ppp0 -m multiport --ports 135,137:139,445 -j DROP
iptables -t nat -i PREROUTING -p UDP -i ppp0 -m multiport --ports 135,137:139,445 -j DROP
iptables -t nat -i PREROUTING -p UDP -o ppp0 -m multiport --ports 135,137:139,445 -j DROP

so kann innen nicht nach außen und außen nicht nach innen.
EDIT EDIT sorry, gemeint ist natürlich '-I PREROUTING' (mit großem "i")

nat/PREROUTING -> FORWARD/(IN/OUT) -> nat/POSTROUTING, von beiden Richtungen aus.

die ports ... auf ppp0 angezeigt...??

Eventuell läßt Dein Provider diese Ports vom WWW zu Dir durch?
Im Normalfall sollte solcher Verkehr eigentlich geblockt werden.
Aber es müssen ja auch keine Netbios- bzw. RPC-Pakete sein.

[Faber38]

danke für deine Vorschläge...
habe sie mal eingebaut...

Code: Alles auswählen

iptables -t nat -I PREROUTING -p TCP -i ppp0 -m multiport --ports 20,21,37,123,135,137,139,445 -j DROP
iptables -t nat -I OUTPUT -p TCP -o ppp0 -m multiport --ports 20,21,37,123,135,137,139,445 -j DROP
iptables -t nat -I PREROUTING -p UDP -i ppp0 -m multiport --ports 20,21,37,123,135,137,139,445 -j DROP
iptables -t nat -I OUTPUT -p UDP -o ppp0 -m multiport --ports 20,21,37,123,135,137,139,445 -j DROP

Nun setze ich mich erst mal in Bewegung "URLAUB" ! .. man freu ich mich..
bis nächste Woche..

[Faber38]

nach einigen Versuchen bin ich nun auf diese Konstellation gekommen

• IPTABLES=/sbin/iptables
  
  $IPTABLES -t nat -I PREROUTING -p TCP -i ppp0 -m multiport --ports 20,21,37,123,135,137,139,445 -j DROP
  $IPTABLES -t nat -A OUTPUT -p TCP -o ppp0 -m multiport --ports 20,21,37,53,113,123,135,137,139,445,465,1080 -j DROP
  $IPTABLES -t nat -I PREROUTING -p UDP -i ppp0 -m multiport --ports 20,21,37,123,135,137,139,445 -j DROP
  $IPTABLES -t nat -A OUTPUT -p UDP -o ppp0 -m multiport --ports 20,21,37,123,135,137,139,445,465 -j DROP

ich wüsste aber trotzdem mal gerne warum diese Ports auf den ppp0 pingen...
durch iptraf kontrolliere ich zz die ppp0.