Rozdíly
Zde můžete vidět rozdíly mezi vybranou verzí a aktuální verzí dané stránky.
| Obě strany předchozí revize Předchozí verze Následující verze | Předchozí verze | ||
|
linux:net:firewall [01.06.2007 19:39] mtalma |
linux:net:firewall [13.03.2020 18:43] (aktuální) |
||
|---|---|---|---|
| Řádek 6: | Řádek 6: | ||
| * firewall na základě scriptu [[http:// | * firewall na základě scriptu [[http:// | ||
| * jednotlivé díly na publikované na [[http:// | * jednotlivé díly na publikované na [[http:// | ||
| + | |||
| + | |||
| + | ===== Petříček ===== | ||
| <code bash> | <code bash> | ||
| #!/bin/sh | #!/bin/sh | ||
| Řádek 229: | Řádek 232: | ||
| </ | </ | ||
| + | |||
| + | ===== Dynamický blacklist ===== | ||
| + | *dynamický blacklist pro SSH spojení - http:// | ||
| + | <code bash> | ||
| + | ### Dynamic blacklist for SSH connection | ||
| + | # create properREJECT chain that does different rejects for tcp/udp | ||
| + | $IPTABLES -N properREJECT | ||
| + | $IPTABLES -A properREJECT -p tcp -j REJECT --reject-with tcp-reset | ||
| + | $IPTABLES -A properREJECT -j REJECT --reject-with icmp-port-unreachable | ||
| + | # | ||
| + | $IPTABLES -N blacklistdrop | ||
| + | $IPTABLES -A blacklistdrop -j LOG --log-prefix " | ||
| + | $IPTABLES -A blacklistdrop -m recent --name BLACKLIST --set -j DROP | ||
| + | # | ||
| + | # | ||
| + | # on external hosts, do rate limiting on incoming ssh packets, and keep a blacklist for 30 seconds | ||
| + | # this rule drops *any* packet if the IP is in the blacklist | ||
| + | # icmp ' | ||
| + | # they are generated by our own REJECT rule in the extern_out chain | ||
| + | $IPTABLES -A extern_in -m recent --name BLACKLIST --update --seconds 120 -j DROP | ||
| + | # | ||
| + | # all *established* ssh connections simply continue | ||
| + | $IPTABLES -A extern_in | ||
| + | # | ||
| + | # *new* ssh connections are all put into a list ' | ||
| + | # we send the package to chain ' | ||
| + | $IPTABLES -A extern_in | ||
| + | # | ||
| + | # if we have seen less then 3 such packets in the last 30 seconds we accept | ||
| + | $IPTABLES -A extern_in | ||
| + | # | ||
| + | # if the destination address is in the blacklist, we REJECT *any* packet | ||
| + | $IPTABLES -A extern_out -m recent --name BLACKLIST --rdest --rcheck --seconds 30 -j properREJECT | ||
| + | # | ||
| + | # outgoing we accept all ssh traffic, with connection tracking | ||
| + | $IPTABLES -A extern_out -p tcp --sport 22 -m state --state ESTABLISHED, | ||
| + | </ | ||
| ===== Odkazy ===== | ===== Odkazy ===== | ||
| Řádek 238: | Řádek 278: | ||
| * http:// | * http:// | ||
| - | ====== Firewal pro CENTOS ====== | + | |
| + | |||
| + | ===== / | ||
| < | < | ||
| *filter | *filter | ||
| Řádek 279: | Řádek 321: | ||
| -A INPUT -i eth0 -p icmp --icmp-type echo-request -j ACCEPT | -A INPUT -i eth0 -p icmp --icmp-type echo-request -j ACCEPT | ||
| - | ### Pravidla | + | ## --- Sluzby |
| + | # FTP | ||
| -A INPUT -i eth0 -p tcp --dport 21 -j ACCEPT | -A INPUT -i eth0 -p tcp --dport 21 -j ACCEPT | ||
| # passivni prenos pro FTP | # passivni prenos pro FTP | ||
| Řádek 286: | Řádek 329: | ||
| -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT | -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT | ||
| - | ### Omezeny pristup na sluzby | + | ## --- Omezeny pristup na sluzby |
| - | ## | + | |
| # Datron DMZ | # Datron DMZ | ||
| -A INPUT -s 212.158.133.128/ | -A INPUT -s 212.158.133.128/ | ||
| Řádek 294: | Řádek 336: | ||
| # z domova | # z domova | ||
| -A INPUT -s 86.63.200.73 -p tcp --dport 22 -j ACCEPT | -A INPUT -s 86.63.200.73 -p tcp --dport 22 -j ACCEPT | ||
| + | |||
| # Broadcasty na lokalnim rozhrani jsou take nase | # Broadcasty na lokalnim rozhrani jsou take nase | ||
| - | -A INPUT -i eth1 -d 10.10.255.255 -j ACCEPT | + | #-A INPUT -i eth1 -d 10.10.255.255 -j ACCEPT |
| # Stejne jako pakety z lokalni site, jsou-li urceny pro nas | # Stejne jako pakety z lokalni site, jsou-li urceny pro nas | ||
| - | -A INPUT -i eth1 -d 10.10.30.23 -j ACCEPT | + | #-A INPUT -i eth1 -d 10.10.30.23 -j ACCEPT |
| # MS klienti maji chybu v implementaci DHCP - nechceme DHCP - dropujeme | # MS klienti maji chybu v implementaci DHCP - nechceme DHCP - dropujeme | ||
| Řádek 307: | Řádek 350: | ||
| # Ostatni pakety mimo nasi DMZ pred zahozenim logujeme | # Ostatni pakety mimo nasi DMZ pred zahozenim logujeme | ||
| -A INPUT -s ! 212.158.133.128/ | -A INPUT -s ! 212.158.133.128/ | ||
| + | |||
| + | |||
| + | |||
| ###################################################################### | ###################################################################### | ||
| # Retezec OUTPUT | # Retezec OUTPUT | ||
| # | # | ||
| - | |||
| # TOS flagy slouzi k optimalizaci datovych cest | # TOS flagy slouzi k optimalizaci datovych cest | ||
| Řádek 326: | Řádek 371: | ||
| -A OUTPUT -s 10.10.30.23 | -A OUTPUT -s 10.10.30.23 | ||
| - | # Povolime DHCP broadcasty na LAN rozhrani | + | ## --- Povolime DHCP broadcasty na LAN rozhrani |
| #-A OUTPUT -o eth1 -p UDP --dport 68 --sport 67 -j ACCEPT | #-A OUTPUT -o eth1 -p UDP --dport 68 --sport 67 -j ACCEPT | ||
