PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Sicheres system auch mit IPchains


speedy_mk
07.11.01, 15:40
Wie bekomme ich mein system auch mit ipchains zu
so das ich nicht mehr so angegriffen werde
und wie kann ich dann immer noch battlecom nutzen gamespy und auch noch perfekt cs zocken und das punkbuster geht.

Ausserdem hab ich noch ein prob wenn jemand auf mein windows ftp sich konnecten will kann er sich anmelden aber kann keine ordner sehen wie das??
ich benutze zur zeit ipchains zum routen.
Script

echo Akteviere Internet Routing
# Interface to Internet
EXTIF=ppp+
ANY=0.0.0.0/0
ipchains -P input ACCEPT
ipchains -P output ACCEPT
ipchains -P forward ACCEPT
ipchains -F forward
ipchains -F input
ipchains -F output
#ACCEPT tcp and UDP
ipchains -A input -l -i $EXTIF -d $ANY 0:1023 -p udp -j ACCEPT
ipchains -A input -l -i $EXTIF -d $ANY 0:1023 -p tcp -j ACCEPT
# ACCEPT TCP connection attempts
ipchains -A input -l -i $EXTIF -p tcp -y -j ACCEPT
# ACCEPT ICMP echo-requests
ipchains -A input -l -i $EXTIF -s $ANY echo-request -p icmp -j DENY
# Do masquerading
ipchains -A forward -j MASQ
echo 1 > /proc/sys/net/ipv4/ip_forward
/sbin/depmod -a
#Starte Routing fuer den Clienten fuer Games und so
echo Beginne Jetzt mit dem Routing
#BattleCom forwarding from LAN
echo starte BattleCom routing
ipmasqadm autofw -A -v -r udp 2300 2400 -h 192.168.29.3
ipmasqadm autofw -A -v -r tcp 2300 2400 -h 192.168.29.3
ipmasqadm autofw -A -v -r tcp 27624 27624 -h 192.168.29.3
ipmasqadm autofw -A -v -r udp 27624 27624 -h 192.168.29.3
ipmasqadm autofw -A -v -r udp 28800 28900 -h 192.168.29.3
ipmasqadm autofw -A -v -r tcp 28800 28900 -h 192.168.29.3
#Durchrouten des Portes 666 f|r G6-FTP-Server
echo Routing fuer G6
ipmasqadm autofw -A -v -r udp 666 666 -h 192.168.29.3
ipmasqadm autofw -A -v -r tcp 666 666 -h 192.168.29.3
#Unterstuetzt optemierte FTP-Datenuebertragung mittels der Port-Methode
echo starte ftp-masqurading
/sbin/modprobe ip_masq_ftp
#Masqurading fuer Real Audio
echo starte Real Audio-Masqurading
/sbin/modprobe ip_masq_raudio
#Erlaubt mskierte IRC DCC-Datenuebertragung
echo starte IRC DCC-Masqurading
/sbin/modprobe ip_masq_irc
speedy_mk
08.11.01, 13:06
habe Wirklich grossen Probleme

das sind meine offenen ports:
|___ 21 ftp
|___ 22 ssh
|___ 25 smtp
|___ 80 http
|___ 111 sunrpc
|___ 113 auth
|___ 139 netbios-ssn
|___ 443 https
|___ 515 printer
|___ 677
|___ 1024 ?


Wie bekomme ich diese Ports eugendlich nur

111
113
139
515
677
1024

mit IPchains ZU
Das mann sie auch wenn man meinen rechner scannt net mehr sieht
Bitte um Hilfe
speedy_mk@web.de
geronet
10.11.01, 12:56
Die drei Zeilen wo du diese Ports "offen" hast sind

#ACCEPT tcp and UDP
ipchains -A input -l -i $EXTIF -d $ANY 0:1023 -p udp -j ACCEPT
ipchains -A input -l -i $EXTIF -d $ANY 0:1023 -p tcp -j ACCEPT
# ACCEPT TCP connection attempts
ipchains -A input -l -i $EXTIF -p tcp -y -j ACCEPT
# ACCEPT ICMP echo-requests
ipchains -A input -l -i $EXTIF -s $ANY echo-request -p icmp -j DENY

Also das ganze Script ist keine Firewall sondern nur dafür da dass du zocken kannst.

Wenn du wirklich eine gscheide Firewall haben willst musst du dich schon schwer mit ipchains beschäftigen, denn jede Firewall ist abgestimmt auf den Benutzer usw.

Aber ich gib dir mal eine Hilfe:

HL zocken geht immer bei masqueraden (aber nur client)

Ne Firewall baut man so auf dass man erstmal alles verbietet und das was man braucht dann erlaubt.

Also so kriegts du sie zu:

ipchains -A input -i $EXTIF --dport 111 -j DENY
ipchains -A input -i $EXTIF --dport 113 -j DENY
ipchains -A input -i $EXTIF --dport 139 -j DENY
ipchains -A input -i $EXTIF --dport 515 -j DENY
ipchains -A input -i $EXTIF --dport 677 -j DENY
ipchains -A input -i $EXTIF --dport 1024 -j DENY

Ist doch einfach!
ortega
10.11.01, 18:08
Hi,

das Problem mit dem FTP habe ich auch. Ich kann kein "Dir" oder "ls" ausführen.

Hast Du das Problem schon unter Kontrolle?

Wenn ja, dann wäre ich für eine kurze mail sehr dankbar (ortega456@web.de) !

Ciao

Ortega
geronet
10.11.01, 18:56
ftp ist irgendwie dumm, weil es zwei ports verwendet, jedenfalls im aktiven modus.

Wenn du squid drauf hast dann solltest du in der squid.conf ftp passiv anschalten, das hilft auf jeden fall...
ortega
10.11.01, 19:14
Kennst Du den die Syntax dafür, dann es nicht in der Squid.conf finden
geronet
10.11.01, 19:16
ja klar , es ist

ftp_passive on

einfach
ortega
10.11.01, 19:42
Danke schön.

Ich weiß aber noch nicht, wie ich ftp-Zugang über den Squid überhaupt aktiviere. (Und was ich dann beim Client eintragen muß, damit er über den Squid-FTP-Proxy ins Internet geht??)

"ftp_access allow all" akzeptiert er nicht!


Kann man dieses FTP-Problem mit dem Masquerading auch ohne squid umgehen?
geronet
10.11.01, 20:09
ftp ist bei masquerading immer ein problem. bei mir gehts weil ich bei dem ftp-programmen "passive" eingeschalten hab (beim browser z.B.)
und natürlich dass er über den squid geht.

Aber du kannst folgendes probieren: Mach mal deine Firewall zu, so dass alle Pakete die von aussen kommen geloggt werden.
So und nun versuchst du ein aktives FTP von einem Client aus irgendwohin, du bekommst warscheinlich ein paar logeinträge von der Firewall für einen bestimmten port (22 oder so ?) und forwadest diesen port dann mit der normalen firewall zu deinem client zurück. So kann wenigstens ein Client mit ftp surfen...
ortega
10.11.01, 20:17
Alles klar soweit.

Ich möchte Dich nicht zu sehr beanspruchen aber da ich ftp lieber über den Squid abwickeln möchte, wollte ich nochmal fragen, was ich in die Squid.conf eintragen muss und vor allem, wie ich dann die Clients (z.B. FTP-Voyager) auf den Proxy einstelle.

Vielen Dank nochmal!!
geronet
11.11.01, 11:21
Das kommt jeweils auf das entsprechende Programm an, wo man das einstellen kann.
ortega
11.11.01, 13:02
Ist squid denn ein Socks4 od. Socks 5 Proxy??
geronet
11.11.01, 13:07
squid ist ein http/ftp/https proxy.

socks ist was ganz anderes!
ortega
11.11.01, 15:50
und wie aktiviere ich nun den squid ftp in der squid.conf???
geronet
11.11.01, 15:58
steht doch schon oben:


ja klar , es ist
ftp_passive on
einfach

und dann nur noch einen ftp-browser nehmen, squid einstellen und ftp-en....
ortega
11.11.01, 16:38
Ja, danke! Ich versuche es!
speedy_mk
11.11.01, 19:11
Ich hab wiegesagt nen ftp server unter windows laufen
jetzt hab ich es geschaft das sich alle anmeldenn könenn an dem ftpserver
der hat port 666
so aber mann kann keine ferzeichnisse sehen
und so

ich denke is nen problem bei ipchains bitte um hilfe
ortega
11.11.01, 21:57
Welcher FTP-Server läuft denn bei Dir (Windows??) und welche Clients benutzt Du??
geronet
11.11.01, 22:55
ftp-server?
ich hab doch keinen ftp-server laufen :eek:

ich meinte du surfst auf deiner windoof-kiste und nimmst einen ftp-client her um auf irgeneinen ftp-server im internet zu kommen...

von aussen her dann auf deinen zu gelangen brauchst du ja port-forwarding zu der winkiste.
ortega
11.11.01, 22:58
Ich habe ja "speedy_mk" geantwortet.
speedy_mk
12.11.01, 06:21
Der läuft beí mir der G6
ortega
12.11.01, 12:04
versuch mal einen anderen Port freizugeben und ob es mit Port 21 klappt. Wenn ja, dann mußt Du Dir Port 666 freischalten lassen.
speedy_mk
12.11.01, 17:34
nummer 1

ipchains -A input -i $EXTIF --dport 111 -j DENY
ipchains -A input -i $EXTIF --dport 113 -j DENY
ipchains -A input -i $EXTIF --dport 139 -j DENY
ipchains -A input -i $EXTIF --dport 515 -j DENY
ipchains -A input -i $EXTIF --dport 677 -j DENY
ipchains -A input -i $EXTIF --dport 1024 -j DENY

das geht net ports sind noch immer offen


nummer 2

ich meine mit hilfe von ipchains das so zu machen das sicch alle die auf port 666 connecten auf mein server kommen sich anmlden können und auhc ziehen könne dazu miss ipchchains irgendwie passiv sein oder so wegen ftp ka
geronet
12.11.01, 17:50
ist ja klar dass das nicht geht wenn du diese Regeln unten dranhängst!!!:mad:

Die musst du schon ganz oben hinschreiben in deinem Script sonst gibt ja die andere Regel die Ports frei.
speedy_mk
13.11.01, 14:00
die ports sind trotzdem noch offen egal wo ich die zeilen hin schreibe am ende und am anfang

bitte um hilfe