Welche Ports müssen frei sein?

[stef2707]

Hallo,

welche Ports muss ich freigeben, wenn (mindestens) folgende Dienste erreicht werden sollen:

- HylaFAX
- vsFTP (der läuft!)
- Samba (Windows 2000 Shares sollen genutzt werden)
- ssh

Habe schon im Internet geschaut und auch einiges getestet aber es klappt nicht.

Derzeit habe ich folgendes eingetragen:
für FTP 20/tcp, 21/tcp,
für ssh 22/tcp.
für Samba 137/tcp, 138/tcp, 139/tcp, 445/tcp,
für HylaFAX 4559/tcp,

Zusätzlich habe ich:
98/tcp linuxconf,
1352/tcp+/upd lotusnotes und
1023:1043/tcp
freigegeben.

Es scheint etwas zu fehlen. Könnt Ihr mir Helfen? Vielen Dank im voraus!

Gruss,
Stefan

[bla!zilla]

Zusätzlich habe ich:
98/tcp linuxconf,
1352/tcp+/upd lotusnotes und
1023:1043/tcp
freigegeben.


Erlaube mir die Frage: Wozu? Hast du Services die auf diesen Ports lauschen? Was für ein Fehler tritt denn auf?

[stef2707]

Erlaube mir die Frage: Wozu? Hast du Services die auf diesen Ports lauschen? Was für ein Fehler tritt denn auf?

hallo,

jede frage ist erlaubt (solange sie nicht unverschämt wird, wie man es in anderen foren manchmal erlebt).

warum... 1023:1043 weil im internet gesagt wurde, dass diese für den FTP server gebraucht werden. 1352 weil wir im büro unter lotus notes leiden und ich auch noch tests machen will/muss mit dem neuen notes client für linux und 98 ließ ich auf, nachdem das system frisch aufgesetzt war.

den linuxconf und den notes port werde ich dicht machen... hast ja recht.

und der fehler: es kann keine verbindung hergestellt werden sobald die firewall aktiviert wird/ist. alles läuft wunderbar, bis ich sie starte.

gruss,
stefan

[Rain_maker]

Dann würde ich bei aktivierter Firewall einen Blick in die Logs werfen, was da genau geblockt wird.

Leider geht aus Deinen beiden Postings (oder hab ich es übersehen?) nicht eindeutig hervor, welche Distribution auf besagtem Server läuft, sonst könnte ich Dir die potentiellen Kandidaten vielleicht schon nennen.

Greetz,

RM

[stef2707]

Die erste alternative in der Signatur: Debian GNU/Linux 3.1, die Firewall habe ich mit Bastille konfiguriert.

Gruss,
Stefan

[Rain_maker]

OK, für SuSE hätte ich es Dir recht sicher sagen können, bei Debian versuche ich mal "gut zu raten".

Lasse die Firewall oben, mache Verbindungsversuche und lasse ein

sudo tail -f /var/log/messages mitlaufen.

Dann sollten Kernelmeldungen "live" mitverfolgt werden können.

Ob das die richtige Datei ist? ==> *Ohne Gewähr*

Nachtrag: Zumindest bei Ubuntu und Firestarter scheint das die richtige Idee gewesen zu sein.


sudo tail -f /var/log/messages
Password:
Sep 28 23:05:24 linux kernel: [28475.731171] Inbound IN=eth0 OUT= MAC=00:50:bf:99:3b:cf:00:0f:b5:7f:90:0c:08:00 SRC=4.79.142.206 DST=192.168.0.2 LEN=44 TOS=0x00 PREC=0x00 TTL=119 ID=32768 PROTO=TCP SPT=48518 DPT=8001 WINDOW=8192 RES=0x00 SYN URGP=0
Greetz,

RM

[stef2707]

Guten Morgen!

Das Paket wird fallengelassen:


Sep 29 07:58:22 ctde02 kernel: PUB_IN DROP 4 IN=eth0 OUT= MAC=00:01:02:dc:fc:28:00:11:43:18:dc:77:08:00 SRC=10.130.100.11 DST=10.130.109.10 LEN=48 TOS=0x00 PREC=0x00 TTL=128 ID=12624 DF PROTO=TCP SPT=1151 DPT=445 WINDOW=64512 RES=0x00SYN URGP=0

Für mich sieht es so aus, als hätte ich vergessen die entsprechenden Ports frei zu machen...... :( Weiter oben habe ich mich ja selbst belastet; sprich ich hatte die Ports angegeben, die ich frei gegeben habe. Was fehlt dort?

Vielen Dank für Eure Infos!

Gruss,
Stefan

[marce]

für den Anfang wäre es nicht schlecht, schrittweise vorzugehen.

Fang mal mit SSH an (Port 22 sollte reichen), wenn nicht -> Fehlermeldung?

... und dann Dienst für Dienst weitermachen.

Und nett wäre, wenn Du uns auch sagen würdest, an welchem Dienst Du denn gerade wurschtelst und was denn nun gemacht wurde und was nicht, Logfiles , ...

[bla!zilla]

445/tcp wird von Samba genutzt. Du musst die Ports 1023 - 1043 nicht in deiner Firewall öffnen. Ist die Frage ob du aktives oder passives FTP nutzt. Beim aktiven FTP verbindet sich der Client von einem Port >1024 auf den Server auf Port 21. Der Client sendet dann in der Anfrage auf welchen Port sich der Server verbinden soll. Dieser baut dann eine Verbindung von Port 20 auf den Client auf. Daher muss dieser Portrange in der clientseitigen Firewall geöffnet sein. Beim passiven FTP gehen beide Verbindungsversuche vom Client aus, daher muss da nichts in der Firewall geöffnet sein. Dabei öffnet der Client zwei Ports >1024 und baut dann die Verbindungen zum Server auf.

Du kannst die Ports also alle schließen. Ich würde dir das zumindest empfehlen.

[stef2707]

So, habe hier und dort probiert... und dann habe ich alles neu gemacht (zum zweiten mal *knurrrrr*) aber dieses mal habe ich das in den Foren neu erworbene Wissen mit einfliessen lassen. Ich kann (leider) nicht sagen, woran es gelegen hat aber jetzt läuft es.

Vielen Dank jedenfalls für all die Tipps! Irgendwann habe ich soviel von Euch gelernt, dass ich auch mal zurück schreiben kann.

Gruss,
Stefan