irc erlauben

[rodent]

also ich hab folgendes firewallscript (ich glaube hier von dem board irgendwann mal):



# Firewall Skript
#!/bin/sh

DEV_LAN=eth0
IP_LAN=192.168.10.10
LAN=192.168.10.0/255.255.255.0
DEV_INET=ippp0
INET=0.0.0.0/0.0.0.0

#----- IP Forwarding und Unterstuetzung dynamisch zugeteilter IP Adressen aktivieren -----
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
echo "1" > /proc/sys/net/ipv4/ip_forward

#----- Alle Regeln loeschen -----
ipchains -F

#----- Default Policy auf DENY setzen -----
ipchains -P input DENY
ipchains -P forward DENY
ipchains -P output DENY

#----- ip-spoofing verhindern -----
ipchains -A input -i $DEV_INET -p tcp -s $LAN -j DENY -l

#----- Loopback erlauben -----
ipchains -A input -i lo -j ACCEPT
ipchains -A output -i lo -j ACCEPT

#----- alle Intranet Verbindungen erlauben -----
ipchains -A input -i $DEV_LAN -s $LAN -j ACCEPT
ipchains -A output -i $DEV_LAN -d $LAN -j ACCEPT

#----- DNS Abfragen ins Internet erlauben, sowohl UDP als auch TCP -----
ipchains -A output -i $DEV_INET -p udp -d $INET 53 -j ACCEPT
ipchains -A input -i $DEV_INET -p udp -s $INET 53 -j ACCEPT
ipchains -A output -i $DEV_INET -p tcp -d $INET 53 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 53 -j ACCEPT ! -y

#----- HTTP erlauben -----
ipchains -A output -i $DEV_INET -p tcp -d $INET 80 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 80 -j ACCEPT ! -y

#----- HTTPS erlauben -----
ipchains -A output -i $DEV_INET -p tcp -d $INET 443 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 443 -j ACCEPT ! -y

#----- FTP erlauben -----
ipchains -A output -i $DEV_INET -p tcp -d $INET 21 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 21 -j ACCEPT ! -y

#----- Erweiterung fuer aktives FTP -----
ipchains -A output -i $DEV_INET -p tcp -d $INET 20 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 20 -j ACCEPT

#----- Telnet ins Internet erlauben -----
ipchains -A output -i $DEV_INET -p tcp -d $INET 23 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 23 -j ACCEPT ! -y

#----- SMTP ins Internet erlauben -----
ipchains -A output -i $DEV_INET -p tcp -d $INET 25 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 25 -j ACCEPT ! -y

#----- POP3 ins Internet erlauben -----
ipchains -A output -i $DEV_INET -p tcp -d $INET 110 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 110 -j ACCEPT ! -y

#----- Chain fuer ICMP erstellen -----
ipchains -N icmp-out
ipchains -A icmp-out -p icmp --icmp-type echo-reply -j DENY
ipchains -A icmp-out -p icmp --icmp-type echo-request -j ACCEPT
ipchains -A icmp-out -p icmp --icmp-type destination-unreachable -j ACCEPT
ipchains -A icmp-out -p icmp --icmp-type source-quench -j ACCEPT
ipchains -A icmp-out -p icmp --icmp-type time-exceeded -j ACCEPT
ipchains -A icmp-out -p icmp --icmp-type parameter-problem -j ACCEPT

ipchains -N icmp-in
ipchains -A icmp-in -p icmp --icmp-type echo-reply -j ACCEPT
ipchains -A icmp-in -p icmp --icmp-type echo-request -j DENY
ipchains -A icmp-in -p icmp --icmp-type destination-unreachable -j ACCEPT
ipchains -A icmp-in -p icmp --icmp-type source-quench -j ACCEPT
ipchains -A icmp-in -p icmp --icmp-type time-exceeded -j ACCEPT
ipchains -A icmp-in -p icmp --icmp-type parameter-problem -j ACCEPT

#----- ICMP Pakete an Output Chain uebergeben -----
ipchains -A output -p icmp -j icmp-out

#----- ICMP Pakete an Input Chain uebergeben -----
ipchains -A input -p icmp -j icmp-in

#----- Masquerading aktivieren -----
ipchains -A forward -s 192.168.10.0/24 -d 0.0.0.0/0 -j MASQ


gefällt mir gut das script, aber wieso funktioniert denn irc nicht ?

[SAdemar]

Ich glaube da mustest du noch das Modul ip_masq_irc laden und das Masquerading vom irc zumachen!

[keiner_1]

IRC benützt doch den identd Deamon, nicht wahr? ich habe mal gelesen das dieser sehr unsicher ist und auch Exploits dafür existieren??

meine Frage: ist der unsicher?? wenn ja wie macht man ihn sicher???

greetz

adme

[SAdemar]

willst du ein Irc Server betreiben oder bloß als Client zugreifen ?

[keiner_1]

bloss als Client, würde mich aber auch interessieren was das für den Betreiber heisst

greetz

adme

[rodent]

pappnasen :D .
würde mich ja auch alles interessieren, aber weiss jemand ne antwort wie man das (sicher) als client zulässt ? :)

[emwe]

Aehm,

ich hab jetzt zwar nichts mehr mit ipchains zu tun, seitdem mein OpenBSD rennt, aber sollte da nicht noch eine (mehr oder weniger gleiche) Zeile für die IRC-Ports rein (also 6667-6669 auf Serverseite)?
So à la
ipchains -A output -i $DEV_INET -p tcp -d $INET 6667-6669 -j ACCEPT
ipchains -A input -i $DEV_INET -p tcp -s $INET 6667-6669 -j ACCEPT ! -y

Das sollte es doch tun, oder ist es nur schon so lange her mit Linux auf der Firewall?!

Spass,

emwe

[emwe]

Achja,

das mit dem identd-Server. Der identd ist ein Server, der früher ziemlich verbreitet war, als Unix noch herrschte im Internet. Der wartet einfach auf einem Port und liefert ein paar Angaben über den User zurück (hauptsächlich den Namen), der gerade unterwegs ist.
Aus 'man identd':
identd is a server which implements the TCP/IP proposed standard IDENT user identification protocol as specified in the RFC 1413 document.
identd operates by looking up specific TCP/IP connections and returning the user name of the process owning the connection.

Die meisten modernen Distros setzen keinen mehr standardmäßig ein, weil man dadurch unnötig viele Informationen raus gibt (oder ich hab sie schon immer im Affekt deaktiviert :)). Man kann auch aus Spass einen wie 'oidentd' rennen lassen, der absichtlich falsche Informationen raus gibt... ist aber mehr oder weniger ohne echten Nutzen.
Die meisten IRC-Server-Betreiber checken heute ohnehin jeden, der eine Verbindung zum Server aufbaut, auf offene Ports und Proxies, um so anonyme Verbindungen zu verhindern - und müllen mir immer das snort-log zu =).
Kurz und schmerzlos - lasst den identd weg!

Habt Spass stattdessen,

emwe

[rodent]

ja, also er stirbt hier ab:



--- Connected. Now logging in..
--- AUTH :*** Looking up your hostname
--- AUTH :*** Checking Ident
--- AUTH :*** Found your hostname

[emwe]

Hallo,

einfach mal eine Weile warten, weil genau hier z.B. bei Quakenet die Scans ausgelöst werden - und das kann schon ein bisschen dauern.

Hab Spass,

emwe

[keiner_1]

Hallo zusammen

@emwe

Ich habe nun dies oidentd heruntergeladen und installiert, nun weiss ich nicht wo ich in meinem xinetd server den ident abstellen kann??

greetz

adme