[Fwd: Re: Duvida de segurança]
-----Mensagem encaminhada-----
From: Burnys <burnystw@yahoo.com.br>
To: Daniel <da_picon@yahoo.com.br>
Cc: Debian User <debian-user-portuguese@debian.lists.org>
Subject: Re: Duvida de segurança
Date: Tue, 11 May 2004 17:32:30 -0300
Para conectar na internet BLOQUEANDO TODO o resto vc somente precisa
disso:
1)iptables -P INPUT DROP
2)iptables -P FORWARD DROP
3)iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 0/0 -o eth1 -j
MASQUERADE
4)iptables -A FORWARD -s 192.168.0.0/24 -d 0/0 -j ACCEPT
5)iptables -A FORWARD -s 0/0 -d 192.168.0.0/24 ! --syn -j ACCEPT
Supondo que sua rede interna seja 192.168.0.0/24 e a interface conectada
na internet (do seu firewall) seja eth1
O que isso tudo quer dizer?
1) Define a politica default de INPUT como DROP. Ou seja, se nao houver
uma regra q libere explicitamente ele ira negar por padrao.
2)idem 1 para FORWARD
3)faça masquerade (mascaramento de endereço ip) para todos pacotes que
vierem da rede 192.168.0.0/24 e saiam por eth1
4) Libere Forward dos pacotes que vierem de 192.168.0./24 com qq destino
5) Libere Forward de qq lugar para a rede interna desde que nao seja um
pedido de conexao (flag syn ativa). Isso quer dizer que qq conexao
originada de dentro da rede podera retornar sem problemas.
Leia sobre topologia e iptables. TCP/IP.
etc.
Firewall sem teoria é impossível.
Att.
Burnys
Em Ter, 2004-05-11 às 17:18, Daniel escreveu:
> essa é minha dúvida, o que liberar. realmente preciso liberar da 1024 pra
> cima pra conectar na internet ou isso é lenda?
>
> ----- Original Message -----
> From: "Burnys" <burnystw@yahoo.com.br>
> To: "Daniel" <da_picon@yahoo.com.br>
> Sent: Tuesday, May 11, 2004 4:58 PM
> Subject: Re: Duvida de segurança
>
>
> Firewall Lei numero 1:
>
> SEMPRE SIGA INSTRUCOES DE FONTES CONFIAVEIS!
>
> Firewall Lei numero 2:
>
> BLOQUEIE TUDO COM PLICY DROP e LIBERE SOMENTE O QUE PRECISAR!
>
> E tenho dito!
>
> :)
>
> Burnys
>
> Em Ter, 2004-05-11 às 16:35, Daniel escreveu:
> > Pessoal
> >
> > estou com uma duvida pra montar um firewall, aliás, ele já está montado,
> só
> > estou com uma duvida que esteja certo.
> > Quanto fui montar troquei bastante e-mail com o pessoal aqui da lista e a
> > maioria me disse pra me preocupar com as portas abaixo da 1024 e que acima
> > disso poderia liberar tudo, sem problemas.
> > Essas portas só seriam usadas, segundo um pessoal aí, para estabelecer
> > conexòes da internet e que não tinham perigo de invasão
> >
> > mas estou vendo pelos virus que quase todos eles atacam acima dessa porta.
> o
> > blaster, pela 4444, o sasser pela 4 mil e alguma coisa e assim vai.
> > será q não tem como eu definir apenas uma faixa de ip acima da 1024 para
> > esse estabelecimento de conexão e travar o resto pra não ter perigo de
> > entrar esses virus aqui na rede, já que, fora o servidor, o resto das
> > máquinas, infelizmente, tem que ter ruindows?
> >
> > Grato
> >
> > Daniel
> --
> Burnys <burnystw@yahoo.com.br>
Reply to: