firewall

Написал(а) @LOE (Site/forum admin) Дата 02.11.05 14:35

А что, Патрик знает, что конкретно тебе нужно?! Хоть и говорят, что он Бог, но не до такой же степени!
Все потенциально опасные сервисы (те-же pop3, imap, ftp) изначально отключены.
Включая их, делаешь это осознанно.

"No! Try not! Do. Or do not. There is no try." -- Yoda

Написал(а) Bercut Дата 03.11.05 06:40

я так и не понял!
не должно его быть, чтоли ?

русский язык подобен искуству кун-фу, и великий мастер никогда не применит его без необходимости...

Написал(а) PAHA Дата 03.11.05 07:25

да его не должно быть
ты его создаёш сам в /etc/rc.d имя файлика rc.firewall и сьтавиш +х на него чтобы он был исполняемым

Написал(а) Bercut Дата 03.11.05 09:13

а где написано чтобы он выполнялся
в rc.inet1 или в rc.inet2 а то там нету

русский язык подобен искуству кун-фу, и великий мастер никогда не применит его без необходимости...

Написал(а) @LOE (Site/forum admin) Дата 03.11.05 09:16

Выдержка из /etc/rc.d/rc.inet2 :

# If there is a firewall script, run it before enabling packet forwarding.
# See the HOWTOs on http://www.netfilter.org/ for documentation on
# setting up a firewall or NAT on Linux. In some cases this might need to
# be moved past the section below dealing with IP packet forwarding.
if [ -x /etc/rc.d/rc.firewall ]; then
/etc/rc.d/rc.firewall start
fi

Если такого блока нет - значит старый дистр. Пора задуматься об апгрейде ;-)

"No! Try not! Do. Or do not. There is no try." -- Yoda

Написал(а) @LOE (Site/forum admin) Дата 03.11.05 09:20

Кстати, при апгрейде, новые конфиги и стартовые скрипты имеют расширение .new (например, /etc/rc.d/rc.inet2.new)
Если стандартные скрипты ручками не правил - можно просто заместить. Если же правил, свои правки поместить в новый скрипт и заменить им старый.

"No! Try not! Do. Or do not. There is no try." -- Yoda

Написал(а) Bercut Дата 03.11.05 09:34

да это я видел
потому и задался вопросом а кто написал скрипт в котором описана процедура firewall start
где потом правила описывать и тд..... А то както всё это обрезано чтоли. не доделано....
значит я так понимаю
накрапать скрипт вроде ipforward где описаны старты рестарты и в нем запускать другой скрипт где описаны правила
так чтоли ?

русский язык подобен искуству кун-фу, и великий мастер никогда не применит его без необходимости...

Написал(а) @LOE (Site/forum admin) Дата 03.11.05 10:57

Все пишут кому как удобнее
Например, можно сделать так:

#!/bin/sh

I='/usr/sbin/iptables'

$I -A INPUT -p tcp ! --dport 80 --tcp-flags SYN,ACK,FIN SYN -j REJECT

Это приведет к блокированию всех входящих tcp SYN пакетов, кроме на порт 80 (на http сервис).
Аналогично добавляешь нужные тебе правила.

PS. Этот пример - навскидку.
PPS. Нет обработки start/stop команд скрипту. Их нет и в rc.inet2 - т.е. по сути команды актуальны только во время загрузки машины.

"No! Try not! Do. Or do not. There is no try." -- Yoda