iptables (Multi connessioni)

[lucisetti]

Ciao a tutti,

ho trovato su internet il seguente comando per iptables

iptables –A INPUT –s x.x.x.x/8 –p tcp –i eth0 –j DROP

cosi commentato: Rifiuta connessioni da Multi

qualcuno saprebbe spiegarmi cosa fa tale comando e cosa significa "connessioni da Multi" ?

Grazie in anticipo

Lucia

[Sym81]

Rifiuta i pacchetti in arrivo sull' interfaccia eth0 di protocollo tcp, che hanno come sorgente un indirizzo appartenente alla classe x.x.x.x/255.0.0.0. Ciao

[lucisetti]

Grazie sym,

scusami ancora, non sono molto esperta in networking (cerco tuttavia di imparare più possibile ...) ma cos'ha di tanto maldestro la classe x.x.x.x/255.0.0.0 ?

Lucia

[Sym81]

Niente che io sappia
Preso direttamente dall'howto di www.netfilter.org

Gli indirizzi IP sorgente (`-s', `--source' o `--src') e destinazione (`-d',`--destination' o `--dst') possono essere specificati in 4 modi diversi. Il più comune è di usare il nome completo, ad esempio `localhost' o `www.linuxhq.com'. Il secondo modo è quello di specificare l'indirizzo IP ad esempio `127.0.0.1'.

La terza e la quarta modalità permettono di specificare un gruppo di indirizzi IP, ad esempio `199.95.207.0/24' oppure `199.95.207.0/255.255.255.0'. Entrambe specificano qualsiasi indirizzo IP a partire da 199.95.207.0 fino a 199.95.207.255. Di default viene usato `/32' o `/255.255.255.255' (tutti gli indirizzi IP).

Sul sito ci sono dei tutorial anche in italiano molto chiari. Ciao

[neryo]

Originariamente inviato da lucisetti
Grazie sym,

scusami ancora, non sono molto esperta in networking (cerco tuttavia di imparare più possibile ...) ma cos'ha di tanto maldestro la classe x.x.x.x/255.0.0.0 ?

niente di maldestro.. evita che ip di classe A o /8 accedano alla tua rete. Con questo tipo di restrizione in pratica si evita che 126 reti di cui ognuna composta da un numero molto elevato di possibili host 16.777.214 si connettano al tuo pc.

[lucisetti]

morale della favola: mettendo sto comando si rischia di non accedere oppure di non far accedere a qualche rete "fidata" la macchina firewall ?

Grazie ancora

Lucia

[Sym81]

Dunque, se tu dal firewall accedi a qualcosa non usi la catena INPUT ma bensì quella di OUTPUT. Quella regola si riferisce ai pacchetti che arrivano alla tua macchina. Prendere la regola è dire se sia giusta o sbagliata senza un contesto non ha senso. La regola è giusta sintatticamente ma magari a te non serve a nulla. Intanto: cosa vuoi fare?

[lucisetti]

... cercare di configurare un firewall linux scopiazzando qua e la su internet un pò di comandi e cercare poi di capire il senso di cosa si sta andando a fare, almeno per non fare "eventualmente" una figura da orbi con chi è più bravo ...

bisogna essere onesti ...

Lucia

[neryo]

Originariamente inviato da lucisetti
morale della favola: mettendo sto comando si rischia di non accedere oppure di non far accedere a qualche rete "fidata" la macchina firewall ?

beh sicuramente si.. tutti gli ip di classe A

[Sym81]

Ok, ma il tuo firewall cosa deve fare? Prima cerca di capire cosa vuoi ottenere (devi mascherare una rete locale, devi proibire del traffico da dentro a fuori e/o viceversa, vuoi che il firewall sia accissibile su qualche porta, magari ti serve una redirezione su un computer dentro la rete) e poi scrivi le regole di conseguenza secondo me. Ciao