Duvida com Iptables

thiagotrixnet
(usa Debian)

Enviado em 11/09/2011 - 22:45h

Olá,

Fiz este script de firewall, e está rodando na maquina.
Só estou rodando o named e liberei acesso ao SSH, porém, adicionei a regra para bloquear qualquer tráfego, mas ainda assim consigo pingar a maquina.
Onde estou errando?

Segue o scrpit

# Generated by iptables-save v1.4.10 on Sun Sep 11 18:44:40 2011
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -j LOG
-A INPUT -p tcp -m tcp --dport 60985 -j ACCEPT
-A INPUT -p tcp -m tcp --sport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --sport 53 --dport 1024:65000 -j ACCEPT
-A INPUT -p udp -m udp --sport 53 --dport 1024:65000 -j ACCEPT
-A INPUT -p tcp -m tcp --sport 1024:65500 --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --sport 1024:65500 --dport 53 -j ACCEPT
-A INPUT -p tcp -j DROP
-A INPUT -p udp -j DROP
-A INPUT -p icmp -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 60985 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 1024:65000 --dport 53 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 1024:65000 --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 53 --dport 1024:65500 -j ACCEPT
-A OUTPUT -p udp -m udp --sport 53 --dport 1024:65500 -j ACCEPT
COMMIT
# Completed on Sun Sep 11 18:44:40 2011



Abraços!

removido
(usa Nenhuma)

Enviado em 12/09/2011 - 01:04h

adicione essa linha>>>>

# Ignora pings:

iptables -A INPUT -p icmp --icmp-type echo-request -j DROP



Recomendo a leitura,talvez isso ajude >>>

http://focalinux.cipsga.org.br/guia/avancado/ch-fw-iptables.htm

http://www.vivaolinux.com.br/artigo/Desvendando-as-regras-de-Firewall-Linux-Iptables/

http://www.hardware.com.br/tutoriais/linux-escrevendo-scripts-firewall/


se o problema foi resolvido, por favor marque o tópico como resolvido e escolha a melhor resposta...

thiagotrixnet
(usa Debian)

Enviado em 12/09/2011 - 20:34h

Ainda nao deu certo, ainda ta aceitando pacotes icmp...estranho, todos os topicos que vejo realmente é essa linha no iptables msm...

removido
(usa Nenhuma)

Enviado em 12/09/2011 - 23:03h

se o problema é o ping bloqueia os pacotes icmp colocando está regra antes das regras permitivas:

-A INPUT -p icmp --icmp-type echo-request -j DROP

se quer bloquear todo trafégo de entrada para este host, faça o seguinte:

coloque antes regras que permitam acessar determinados serviços nesse host e depois coloque:

-A INPUT -j DROP