nastaveni iptables

[pavli]

1. iptables -P INPUT DROP
2. iptables -P OUTPUT ACCEPT
3. iptables -P FORWARD DROP
4. iptables -A INPUT -i lo -j ACCEPT
5. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
6. iptables -A INPUT -p tcp --dport 80 -j ACCEPT
7. iptables -A INPUT -j DROP

Mam takto nastaveny firewall, jen tak na zkousku, chci poustet pouze port 80. Nechapu ale ucel radku c.5 Respektive chapu, ze on automaticky propousti pakety ktere patri bud k uz vytvorenym spojenim nebo pakety novych spojeni souvisejicich uz s vytvorenymi. Ale proc kdyz tam radek 5 neni, tak to vubec nefunguje, tedy nedostanu se nikam? A kdyz je tam radek 5 a neni radek 6 tak se na web dostanu?

[Dragonn]

takže 1) předpokládam, že tenhle firewall nastavuješ na svém pc. 2) posloupnost příkazů neříká tak uplně všechno, abys lépe demonstroval, jaké máš přesně nastavení, je lepší poslat výpis příkazu "iptables -L -n" (záleží na pořadí příkazů, které zádáváš... přesněji řečeno na pořadí příkazů v iptables)

Jinak abych ti to trochu vysvětlil, co co dělá...
1-3) nastavuje defaultní politiku (v případě, že se pro daný paket nenajde pravidlo, použijí se tyhle pravidla ... takže přesněji, vše co přichází na tvůj PC nebo je určeno k routování (takhle kategorie se tě předpokládám netýká), bude zahozeno).
4) pravidlo povoluje vše příchozí na localhost,
5) povoluje všechny pakety, které se týkají již navázaných, nebo příbuzních spojení (tzn, když ty pošleš kamkoliv požadavek, tak aby firewall povolil odpověď od serveru zpět).
6) pravidlo řiká je tak v INPUT, takže se týká pouze paketů, které přichází k tobě a omezuje se pouze na TCP spojení na portu 80 (tzn kdyby u tebe běžel webserver a někdo se k tobě snažil připojit) a takové spojení povolí (-j ACCEPT)
7) ostatní příchozí pakety zakáže (což je zbytečné, protože máš nastavenou defaultní politiku příchozích paketů zahodit)

Takže jestli chceš zakázat z tvého pohledu odchozí webové spojení (port 80), tak musíš pravidlo umístit do řetězu OUTPUT. Dalším nešvarem tohodle konkrétního příkladu (pokud se jedná o kompletní výpis firewallu) je třeba to, že tvůj stroj ignoruje všechny příchozí ICMP pakety (-p icmp).