Tulemüüri labor - Revision history

Taliiv: /* Teenuse portide leidmine */

2012-02-27T13:08:53Z

Teenuse portide leidmine

← Older revision		Revision as of 16:08, 27 February 2012
Line 73:		Line 73:

	<source lang="bash">		<source lang="bash">
	sudo /etc/init.d/smbd stop && \		sudo /etc/init.d/smbd stop && \
	netstat -lnut > /tmp/before && \		netstat -lnut > /tmp/before && \
	sudo /etc/init.d/smbd start && \		sudo /etc/init.d/smbd start && \
	netstat -lnut > /tmp/after && \		netstat -lnut > /tmp/after && \
	diff -u /tmp/before /tmp/after		diff -u /tmp/before /tmp/after
	</source>		</source>

Taliiv: /* Installeerimine */

2012-02-27T13:06:26Z

Installeerimine

← Older revision		Revision as of 16:06, 27 February 2012
Line 13:		Line 13:

	<source lang="bash">		<source lang="bash">
	iptables -I INPUT -p tcp --dport 80 -j ACCEPT		iptables -I INPUT -p tcp --dport 80 -j ACCEPT
	</source>		</source>
	Turvatud veebiserveri jaoks:		Turvatud veebiserveri jaoks:
	<source lang="bash">		<source lang="bash">
	iptables -I INPUT -p tcp --dport 443 -j ACCEPT		iptables -I INPUT -p tcp --dport 443 -j ACCEPT
	</source>		</source>
	SSH lubamiseks:		SSH lubamiseks:
	<source lang="bash">		<source lang="bash">
	iptables -I INPUT -p tcp --dport 22 -j ACCEPT		iptables -I INPUT -p tcp --dport 22 -j ACCEPT
	</source>		</source>

Line 28:		Line 28:

	<source lang="bash">		<source lang="bash">
	iptables -I INPUT -p tcp --dport 445 -j ACCEPT // TCP ~~445~~		# TCP 445
	iptables -I INPUT -p tcp --dport 139 -j ACCEPT ~~// TCP 139~~		iptables -I INPUT -p tcp --dport 445 -j ACCEPT
	iptables -I INPUT -p udp --dport 138 -j ACCEPT // UDP ~~138~~		# TCP 139
	iptables -I INPUT -p udp --dport 137 -j ACCEPT ~~// UDP 137~~		iptables -I INPUT -p tcp --dport 139 -j ACCEPT
			# UDP 138
			iptables -I INPUT -p udp --dport 138 -j ACCEPT
			# UDP 137
			iptables -I INPUT -p udp --dport 137 -j ACCEPT
	</source>		</source>

	Keelatakse INPUTi liiklus, kui konkreetseid reegleid pole seatud		Keelatakse INPUTi liiklus, kui konkreetseid reegleid pole seatud
	<source lang="bash">		<source lang="bash">
	iptables -P INPUT DROP		iptables -P INPUT DROP
	</source>		</source>
	Selleks et väljaminevate ühenduste jaoks tagasi tulnud pakette ka lubataks peab tegema nii:		Selleks et väljaminevate ühenduste jaoks tagasi tulnud pakette ka lubataks peab tegema nii:
	<source lang="bash">		<source lang="bash">
	iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT		iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
	</source>		</source>
	Muidugi on alati tervislik lubada localhost õue:		Muidugi on alati tervislik lubada localhost õue:
	<source lang="bash">		<source lang="bash">
	iptables -A OUTPUT -o lo -j ACCEPT		iptables -A OUTPUT -o lo -j ACCEPT
	</source>		</source>

Metamm at 08:32, 19 October 2011

2011-10-19T08:32:36Z

← Older revision		Revision as of 11:32, 19 October 2011
Line 140:		Line 140:

	Testimiseks tee reboot ja vaata järmise käsuga kas reeglid on olemas : <pre>iptables -L </pre>		Testimiseks tee reboot ja vaata järmise käsuga kas reeglid on olemas : <pre>iptables -L </pre>

			==Iptables resettimine==

			Selleks, et resettida iptables algsätedele

			<pre>
			iptables --policy INPUT ACCEPT
			iptables --policy OUTPUT ACCEPT
			iptables --policy FORWARD ACCEPT

			iptables -Z
			iptables -F
			iptables -X
			</pre>

	=Edasijõudnutele=		=Edasijõudnutele=

Sbarol at 07:41, 19 October 2011

2011-10-19T07:41:48Z

← Older revision		Revision as of 10:41, 19 October 2011
Line 57:		Line 57:

	*-I käsk lisatakse kindlale kasutaja poolt määratud reale		*-I käsk lisatakse kindlale kasutaja poolt määratud reale
	iptables -I INPUT 5 -o lo -j ACCEPT		iptables -I INPUT 5 -i lo -j ACCEPT
	Lisab käsu INPUT CHAIN'i 5. reegliks, ehk kui enne 5. reeglit pole ühtegi keelavat reeglit, on kõik sissetulevad ühendused lubatud.		Lisab käsu INPUT CHAIN'i 5. reegliks, ehk kui enne 5. reeglit pole ühtegi keelavat reeglit, on kõik sissetulevad ühendused lubatud.

Sbarol at 07:41, 19 October 2011

2011-10-19T07:41:04Z

← Older revision		Revision as of 10:41, 19 October 2011
Line 50:		Line 50:
	IPTABLES'i seadistamisel tuleb rangelt kinni pidada reeglite järjekorrast, reegleid loetakse ülevalt alla ning sobiva reegli leidmisel rohkem edasi ei kontrollita, näiteks, kui tulemüüriseadistuses on esimene rida mis lubab sisse kõiki ühendusi, ei hakata edasi üldse vaatama, ning kõik ühendused lubatakse olenemata võimalikest järgnevatest keelavatest reeglitest.		IPTABLES'i seadistamisel tuleb rangelt kinni pidada reeglite järjekorrast, reegleid loetakse ülevalt alla ning sobiva reegli leidmisel rohkem edasi ei kontrollita, näiteks, kui tulemüüriseadistuses on esimene rida mis lubab sisse kõiki ühendusi, ei hakata edasi üldse vaatama, ning kõik ühendused lubatakse olenemata võimalikest järgnevatest keelavatest reeglitest.

	iptables -I INPUT 1 -o lo -j ACCEPT		iptables -I INPUT 1 -i lo -j ACCEPT

	Seadistuste tegemisel on hea teada mida teevad -I ja -A võtmed iptables käsu järel.		Seadistuste tegemisel on hea teada mida teevad -I ja -A võtmed iptables käsu järel.

Mernits: /* Teenuse portide leidmine */

2011-10-19T07:07:32Z

Teenuse portide leidmine

← Older revision		Revision as of 10:07, 19 October 2011
Line 68:		Line 68:
	NB! Suvalise teenuse pordid saad kindlaks teha netstat abil:		NB! Suvalise teenuse pordid saad kindlaks teha netstat abil:

			<source lang="bash">
	sudo /etc/init.d/smbd stop && \		sudo /etc/init.d/smbd stop && \
	netstat -lnut > /tmp/before && \		netstat -lnut > /tmp/before && \
Line 73:		Line 74:
	netstat -lnut > /tmp/after && \		netstat -lnut > /tmp/after && \
	diff -u /tmp/before /tmp/after		diff -u /tmp/before /tmp/after
			</source>

	* Stopping Samba daemons [ OK ]		* Stopping Samba daemons [ OK ]

Mernits: /* Installeerimine */

2011-10-19T07:05:41Z

Installeerimine

← Older revision		Revision as of 10:05, 19 October 2011
Line 6:		Line 6:
	=Installeerimine=		=Installeerimine=
	Alguses minna juurkasutajaks		Alguses minna juurkasutajaks
	<~~pre~~>
			<source lang="bash">
	sudo -i		sudo -i
	</~~pre~~>		</source>
	Veebiserveri lubamiseks:		Veebiserveri lubamiseks:

			<source lang="bash">
	iptables -I INPUT -p tcp --dport 80 -j ACCEPT		iptables -I INPUT -p tcp --dport 80 -j ACCEPT
			</source>
	Turvatud veebiserveri jaoks:		Turvatud veebiserveri jaoks:
			<source lang="bash">
	iptables -I INPUT -p tcp --dport 443 -j ACCEPT		iptables -I INPUT -p tcp --dport 443 -j ACCEPT
			</source>
	SSH lubamiseks:		SSH lubamiseks:
			<source lang="bash">
	iptables -I INPUT -p tcp --dport 22 -j ACCEPT		iptables -I INPUT -p tcp --dport 22 -j ACCEPT
			</source>


			Täpsemalt peab lubama järgnevad pordid Samba jaoks:

	~~Täpsemalt peab lubama järgnevad pordid Samba jaoks:~~		<source lang="bash">
	iptables -I INPUT -p tcp --dport 445 -j ACCEPT // TCP 445		iptables -I INPUT -p tcp --dport 445 -j ACCEPT // TCP 445
	iptables -I INPUT -p tcp --dport 139 -j ACCEPT // TCP 139		iptables -I INPUT -p tcp --dport 139 -j ACCEPT // TCP 139
	iptables -I INPUT -p udp --dport 138 -j ACCEPT // UDP 138		iptables -I INPUT -p udp --dport 138 -j ACCEPT // UDP 138
	iptables -I INPUT -p udp --dport 137 -j ACCEPT // UDP 137		iptables -I INPUT -p udp --dport 137 -j ACCEPT // UDP 137
			</source>

	Keelatakse INPUTi liiklus, kui konkreetseid reegleid pole seatud		Keelatakse INPUTi liiklus, kui konkreetseid reegleid pole seatud
			<source lang="bash">
	iptables -P INPUT DROP		iptables -P INPUT DROP
			</source>
	Selleks et väljaminevate ühenduste jaoks tagasi tulnud pakette ka lubataks peab tegema nii:		Selleks et väljaminevate ühenduste jaoks tagasi tulnud pakette ka lubataks peab tegema nii:
			<source lang="bash">
	iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT		iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
			</source>
	Muidugi on alati tervislik lubada localhost õue:		Muidugi on alati tervislik lubada localhost õue:
			<source lang="bash">
	iptables -A OUTPUT -o lo -j ACCEPT		iptables -A OUTPUT -o lo -j ACCEPT
			</source>



	=Reeglite järjekord=		=Reeglite järjekord=

Ppung at 10:03, 7 April 2011

2011-04-07T10:03:54Z

← Older revision		Revision as of 13:03, 7 April 2011
Line 54:		Line 54:
	iptables -I INPUT 5 -o lo -j ACCEPT		iptables -I INPUT 5 -o lo -j ACCEPT
	Lisab käsu INPUT CHAIN'i 5. reegliks, ehk kui enne 5. reeglit pole ühtegi keelavat reeglit, on kõik sissetulevad ühendused lubatud.		Lisab käsu INPUT CHAIN'i 5. reegliks, ehk kui enne 5. reeglit pole ühtegi keelavat reeglit, on kõik sissetulevad ühendused lubatud.

			Kui jätta määramata reegli rea number, pannakse reegel esimeseks.

Ppung at 10:01, 7 April 2011

2011-04-07T10:01:48Z

← Older revision		Revision as of 13:01, 7 April 2011
Line 42:		Line 42:


			=Reeglite järjekord=
	IPTABLES'i seadistamisel tuleb rangelt kinni pidada reeglite järjekorrast, reegleid loetakse ülevalt alla ning sobiva reegli leidmisel rohkem edasi ei kontrollita, näiteks, kui tulemüüriseadistuses on esimene rida mis lubab sisse kõiki ühendusi, ei hakata edasi üldse vaatama, ning kõik ühendused lubatakse olenemata võimalikest järgnevatest keelavatest reeglitest.		IPTABLES'i seadistamisel tuleb rangelt kinni pidada reeglite järjekorrast, reegleid loetakse ülevalt alla ning sobiva reegli leidmisel rohkem edasi ei kontrollita, näiteks, kui tulemüüriseadistuses on esimene rida mis lubab sisse kõiki ühendusi, ei hakata edasi üldse vaatama, ning kõik ühendused lubatakse olenemata võimalikest järgnevatest keelavatest reeglitest.

Line 58:		Line 58:


			=Teenuse portide leidmine=
	NB! Suvalise teenuse pordid saad kindlaks teha netstat abil:		NB! Suvalise teenuse pordid saad kindlaks teha netstat abil:

Ppung at 09:56, 7 April 2011

2011-04-07T09:56:13Z

← Older revision		Revision as of 12:56, 7 April 2011
Line 38:		Line 38:

	iptables -A OUTPUT -o lo -j ACCEPT		iptables -A OUTPUT -o lo -j ACCEPT





			IPTABLES'i seadistamisel tuleb rangelt kinni pidada reeglite järjekorrast, reegleid loetakse ülevalt alla ning sobiva reegli leidmisel rohkem edasi ei kontrollita, näiteks, kui tulemüüriseadistuses on esimene rida mis lubab sisse kõiki ühendusi, ei hakata edasi üldse vaatama, ning kõik ühendused lubatakse olenemata võimalikest järgnevatest keelavatest reeglitest.

			iptables -I INPUT 1 -o lo -j ACCEPT

			Seadistuste tegemisel on hea teada mida teevad -I ja -A võtmed iptables käsu järel.

			*-A käsk lisatakse viimaseks reegliks

			*-I käsk lisatakse kindlale kasutaja poolt määratud reale
			iptables -I INPUT 5 -o lo -j ACCEPT
			Lisab käsu INPUT CHAIN'i 5. reegliks, ehk kui enne 5. reeglit pole ühtegi keelavat reeglit, on kõik sissetulevad ühendused lubatud.