problemas para bloquear e liberar iptables [RESOLVIDO]

kdanilo
(usa Ubuntu)

Enviado em 25/10/2011 - 18:18h

Boa tarde pessoal, bom tentei de todas as formas correndo em varios e varios sites para nao desprender o tempo de voces referente a meu problema mas nao teve jeito.

seguinte: estou como o a seguinte configuracao na qual hoje me libera toda a internet e redireciona a porta 80 para o squid.
O servidor possui duas placas eth0 rede externa e eth1 rede interna.

#------------inicio----------------
#!/bin/sh
# /etc/rc.local

#modprobe iptable_nat ativa o "iptable_nat"
modprobe iptable_nat


#echo 1... ativa o "ip_forward",
echo 1 > /proc/sys/net/ipv4/ip_forward

#cria uma regra de mascara
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

#redireciona para squid tudo que vem da 80
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128
#-----------------fim---------------------

Oque eu preciso é simples mas nao estou conseguindo, e creio que com um exemplo eu consiga andar sozinho.
espero que me ajudem
Att. Kelson Lima

juanpedro
(usa Ubuntu)

Enviado em 25/10/2011 - 18:45h

Não sei se vai ajudar, mas vale a pena conferir:
http://www.vivaolinux.com.br/artigo/Proxy-Squid-Transparente

liota
(usa Mandriva)

Enviado em 25/10/2011 - 18:48h

o que exatamente tu precisa?

kdanilo
(usa Ubuntu)

Enviado em 25/10/2011 - 19:15h

preciso bloquear tudo e liberar apenas algumas portas.

rodrigom
(usa Debian)

Enviado em 25/10/2011 - 19:39h

Meu amigo, ainda faltam algumas coisas essenciais, como:

Carregar módulos;
Limpar as tabelas (iptables -F, -X (em todas as tabelas) para toda vez que executar o script, as regras serem zeradas e entrar as novas...
Carregar modulos (modprobe "modulo");
tem bastante material aqui no VOl, isso que falei, geralmente está no começo do script.. da uma olhada em algum pronto, e adapte para sua necessidade..

(obs: eu tb estou estudando iptables.. :) )


Abraço.

liota
(usa Mandriva)

Enviado em 26/10/2011 - 07:57h

Bem, como o rodrigom falou, inicialmente você precisa criar algumas regras para carregar os módulos necessários e limpar as tabelas para zerar as regras. Também segue abaixo que deve fazer para bloquear tudo.

#Criar alias para Iptables
IPTABLES=/sbin/iptables

#Carregar modulos necessarios
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_irc
/sbin/modprobe ip_nat_irc
/sbin/modprobe ipt_REDIRECT

#Limpar regras
$IPTABLES -F
$IPTABLES -X
$IPTABLES -t nat -F
$IPTABLES -t nat -X

#Configurar politica iniclal de acesso para negar TUDO
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT DROP

Essa última parte como está comentado irá negar qualquer tipo de pacote que passe pelo firewall, tanto de entrada, quando te saida. Depois disso é só você ir colocando as regras especificas do que exatamente você quer liberar.

kdanilo
(usa Ubuntu)

Enviado em 26/10/2011 - 10:19h

perfeito.... entendi e ja vou agregar este conteudo em meu script.
vamos supor entao que agora baseado neste script eu querira liberar a porta 80 e a porta 22 pra poder trabalhar no ssh e acessar somente paginas http
como seria os comandos?

liota
(usa Mandriva)

Enviado em 26/10/2011 - 11:49h

Isso deve ajudar

# Libera porta SSH a partir de qualquer interface
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Liberar porta http.
iptables -A INPUT -p tcp --dport 80 -i eth0 -j ACCEPT

#Libera porta do squid
iptables -A INPUT -p tcp --dport 3128 -i eth0 -j ACCEPT

#E como você mesmo, já postou, isto é para redirecionar a porta 80(http) para a 3128(squid)
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

rodrigom
(usa Debian)

Enviado em 26/10/2011 - 14:07h

Eu acho interessante deixar o OUTPUT ACCEPT, até entender bem como as regras funcionam, essa foi uma dica do pessoal aqui do VOL, e foi de grande valor...

Só uma dica :)

liota
(usa Mandriva)

Enviado em 26/10/2011 - 15:45h

Realmente pra quem ta aprendendo é uma dica boa, pois assim não tem tanta dor de cabeça no inicio, mas depois que já tiver um certo conhecimento o ideal é deixar o OUTPUT como DROP e liberar apenas o necessário.

kdanilo
(usa Ubuntu)

Enviado em 26/10/2011 - 23:35h

Rapaziada legal...., sei que o iptables é bastante amplo e pelo jeito complexo, vejo tambem que a quantidade de material didatico de boa qualidade em portugues com exemplificacoes coerentes tambem é baixo. vou com calma chegarei ao nivel de voces a ponto de discutir, mas no momento estou tentando apenas fazer coisas simples, ou seja bloquear tudo e apenas libera a porta 80 e no maximo a 22 para acesso, ao ponto dos funcionarios da empresa onde trabalho poderem navegar sem maiores problemas.
se puder contar com voces, sabendo que eu estou "aprendendo a ler" neste momento eu agradeço.

kdanilo
(usa Ubuntu)

Enviado em 27/10/2011 - 18:10h

pessoal achei um script que atende minhas necessidades aqui no Viva o linux.
adaptei ele e ja esta ok
desta forma vou aprendendo aos poucos
muito obrigado a todos