FIREWALL AJUDA POR FAVOR

andreroberti
(usa Debian)

Enviado em 15/08/2007 - 17:57h

Pessoal tenho pouca experiencia com firewall e tenho um cliente que nesta sexta feira precisa do que segue abaixo.
Uso o debian 2.4

Objetivo do Firewall

Fazer o NAT da placa Eth0 para Eth1.
Liberar a porta de conexão remota do Windows no caso a porta 3389 e redirecionar para o servidor Windows 2003 Server.(192.168.0.2)

Liberar a porta de conexão remota do SSH.

Liberar as portas 80, 443, 8080, 3000, 9875, 2100.
Ip Fixo.

PROXY transparente


ME AJUDEM POR FAVOR.
OBRIGADO

mtolledo
(usa Slackware)

Enviado em 15/08/2007 - 20:08h

Manda um email pra mim. te mando um conf bacaninha. vlew

juno
(usa Linux Mint)

Enviado em 16/08/2007 - 14:01h

Cara,
Dá uma olhada nos artigos aqui do VOL e faça alguma conf, um começo e posta aqui para te ajudarmos .

Pessoal,
Mandem as confs aqui mesmo no VOL pois assim ajudamos a enriquecer o conteúdo do site.

Falou ! =)

randra
(usa Debian)

Enviado em 16/08/2007 - 16:33h

#!/bin/bash

IP=/usr/sbin/iptables

case $1 in
start)


# Interfaces de rede
IFINT="eth1" # interno
IFEXT="eth2" # externo

# Servidores
GW="IP válido do servidor de internet" # Colocar o ip do servidor de internet
NET="IP Interno do servidor de internet" # Colocar ip não válido do servidor de internet
2003server="192.168.0.2"

# Carregar Modulos
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe iptable_nat

echo > /proc/sys/net/ipv4/ip_forward

# Limpa todas regras
$IP -F -t nat
$IP -P INPUT ACCEPT
$IP -P FORWARD ACCEPT
$IP -P OUTPUT ACCEPT
$IP -t nat -L
$IP -F
$IP -Z
$IP -X

echo "Starting the Firewall..."

# Acessos servidos pelo firewall
$IP -I INPUT -p tcp --dport 22 -j ACCEPT
$IP -I INPUT -p tcp --dport 80 -j ACCEPT
$IP -I INPUT -p tcp --dport 3389 -j ACCEPT
$IP -I INPUT -p tcp --dport 8080 -j ACCEPT
$IP -I INPUT -p tcp --dport 3000 -j ACCEPT
$IP -I INPUT -p tcp --dport 9875 -j ACCEPT
$IP -I INPUT -p tcp --dport 2100 -j ACCEPT

# Forward's
# Permite saí dos pacotes com ip real da rede privada
# As regras abaixo sao para permitir acesso a servicos externos
$IP -A FORWARD -p tcp --dport 80 -i $IFINT -o $IFEXT -j ACCEPT
$IP -A FORWARD -p tcp --dport 443 -i $IFINT -o $IFEXT -j ACCEPT
$IP -A FORWARD -p tcp --dport 8080 -i $IFINT -o $IFEXT -j ACCEPT
$IP -A FORWARD -p tcp --dport 3000 -i $IFINT -o $IFEXT -j ACCEPT
$IP -A FORWARD -p tcp --dport 2100 -i $IFINT -o $IFEXT -j ACCEPT
$IP -A FORWARD -p tcp --dport 9875 -i $IFINT -o $IFEXT -j ACCEPT


# Redirecionamento 2003 Server - CPD - WTS
$IP -t nat -A PREROUTING -p tcp -s 0/0 -d $ \
--dport 3389 -j DNAT --to-destination $2003server:3389


# NAT para servidores
# $IP -t nat -A POSTROUTING -s $2003server/32 -o $IFEXT -j MASQUERADE

# Bloqueia
$IP -A INPUT -i $IFEXT -p tcp --syn -j DROP

restart)
$0 stop
$0 start
RESULT=$?
;;

stop)
echo 0 > /proc/sys/net/ipv4/ip_forward

# Limpa todas regras

$IP -F -t nat
$IP -P INPUT ACCEPT
$IP -P FORWARD ACCEPT
$IP -P OUTPUT ACCEPT
$IP -F
$IP -Z
$IP -X


echo "Stopping firewall "

;;
*)
echo "Usage: %s {start|stop|restart}" "$0"
# RESULT=1
;;

################################################

Termine de configurar o firewall, caso precise de ajuda poste ai novamente. Tentei fazer de uma maneira simples teste ai e veja se funciona.

Se alguem quiser corrigir algo do firewall estamos ai =]

tatototino
(usa Slackware)

Enviado em 16/08/2007 - 16:42h

randra, essas regras do seu firewall libera tudo
com o famoso -P * Accept

só com essas três regras dos "Pes" não precisa mais de nenhuma só a do nat para compartilhar

msscesario
(usa Debian)

Enviado em 16/08/2007 - 16:48h

Opa..

aqui Liberar as portas 80, 443, 8080, 3000, 9875, 2100., issu serio pro firewall mesmo então vc tem que usar INPUT e OUTPUT,

me add ai dai trocamos uma ideia,
msscesario@hotmail.com

juno
(usa Linux Mint)

Enviado em 16/08/2007 - 16:49h

André ,

O script que nosso amigo randra enviou é muito bom, adeque ele à sua necessidade e poste os resultados aqui; veja também o comentario abaixo de nossos amigos.

randra,
colocar no fim um syn DROP não é meio kamikase ?

Falou =)

tatototino
(usa Slackware)

Enviado em 16/08/2007 - 17:05h

juno, se a maquina não estiver rodando nenhum servidor externo é normal bloquear pacotes com a flag syn setada para impedir qualquer tipo de conexão

juno
(usa Linux Mint)

Enviado em 16/08/2007 - 17:27h

Então, vi isso no firewall proposto no kurumin.
Vou estudar mais à respeito, vocês tem alguma referência para eu dar uma olhada ?

Falou ! =)

andreroberti
(usa Debian)

Enviado em 20/08/2007 - 12:22h

GALERA MUITO OBRIGADO AI PELAS DICAS AJUDARAM MUITO GRATO.