duvidas ajudemmmm [RESOLVIDO]

adriansmith
(usa Debian)

Enviado em 06/03/2008 - 10:06h

Pessoalll... bom diaaaa

Estou tentando fazer um firewall pra minha maquina... estou usando linux num VMware...

Alterei meu squid pra porta 3128.. antes tava 8080....
mas bom... quando rodo o FW...
eu pingo mais nao conecto em nenhum site.. o estranho eh q pingo estes sites...

abaixo meu FW.... sera que alguem pode comentar o erro.. ou sugerir algo parecido abaixo???
me ajudem por favor...

abraços...

####****** Regras de entrada (INPUT)

##Zerando todas as regras que vem por padrão:

iptables -F

##bloquear entrada(INPUT), encaminhamento(FORWARD) e saída(OUTPUT).

iptables -P INPUT DROP # (bloqueia entrada)
iptables -P FORWARD DROP # (bloqueia encaminhamento)
iptables -P OUTPUT DROP # Drop(bloqueia saída)

## liberar serviços de entrada:

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #aceita conexões estabelecidas#
iptables -A INPUT -i lo -j ACCEPT #(aceita localhost 127.0.0.1)
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT #(aceita ssh)
iptables -A INPUT -p tcp -m tcp --dport 5432 -j ACCEPT #(aceita postgresql)

##########################

iptables -A INPUT -s 10.1.1.0/8 -d 10.1.1.254 -p tcp -m tcp --dport 3128 -j ACCEPT #(aceita Squid somente para rede)
iptables -A INPUT -s 10.1.1.0/8 -d 10.1.1.254 -p udp -m udp --dport 53 -j ACCEPT #(aceita DNS somente para rede)


##### ****** Regras de encaminhamento(FORWARD) e nat
####Sempre que for habilitar uma regra de FORWARD para a internet você precisa adicionar uma regra para que o iptables possa fazer nat.

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
#iptables -t nat -A POSTROUTING -o ppp -j MASQUERADE

### Se usar FORWARD como DROP por padrão, mas mesmo assim quer que a porta 80(http) e a porta 443(https) passe pelo Squid, adicione a seguinte regra:

iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 443 -j REDIRECT --to-ports 3128

####presumindo que use FORWARD como DROP, vamos liberar alguns acessos:

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT #(aceita conexões estabelecidas)

iptables -A FORWARD -d 10.1.1.2 -j ACCEPT #(aceita todas as porta para o ip 10.1.1.2)
iptables -A FORWARD -p tcp --dport 110 -j ACCEPT #(aceita pop3)
iptables -A FORWARD -p tcp --dport 25 -j ACCEPT #(aceita smtp)
iptables -A FORWARD -p tcp --dport 22 -j ACCEPT #( aceita ssh)
iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT #( aceita terminal service)
iptables -A FORWARD -p tcp --dport 3128 -j ACCEPT

#### *********** Regras de saída(OUTPUT)
# Caso uso DROP em OUTPUT como padrao

iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT #(aceita conexões estabelecidas)
iptables -A OUTPUT -o lo -j ACCEPT #(aceita saída localhost 127.0.0.1)
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT #(aceita HTTP)
iptables -A OUTPUT -p tcp --dport 443 -j ACCEPT #(aceita HTTPS)
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT #(aceita DNS)
iptables -A OUTPUT -p tcp --dport 3128 -j ACCEPT

# ip6tables -F (limpando as regras)
# ip6tables -P INPUT DROP (bloqueia entrada)
# ip6tables -P FORWARD DROP (bloqueia encaminhamento)
# ip6tables -P OUTPUT DROP (bloqueia saída)


OBRIGADO

eduardo
(usa Linux Mint)

Enviado em 06/03/2008 - 10:16h

A princípio parece ok. Que erro que dá quando você não consegue acessar os sites?

adriansmith
(usa Debian)

Enviado em 06/03/2008 - 14:20h

uai
nao entra em site algumm....

giaco
(usa Debian)

Enviado em 06/03/2008 - 14:29h

Quando você digita a URL de um site no navegador e dá um enter, qual é a mensagem que o navegador retorna?
Aparece uma página de erro do Squid? O navegador demora, demora, demora e não mostra nada? Aparece alguma mensagem?

hugovlmota
(usa CentOS)

Enviado em 06/03/2008 - 17:25h

Caro amigo,
eu estava com um problema parecido e fui ver direitinho e fazer alguns testes era a minha politica padrao.
tente mudar o OUTPUT para accept

eduardo
(usa Linux Mint)

Enviado em 06/03/2008 - 17:50h

Pois é, normalmente se usa o OUTPUT como ACCEPT, a não ser que você queira bloquear alguma coisa para sair. Mas volto a perguntar, que erro que dá ao acessar os sites?

oliveira_vitor
(usa Ubuntu)

Enviado em 14/06/2011 - 22:01h

iptables -P IMPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A IMPUT -p icmp -m state -- state ESTABLISHED,RELATED -j ACCEPT