Форум русскоязычного сообщества Ubuntu


Считаете, что Ubuntu недостаточно дружелюбна к новичкам?
Помогите создать новое Руководство для новичков!

Автор Тема: Netfilter(iptables) нужна помощь!  (Прочитано 617 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Perseika

  • Автор темы
  • Новичок
  • *
  • Сообщений: 4
    • Просмотр профиля
Netfilter(iptables) нужна помощь!
« : 06 Марта 2012, 12:24:08 »
Здравствуйте! Нужна помощь - никак не могу разобраться с этим фаерволом. (Настраивала его через интерфейс firestarter)
Делаю рестриктив пермишн на outbound traffic. Добавляю правило (порт 80 http) - браузер грузит страницы. Но почему он их грузит? Ведь браузеру для загрузки страницы нужен (насколько я знаю) как исходящий, так и входящий трафик. А правило для входящего трафика я не делала. Так почему браузер всетаки грузит страницы?
Еще я заметила что firewall неправильно определяет мой ip (в connections, events абсолюnно другой ip). Это нормально?


Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13758
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #1 : 06 Марта 2012, 12:38:48 »
Таки Вы про firestarter говорите, а не про netfilter и не про iptables. Зотя первое GUI-морда второго через третье.
Еще я заметила что firewall неправильно определяет мой ip (в connections, events абсолюnно другой ip).
Сравниете с ifconfig -a

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28469
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #2 : 06 Марта 2012, 15:18:46 »
Здравствуйте! Нужна помощь - никак не могу разобраться с этим фаерволом. (Настраивала его через интерфейс firestarter)
Делаю рестриктив пермишн на outbound traffic. Добавляю правило (порт 80 http) - браузер грузит страницы. Но почему он их грузит? Ведь браузеру для загрузки страницы нужен (насколько я знаю) как исходящий, так и входящий трафик. А правило для входящего трафика я не делала. Так почему браузер всетаки грузит страницы?
Еще я заметила что firewall неправильно определяет мой ip (в connections, events абсолюnно другой ip). Это нормально?


Какой порт 80? Входящий или исходящий?
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Perseika

  • Автор темы
  • Новичок
  • *
  • Сообщений: 4
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #3 : 06 Марта 2012, 15:53:38 »
Цитировать
Какой порт 80? Входящий или исходящий?
Исходящий. Я добавила разрешающее правило для исходящего порта 80, но для входящего 80 порта не добавила. При этом страницы http в браузере открываются, что странно.

Цитировать
Сравниете с ifconfig -a
Сравнила - напротив ip addr стоит тот же непонятный ip. Тоесть он отличается от того, что показывают сервисы для проверки ip. Пробывала с DHCP и без - один и тот же непонятный ip.

 

Оффлайн drako

  • Старожил
  • *
  • Сообщений: 1422
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #4 : 06 Марта 2012, 16:52:39 »
Я добавила разрешающее правило для исходящего порта 80, но для входящего 80 порта не добавила. При этом страницы http в браузере открываются, что странно.
Абсолютно ничего странного, так и должно быть. Входящие порты нужны для того чтобы с Вашими сервисами могли установить соединения.
Сравнила - напротив ip addr стоит тот же непонятный ip. Тоесть он отличается от того, что показывают сервисы для проверки ip. Пробывала с DHCP и без - один и тот же непонятный ip.
Почему не понятный, у Вас пров\роутер раздают "внутренние\серые" адреса из одного из 3х диапазонов.

Оффлайн Perseika

  • Автор темы
  • Новичок
  • *
  • Сообщений: 4
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #5 : 06 Марта 2012, 18:23:30 »
Спасибо, с ip разобралась.
Цитировать
Входящие порты нужны для того чтобы с Вашими сервисами могли установить соединения.
Хм, а если взять конкретно скайп, то ему нужен только исходящий трафик?
Сейчас протестила скайп - при двух разрешенных исходящих портах(80 и 443) и всех закрытых входящих я могу обмениваться сообщениями в скайпе и скорее всего звонить.
Получается или у меня фаервол не работает, или скайпу нужны только исходящие порты...
« Последнее редактирование: 06 Марта 2012, 18:36:39 от Perseika »

Оффлайн drako

  • Старожил
  • *
  • Сообщений: 1422
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #6 : 06 Марта 2012, 19:25:25 »
Вообще любое tcp соединение устанавливается в две стороны, в отличие от udp в котором можно послать пакеты и не париться о ответе. А наш умник firestarter автоматом разрешает состояния соединений established & related. Вот если бы вы писали правила руками, вам бы самой пришлось позаботиться о пакетах с таким состоянием, поскольку разрешений только на исходящий трафик не хватило бы.

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28469
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #7 : 07 Марта 2012, 00:54:17 »
На самом деле я был неточен в своём вопросе.
Исходящий (source) порт 80 - это трафик, посылаемый веб-сервером в ответ на запросы пользователя.
Но так же важно, какой адрес назначения трафика (или интерфейс).
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Perseika

  • Автор темы
  • Новичок
  • *
  • Сообщений: 4
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #8 : 07 Марта 2012, 22:33:10 »
После проверки в онлайн-сервисах и по event-ам можно сказать что у меня он со своей задачей справляется  :)

Еще хотелось бы уточнить - когда пишешь правило outbound, там есть такая настройка when source is и варианты: anyone, firewall host, ip host network. Локальной сети у меня нету, поэтому как я поняла надо ставить anyone. Попробовала вариант с firewall host - тоже все прекрасно работает. Так какой из этих вариантов лучше? Можеть быть с firewallhost еще безопаснее?


Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28469
    • Просмотр профиля
Re: Netfilter(iptables) нужна помощь!
« Ответ #9 : 07 Марта 2012, 22:35:02 »
Когда пишешь правило в outbound, это с большой вероятностью означает, что ты ошибаешься.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

 

Страница сгенерирована за 0.054 секунд. Запросов: 25.