VPN-соединения и файрвол.

[K_E_S_T]

Настраиваю iptables на домашнем ПК (в локалке нашего провайдера интернетов много желающих посканировать порты и т.п). Выбрал дорогу по пути "что не разрешено то запрещено". Входящие пакеты фильтруем по правилам:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

iptables -F INPUT
iptables -P INPUT DROP
iptables -A INPUT -s 0/0 -p icmp --icmp-type echo-reply -j ACCEPT #ответ на пинг
iptables -A INPUT -s 0/0 -p icmp -j DROP # весь ICMP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #уже установленые соединения.
iptables -A INPUT -p tcp --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j DROP
iptables -A INPUT -p tcp --dport 21 -j ACCEPT # ftp
iptables -A INPUT -p tcp --dport 20 -j ACCEPT # ftp данные
iptables -A INPUT -p tcp --dport 80 -j ACCEPT #интернет
iptables -A INPUT -p tcp --dport 5190 -j ACCEPT #аська
iptables -A INPUT -p tcp --dport 25 -j ACCEPT # протокол почты SMTP
iptables -A INPUT -p tcp --dport 110 -j ACCEPT # протокол почты POP3
iptables -A INPUT -p tcp --dport 443 -j ACCEPT # шифруемое http
iptables -A INPUT -p tcp --dport 5222 -j ACCEPT #  джаббер


а теперь вопрос: интернеты у меня по VPN. Если прописать такую же конструкцию для исходящих пакетов то VPN не поднимается. какие порты необходимы для установки VPN? какие можно открыть только для исходящих а какие только для входящих?  Перечитал несколько сайтов по этой теме, одни говорят 1723,1396, 47; другие 1723, 1701, 500, третьи вообще порты в зоне за 30000.  Так какие же всётаки открывать порты? и какой порт для чего используется(это просто интересно). Замечания и дополнения не относящиеся к VPN тоже принимаются.

[AnrDaemon]

А смысл блокировать исходящие сессии?
И смысл блокировать 20 входящий порт? Маны давно курили?

[K_E_S_T]

исходящие блокируься дабы спокойней быть. а насчёт 20 порта: почитайте список портов в системе:

ftp-data           20/tcp                           #FTP, data
ftp                21/tcp                           #FTP. control

Пользователь решил продолжить мысль 02 Ноября 2009, 21:49:02:темболее он не блокируется а открывается. что бы фтп работал

[AnrDaemon]

Мда... 20 порт никогда не был входящим. Учите матчасть. ftp-data - исходящее соединение.

[c2h5oh98]

При раздачи инета через VPN, клиент получает адрес к примеру 10.2.1.2/24 и шлюз 10.2.0.1/24 что по сути не правильно, и может работать только после успешного прохода аунтефикации на сервере. Защита доступа у тебя осуществляеться по связке логин /пароль что достаточно надежно. Зачем тебе лишняя параноя в виде блока портов в сторону локалки?