Firewall: Unterschied zwischen den Versionen
Aus Vosp.info
HK (Diskussion | Beiträge) |
HK (Diskussion | Beiträge) (→Zielsetzung) |
||
| (3 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
| Zeile 1: | Zeile 1: | ||
Zurück zu [[OPSI]] | Zurück zu [[OPSI]] | ||
| + | == Zielsetzung== | ||
| + | * Alle Dienste lauschen nur auf dem Interface, auf dem sie müssen. | ||
| + | ** Ausnahme: '''ssh''' lauscht nach einem Neustart nicht an <vpn-iface>, wenn '''ListenAddress''' gesetzt ist. | ||
| + | ** Lauscht deshalb per default auf allen Interfaces. Per Firewall auf <opsi-iface> und <vpn-iface> beschränkt. | ||
| + | |||
| + | == Code == | ||
vim /etc/sysconfig/iptables | vim /etc/sysconfig/iptables | ||
| − | <source | + | <source lang="bash"> |
*nat | *nat | ||
| Zeile 24: | Zeile 30: | ||
# INPUT VPN Regeln | # INPUT VPN Regeln | ||
## ssh | ## ssh | ||
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <vpn-iface> -m state --state NEW -m tcp --dport 22 -j ACCEPT |
## OPSI-Frontend | ## OPSI-Frontend | ||
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <vpn-iface> -m state --state NEW -m tcp --dport 443 -j ACCEPT |
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <vpn-iface> -m state --state NEW -m tcp --dport 4447 -j ACCEPT |
# INPUT enp2s0 (OPSI-Netzwerk) | # INPUT enp2s0 (OPSI-Netzwerk) | ||
## ssh | ## ssh | ||
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 22 -j ACCEPT |
## DHCP | ## DHCP | ||
| − | -A INPUT -p udp -i | + | -A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 67 -j ACCEPT |
## xinet | ## xinet | ||
| − | -A INPUT -p udp -i | + | -A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 69 -j ACCEPT |
## DNS-Server | ## DNS-Server | ||
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 53 -j ACCEPT |
| − | -A INPUT -p udp -i | + | -A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 53 -j ACCEPT |
## OPSI-Frontend | ## OPSI-Frontend | ||
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 443 -j ACCEPT |
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 4447 -j ACCEPT |
## Samba NT4 Style | ## Samba NT4 Style | ||
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 135 -j ACCEPT |
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 139 -j ACCEPT |
| − | -A INPUT -p tcp -i | + | -A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 445 -j ACCEPT |
| − | -A INPUT -p udp -i | + | -A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 137 -j ACCEPT |
| − | -A INPUT -p udp -i | + | -A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 138 -j ACCEPT |
# ICMP Zusätze | # ICMP Zusätze | ||
| Zeile 56: | Zeile 62: | ||
# Forward | # Forward | ||
| − | -A FORWARD -i | + | -A FORWARD -i <opsi-iface> -j ACCEPT |
| − | -A FORWARD -o | + | -A FORWARD -o <opsi-iface> -m state --state RELATED,ESTABLISHED -j ACCEPT |
-A FORWARD -j REJECT --reject-with icmp-host-prohibited | -A FORWARD -j REJECT --reject-with icmp-host-prohibited | ||
Aktuelle Version vom 9. April 2015, 16:03 Uhr
Zurück zu OPSI
Zielsetzung
- Alle Dienste lauschen nur auf dem Interface, auf dem sie müssen.
- Ausnahme: ssh lauscht nach einem Neustart nicht an <vpn-iface>, wenn ListenAddress gesetzt ist.
- Lauscht deshalb per default auf allen Interfaces. Per Firewall auf <opsi-iface> und <vpn-iface> beschränkt.
Code
vim /etc/sysconfig/iptables
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -o enp3s0 -j MASQUERADE
COMMIT
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [401:43511]
# lo
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
# INPUT VPN Regeln
## ssh
-A INPUT -p tcp -i <vpn-iface> -m state --state NEW -m tcp --dport 22 -j ACCEPT
## OPSI-Frontend
-A INPUT -p tcp -i <vpn-iface> -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -i <vpn-iface> -m state --state NEW -m tcp --dport 4447 -j ACCEPT
# INPUT enp2s0 (OPSI-Netzwerk)
## ssh
-A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 22 -j ACCEPT
## DHCP
-A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 67 -j ACCEPT
## xinet
-A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 69 -j ACCEPT
## DNS-Server
-A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 53 -j ACCEPT
## OPSI-Frontend
-A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 4447 -j ACCEPT
## Samba NT4 Style
-A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 135 -j ACCEPT
-A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 139 -j ACCEPT
-A INPUT -p tcp -i <opsi-iface> -m state --state NEW -m tcp --dport 445 -j ACCEPT
-A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 137 -j ACCEPT
-A INPUT -p udp -i <opsi-iface> -m state --state NEW -m udp --dport 138 -j ACCEPT
# ICMP Zusätze
-A INPUT -j REJECT --reject-with icmp-host-prohibited
# Forward
-A FORWARD -i <opsi-iface> -j ACCEPT
-A FORWARD -o <opsi-iface> -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
