Gestione porte iptables

[matador]

Buongiorno, vorrei configurare iptables, e avrei delle domande a rigurdo:
il mio stato attuale è il seguente:
$ sudo iptables -L

Codice: Seleziona tutto

francis@jarvis:~$ sudo iptables -L
[sudo] password di francis: 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination      

ora per bloccare tutto il traffico input e forward dovrei dare questi comandi:

Codice: Seleziona tutto

$ sudo iptables -P INPUT DROP
$ sudo iptables -P FORWARD DROP

giusto?
per il traffico locale invece do:

Codice: Seleziona tutto

sudo iptables -P INPUT -i lo -j ACCEPT

ma in realtà cosa fa con questo comando?

infine sto usando ZeroNet e sulla pagina dice che la porta 15441 deve essere aperta. OK usando:

Codice: Seleziona tutto

$ sudo iptables -A INPUT -p [PROTOCOLLO] --dport [PORTA] -j ACCEPT

al posto di protocolla posso non mettere nulla e in porta metto la porta?

[thece]

...
ora per bloccare tutto il traffico input e forward dovrei dare questi comandi:

Codice: Seleziona tutto

$ sudo iptables -P INPUT DROP
$ sudo iptables -P FORWARD DROP

giusto?

Si

per il traffico locale invece do:

Codice: Seleziona tutto

sudo iptables -P INPUT -i lo -j ACCEPT

ma in realtà cosa fa con questo comando?

No, devi dare il comando

Codice: Seleziona tutto

sudo iptables -A INPUT -i lo -j ACCEPT

ossia accetti (-j ACCEPT) tutto il traffico ricevuto (-A INPUT) sull'interfaccia di loopback (-i lo)

infine sto usando ZeroNet e sulla pagina dice che la porta 15441 deve essere aperta. OK usando:

Codice: Seleziona tutto

$ sudo iptables -A INPUT -p [PROTOCOLLO] --dport [PORTA] -j ACCEPT

al posto di protocolla posso non mettere nulla e in porta metto la porta?

Si, puoi non mettere nulla riguardo al protocollo: la regola è semplicemente meno specializzata (o più generica, come preferisci), ossia accetti tutto il traffico ricevuto destinato alla porta [PORTA], indipendentemente dal protocollo utilizzato per la connessione



Fai attenzione perchè nelle tue impostazioni di iptables manca una regola importante (la 5^, vedi oltre). La configurazione minima per bloccare tutto il traffico in ingresso, permettere tutto il traffico in uscita ma ricevere le risposte dall'esterno è la seguente

Codice: Seleziona tutto

1) sudo iptables -P INPUT DROP
2) sudo iptables -P FORWARD DROP
3) sudo iptables -P OUTPUT ACCEPT
4) sudo iptables -A INPUT -i lo -j ACCEPT
5) sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

sempre con riferimento alle impostazioni standard di iptables su Ubuntu

Ricordati sempre che una connessione è bidirezionale: fai una richiesta e ottieni una risposta. Se ti pregiudichi la possibilità di ottenere le risposte, ti isoli