[despammed] [PLUTO-security] Firewall bucato?

[Stefano Callegari]

Il 25Feb 22:43, Valentino Squilloni - OuZ scrisse:
> On Tue, 24 Feb 2004, Stefano Callegari wrote:
> 
[cut]
> Ok, questi sono tutti i servizi che offri, all'esterno giusto?

Esatto.

[cut]
> Questi sono tutte le porte alla quali permetti di entrare, e che poi fai
> passare sono se solo ESTABLISHED,RELATED e se passano la chain syn-flood
> Forse metterei prima il controllo sullo stato (che tu fai dopo nella chain
> allowed) e dopo il controllo sulle porte e magari ci guadagni qualcosa in
> prestazioni, ma bisognerebbe analizzare meglio la situazione.

Cioè prima le allowed e poi le ACCEPT? Per quanto riguarda le
prestazioni, al momento non avrei modo di verificarle in quanto le
porte sono aperte ma offriranno i servizi in futuro (le lascio aperte
perchè intanto li testano).

> 
> > $IPTABLES -A tcp_packets -p TCP -j not_allowed  #  cattivi pacchetti
> >
> > #
> > # se non è filtrato prima è OK
> > #
> >
> > $IPTABLES -A tcp_packets -p TCP -s 0/0 --sport 1024:65535 -j allowed  #
> 
> Quest'ultima non serve, nessun pacchetto arrivera' qui visto che
> matcheranno tutti la regola precedente e andranno in not_allowed

Non vorrei sbagliarmi, basterebbe solo ritentare, ma mi sembra di
ricordare d'aver avuto problemi finchè non ho rimesso l'ultima riga.

[cut]
> Mi sono fatto un'idea migliore del tuo firewall e mi sembra abbastanza a
> posto, forse e` solo un po` troppo complesso da debuggare visto che non ha
> una struttura proprio lineare :-)

Forse hai ragione, ma dovresti vederlo tutto intero e non a spizzichi e
bocconi :-) . Comunque grazie del consulto.

> Riguardano i log che avevi postato nella prima mail direi che la
> situazione e' ancora piu' tranquilla.  I bad packets sono semplicemente
[cut]

Possiamo dire allora che il fw hw ha una cattiva o mal configurata
gestione dei pacchetti che passano dalle porte (della serie che, per
esempio, la 21 è un foro spalancato)? 

Avendo già lanciato un'allerta, son ben felice ora di porte dire che il
sistema (grazie a linux) è "sicuro" ma che una bella controllata al fw
hw e alle altre macchine (tutte win) non è una cattiva idea.

[cut]

Ciao
-- 
Stefano Callegari
LinuxRegistered: User 248729 - Machine 133534
Via Frassanedo 2 - Saonara (PD) - Italy