Юниксоид

Xakep Online -> Журнал, номер #012, стр. 012-052-6

Тестирование работы

Не бросайся сразу писать в браузере www.sex.com, а для начала посмотри IP хоста с машины, подключенной в Интернет, и попробуйте ввести именно его. Глюков бывает много, поэтому не торопись. Может быть неверно сконфигурирован DNS, и ты не получишь желаемый результат.

Что такое IP Chains?

Linux ipchains это фильтр пакетов, пришедший на смену старой ipfwadm, которая была списана с BSD.

Зачем он мне нужен?

Из соображений безопасности твоей системы и безопасности пользователей твоей локальной сети от DoS атак, троянов и других опасностей, подстерегающих их в Интернете. А также для регулирования потока информации, проходящего через твою сеть, то есть фильтровка ненужной информации типа спама и порнографии =).

Конфигурация ipchains

Кратко опишу флаги для ipchains

(-N) создание новой цепочки правил

(-P) смена правил для встроенных цепочек

(-L) список всех правил в цепочке

(-F) очистка цепочки от правил

(-A) добавить новое правило к цепочке

(-I) вставить новое правило в указанную позицию в цепочке

(-R) заменить правило в указанной позиции цепочки

(-D) удалить правило в указанной позиции

(-L) просмотр установленных правил

(-M -L) показать текущие соединения через маскарад

(-M -S) установить тайм-ауты для маскарада

(-p) протокол ICMP, IGMP, TCP, UDP. (!UDP указывает на те протоколы, которые не UDP. Вообще, если ты ставишь '!', то это означает определение условий, не попадающих под данные)

(-s) исходный адрес, порт (0/0 для всех)

(-d) адрес отсылки (0/0 для всех)

(-j) что делать (Deny/Reject/Accept/MASQ/Redirect, Return)

(-i) указание интерфейса, например, eth0 или ppp0. Набери ifconfig -a и посмотри, какие у тебя есть. ;)))

(-C) позволяет проверить работу цепочки

Все правила делятся на типы inut, output, forward.

Знаком ':' обозначаются промежутки портов. Например, 100:150 будет определять 50 портов с 100 по 150. Порты должны указываться после адреса.

Вот несколько примеров:

satan:~#ipchains -A input -s 0/0 135:139 -p tcp -j DENY

И тупые сканерщики расшаренных ресурсов обломаются.

satan:~#ipchains -A input -s 0/0 31337 -p udp -j DENY

Любители трояна БО грызут ногти от злобы.

satan:~#ipchains -A input -s 0/0 -p icmp -j DENY

И на пинг уже никто не ответит :))).

satan:~#ipchains -A output -d 0/0 12345 -p tcp -j DENY

Чтобы юзеры из нашей локалке не нетбасили :).

Так же введенные нами правила можно сохранить в файле и потом хранить его где-то и при необходимости загрузить

satan:~# ipchains-save > rulez

satan:~# ipchains-restore < rulez

Ну вот и все. Теперь ты почти крутой админ :).