firewall

[phatboy]

kann ich des auch logen lassen ohne was geblock zu haben?

ich hab jetzt beschlossen, dass es unklug is weiterhin mit iptables zu spielen...

also könnt ich einfach ma

iptables -A INPUT -j LOG --log-level info --log-prefix "income: "

machen und der logt drauf los?

 

[megamimi]

hi...

klar kannst des machen...ich würde später aber auf jeden fall den paketfilter nutzen, sonst ist dein server offen wie ein scheunentor....

cu mimi

 

[phatboy]

ja aber die anderen ports sind bei standartmässig zu... ich will ja dann noch des pop, smtp und ftp port öffnen. Dann hab ich bald alle die sowieso offen waren zusammen.

 

[phatboy]

gibts eigentlich einen befehl der die ganzen iptables chains und rules mit einem befehl oder mehreren ausräumt?

ich will n cron machn der diesen befehl durch führt nachdem ich wieder was mit iptables teste, damit ich mich nich wieder ausperre... also wie ich eigene chains lösche weiss ich aber wie geht das mit den standart teilen also input, output, forward?

 

[megamimi]

hi..

mit
iptables -t filter -F
iptabels -t filter -X

stellst du den Urzustand wieder her.

cu mimi

 

[phatboy]

also -t spricht den table den man ändern will an und -F löscht alle rules... und -X is dann einfach noch ma da um alle user chains zu löschen oder?

 

[phatboy]

also was ich jetzt gemacht habe is beides in ein shell script getan und eingestellt dass er den script jede stunde laufen lässt...

ich habs ma getestet:

hier is der script (/home/iptables.sh):
#! /bin/bash
iptables -t filter -F
iptables -t filter -X

im cron über webmin hab ich folgendes eigestellt:
command: /home/iptables.sh
execute as: root

aber wenn die Zeit gekommen is, läuft der des zwar:
Apr 30 15:53:00 isti603 /USR/SBIN/CRON[4376]: (root) CMD (/home/iptables.sh)

aber ich krieg ne mail mit folgendem inhalt:

Subject: Cron <root@isti603> /home/iptables.sh

/home/iptables.sh: line 2: iptables: command not found
/home/iptables.sh: line 3: iptables: command not found



wenn ich das normal übers shell mach gehts... was braucht cron da?

 

[phatboy]

ich habs mit dem cron hingekriegt...

also mach ich n script mit dem was du mir gegeben hast und offenbar hats des auch wunderbar übernommen, da ich das noch mal über webmin gecheckt habe (siehe attachment). Ich habe davor eine leere rule hinzugefügt und konnte sie auch sehen mit iptables -L und dann hab ich den script der alles löschen soll übers cron ausgeführt, also war die dummy rule verschwunden. Gut denk ich mir also machen wir das mal im grossen stil, ich erstelle die rules die man im attachment sieht und komme gar nicht zur nächsten seite denn wieder is mein server vollkommen zugeblockt trotz der allow regeln die mit sicherheit auch eigegeben wurden... naja ich hab auf den cron job gewartet er müsste eigentlich schon durchgeführt worden sein, aber is immer noch alles dicht

firewalls sind dumm wenn man sie von 300km entfernung konfigurieren muss!

 

[phatboy]

is ja klasse und dies mal darf ich das geld für den reset zahlen... scheiss 23.20 EUR... son kack, warum bitte ging der cron job nich nachdem die firewall des drop an war...

des is doch echt nich mehr lustig... es ging alles 10 mal davor als ich getestet hab!!!!

 

[ziczac]

Hm, ich dachte ich hätte das Prinzip verstanden...

Ich dachte die Tables werden von oben nach unten abgearbeitet.
Und wenn ich ein Paket droppe (verwerfe) kann ich es dennoch danach durchlassen? Hm...also, wenn ich die Regeln so aufbauen müsste würde ich (durch das was ich bisher so gesehen habe) erstmal mal das durchlassen was durch soll und dann alles droppen was nicht den Regeln darüber entspricht?!

Zum Cron kann ich leider nichts sagen... Find das aber schon merkwürdig.

mfg
zz

 

[phatboy]

ich hab mittlerweile das gefühl dass

iptables -t filter -F
iptables -t filter -X

dem "iptables -P INPUT DROP" nichts antut. So wurden die accepts gelöscht aber das haupt drop nicht. So erklär ich mir es dass es am anfang dann funktioniert hat bis zum cron (es funktionierte am anfang bis zum cron bei meinem anderen server). Ja nachdem ich den ersten dicht gemacht hat, wollte ich aus meinen fehlern lernen bin das noch ma ruhig und logisch angegangen an meinen zweiten server, eigentlich der hauptserver, mein erster. Nunja, der is nun auch zu und weils so schön is steht der auch 300km von mir weg. Also bin ich jetzt bei 46,40 EUR dass ein Techniker zwei knöpfe drücken darf. Nun ja... eine teuere erfahrung, aber jede erfahrung ist wertvoll.

 

[megamimi]

hi...

Ist ja klar das die zwei Befehle der policy nichts antun, das sind ja auch vollkommen verschiedene Dinge, die zwei rules löschen nur alle regeln die vorhanden sind.Wenn dann die policy auf DROP ist, ist die Kacke am Dampfen...um die policy wieder auf accept zu setzen musst du einfach
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
eingeben...tut mir leid das du jetzt den server neu starten musst, aber ich dachte du denkst auch ein bischen mit

cu mimi

PS: eigentlich hätte ich auch ein bischen mitdenken sollen, aber ich dachte du willst nur wissen wie man regeln löscht...sorry

 

[phatboy]

ich hab schon mitgedacht aber ich wusste nich dass es policies und rules gibt... bzw dass da ein unterschied is

naja ich hab connections zu einem der im rechenzentrum arbeitet, der kann mir vielleicht nen reset zu realisitischen preisen beschaffen... kein grosser verlust, weder zeitlich noch finanziell. Ich wollt mir jetzt eh noch nen mp3 server für zuhause kaufen, da pack ich dann gleich linux drauf und dann hab ich wieder n test server.

mei, bin halt noch noob... ich kenn das, wenn ich versuche einem noob was in meinem fachgebiet zu erklären gibts auch immer wieder missverständnisse.

 

[megamimi]

hi...

Na wenns nicht so schlimm ist hab ich ja noch mal Glück gehabt. Ich habe schon Schadensersatzforderungen kommen sehen

cu mimi

 

[phatboy]

nene... wär ja noch dümmer wenn ich dich jetzt beschuldigen würde... du hast mir immer die richtígen antworten gegeben in so fern trifft dich sowieso keine schuld.

aber wär ma nett gewesen wenn sich manch anderer den ich ausm chat kenn hier beteiligen würde, denn im chat sachten die meisten die hätten was anderes benutzt und so... das hätten die mir auch unglaublicherweise früher sagen können.

 

[phatboy]

also, im endeffekt hats mich bloss 11,60EUR extra gezahlt für den zweiten server den ich dann anschliessend ja aus überzeugung von mir selber zugesperrt hab... da hat ich die connections... der andere server, da is so dass mein cousin aus leverkusen nach düsseldorf gefahren is um aufn knopf zu drücken... also ich probier firewall sachen nur noch local... und ich mach nen cron job der den server im falle eines sperrens neustartet... das is das letzte mal dass mir das passiert


ah ja... und

iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

hab ich zu dem einen script hinzugefügt...