---

Hej!

Jeg forsøger at finde ud af hvordan jeg får iptables til at køre på
en maskine med DMZ netværk.

Hvis man udefra skal have adgang til en webserver i DMZ må det vel
være noget i stil med (antispoofing etc er selvfølgelig andet sted i
scriptet) - adresser på EXT_INT samt i DMZ er alle public adresser
(ingen NAT):

UNPRIVPORTS="1024:"
HTTP_SERVER_1="ww.xx.yy.zz"
EXT_INT="eth0"
DMZ_INT="eth1"
DMZ_NET="aa.bb.cc.dd/29"

iptables -N bad-dmz
iptables -N dmz-bad

iptables -A FORWARD -s $DMZ_NET -i $DMZ_INT -o $EXT_INT -j dmz-bad
iptables -A FORWARD -i $EXT_INT -o $DMZ_INT -j bad-dmz

# Incoming HTTP requests
iptables -A bad-dmz -p tcp \
--source-port $UNPRIVPORTS \
-d $HTTP_SERVER_1 --destination-port 80 -j ACCEPT

# Allow web-server to reply
iptables -A dmz-bad -p tcp ! --syn \
-s $HTTP_SERVER_1 --source-port 80 \
--destination-port $UNPRIVPORTS -j ACCEPT

Er det helt ved siden af ??

/Brian

---

Brian Ipsen wrote:

> # Incoming HTTP requests
> iptables -A bad-dmz -p tcp \
> --source-port $UNPRIVPORTS \
> -d $HTTP_SERVER_1 --destination-port 80 -j ACCEPT
>
> # Allow web-server to reply
> iptables -A dmz-bad -p tcp ! --syn \
> -s $HTTP_SERVER_1 --source-port 80 \
> --destination-port $UNPRIVPORTS -j ACCEPT
>
> Er det helt ved siden af ??

Det ser såmænd ok ud - men hvorfor bruger du ikke "-m state --state
RELATED,ESTABLISHED"? Det er en hel del nemmere og du slipper for at skumle
portscans kan komme igennem.

Du skal så have --syn på bad-dmz reglen.

/Rasmus

--
-- [ Rasmus "Møffe" Bøg Hansen ] ---------------------------------------
Because I don't want to force you to follow my philosophy, even though
it happens to be the only possible correct philosophy.
-- Ted Lemon
----------------------------------[ moffe at amagerkollegiet dot dk ] --

---

On Sun, 30 Jun 2002 17:03:41 +0200, Rasmus Bøg Hansen
<moffe47@hotmail.com> wrote:

>> # Incoming HTTP requests
>> iptables -A bad-dmz -p tcp \
>> --source-port $UNPRIVPORTS \
>> -d $HTTP_SERVER_1 --destination-port 80 -j ACCEPT
>>
>> # Allow web-server to reply
>> iptables -A dmz-bad -p tcp ! --syn \
>> -s $HTTP_SERVER_1 --source-port 80 \
>> --destination-port $UNPRIVPORTS -j ACCEPT
>>
>> Er det helt ved siden af ??
>
>Det ser såmænd ok ud - men hvorfor bruger du ikke "-m state --state
>RELATED,ESTABLISHED"? Det er en hel del nemmere og du slipper for at skumle
>portscans kan komme igennem.
>
>Du skal så have --syn på bad-dmz reglen.

Ok.... jeg prøver... det hele bliver nok en del mere skummelt hvis man
så komer i tanker om at smække de eksterne server IP-adresser på det
eksterne interface - og så have NAT på både DMZ og internt net (lidt i
stil med den måde det foregår i en Cisco PIX firewall)... Så skal jeg
også have smidt en gang DNAT ind i - men den tid, den glæde (eller
sorg)....

/Brian