nat - jak je to správne

[Dan Lukes]

Josef Hrabec napsal/wrote, On 08/11/08 10:02:
>> dal jsem zkousel si taky hrat s firewallem (IPFW) ale bud jsem blbej ja
>> , nebo firewall, ale uz jsem z toho divokej. Pravidla se ctou od zhora
>> dolu, pokud pravidlo vyhovi, tak dále nepokracuje a je zpracovane.

Ne u vsech pravidel. Treba u divertu to platit nemusi.

>> Nicmene to funguje asi nejak jinak. Uvedu priklad . Otevrel jsem port 53
>> obema smery,udp i IP  pres vsechny rozhrani a za nej dal pravidlo
>> blokujici zbytek komunikace obema smery  pres venkovni rozhrani.Tak
>> nejak jsem predpokladal, ze by pakety meli prochazet

Moc obecny pojem. Jake pakety ? Opravdu mely "ten spravny" zdrojovy i 
cilovy port (pole toho, jak mas ta pravidla udelana) ? Bylo pravidlo 
zakazujici provoz pres vnejsi rozhrani napsane opravdu spravne ? 
(Zejmena u 'recv' a 'via' je treba davat pozor a pamatovat, ze paket 
prochazi firewallem dvakrat a tyhle tagy se budou vyhodnocovat i pri 
druhem pruchodu).

>> Mohl by se nekdo obetovat a pomoct mi s tim a hlavne vysvetlit , kde
>> delam chybu? Veskere konfigy bych vam poslal, pripadne povolil pristup
>> na server.
> 
> 
> Nevim jestli se ti bude nekdo hlasit na tvuj server a nastavovat ti
> pravidla pro firewall. Mozna ano, v pripade ze by mel zajem mit na ten
> server pristup i nekdy pozdeji....   :-)

No, nebyl by to prvni server/router nekoho z tehle konference, na ktery 
bych vlozil spinave, lec presto superuzivatelskym opravnenim vybavene, 
pracky. Jestli "dat je" je nebo neni bezpecnostne rozumne/prijatelne je 
uvaha, kterou musi provest ten, kdo ta prava dava. Na druhe strane je 
treba provest spis uvahu, zda je rozumne je prijmout (co kdyz se vam 
neco nepovede a zpusobite skodu ?).

Nicmene, ja tentokrat urcite ne. Ted se mi to nehodi. A navic, ladit na 
dalku firewall je vzdycky ponekud komplikovane.

> Obecne, kdyz neco takoveho ladim a potrebuji nalezt chybu, tak pouzivam
> tcpdump, abych videl jestli pakety opravdu chodi tam kde potrebuji. A taky
> je dobre se divat na countery jednotlivych pravidel kde clovek ziska
> informaci, zda-li pres dane pravidlo vubec nejake pakety prochazeji.

Presne a pak je taky dobry pomocnik "allow all from any to any", ktery 
posouvas niz a niz, az "to zacne fungovat". Tehdy jsi nasel pravidlo, 
ktere komunikaci blokuje. Pak uz nebyva az takovy problem zjistit proc ...

						Dan