Firehol - Redigeerimiste ajalugu

Erkko: fck

2018-07-23T19:58:49Z

fck

←Vanem redaktsioon		Redaktsioon: 23. juuli 2018, kell 19:58
150. rida:		150. rida:
	firehol status		firehol status

	Loodud ühendusi näeb ~~käige~~ lihtsamalt /proc/net/ip_conntrack failist		Loodud ühendusi näeb kõige lihtsamalt /proc/net/ip_conntrack failist

	cat /proc/net/ip_conntrack		cat /proc/net/ip_conntrack

Erkko: krijaveda

2018-07-23T19:56:53Z

krijaveda

←Vanem redaktsioon		Redaktsioon: 23. juuli 2018, kell 19:56
4. rida:		4. rida:
	põhjalikumalt süntaksi tundmist ja tähelepanelikku jälgimist.		põhjalikumalt süntaksi tundmist ja tähelepanelikku jälgimist.

	Seetõttu on loodud iptablesi/netfiltri seadistamist hõlbustav tarkvara FireHOL. Tegemist on minimalistliku tarkvaraga mise ei nõua ~~apatche~~/php-d ega X-aknaid ja tema enda ~~konff~~ on maksimaalselt inimloetav. Oma süntaksilt meenutab FireHOL ehk kõige rohkem OpenBSD packet filtrit.		Seetõttu on loodud iptablesi/netfiltri seadistamist hõlbustav tarkvara FireHOL. Tegemist on minimalistliku tarkvaraga mise ei nõua apache/php-d ega X-aknaid ja tema enda konf on maksimaalselt inimloetav. Oma süntaksilt meenutab FireHOL ehk kõige rohkem OpenBSD packet filtrit.

	Tegemist on ka kontrollkihiga reeglite ja kasutaja ees. Ehk siis ~~kogematta~~ tehtud näpuviga		Tegemist on ka kontrollkihiga reeglite ja kasutaja ees. Ehk siis kogemata tehtud näpuviga
	ei hävita hoobilt kogu ~~võrgu ühendust~~. Fireholi näol wrapper suudab vigase süntaksi tagasi tõrjuda enne kui iptablesi käskudeks selle moondab.		ei hävita hoobilt kogu võrguühendust. Fireholi näol wrapper suudab vigase süntaksi tagasi tõrjuda enne kui iptablesi käskudeks selle moondab.

	*https://firehol.org/ Ametlik koduleht		*https://firehol.org/ Ametlik koduleht
86. rida:		86. rida:
	client "http ftp rsync" accept		client "http ftp rsync" accept

	Muutujate kasutamine, keelame eth0 pealt mysqlile ligipääsu mujalt kui kahest võrgust kus asuvad ~~programeerijad~~. Selleks tekitame muutuja PROGEJAD, kuhu paigutame kaks C klassi ning kasutame seda hiljem reeglite sektsioonis.		Muutujate kasutamine, keelame eth0 pealt mysqlile ligipääsu mujalt kui kahest võrgust kus asuvad programmeerijad. Selleks tekitame muutuja PROGEJAD, kuhu paigutame kaks C klassi ning kasutame seda hiljem reeglite sektsioonis.

	PROGEJAD="193.40.0.0/24 192.168.0.0/24"		PROGEJAD="193.40.0.0/24 192.168.0.0/24"
112. rida:		112. rida:
	server custom shoutcast tcp/8000 default accept		server custom shoutcast tcp/8000 default accept

	Selle peale avatakse tcp port 8000 nimega shoutcast default portidelt. Default asemel võib defineerida ka		Selle peale avatakse tcp port 8000 nimega shoutcast default portidelt. Default asemel võib defineerida ka kindla pordi-vahemiku.
	kindla pordi-vahemiku.

	Soovides avada terve portide vahemik tuleks teenus aga defineerida järgnevalt		Soovides avada terve portide vahemik tuleks teenus aga defineerida järgnevalt
131. rida:		130. rida:
	dnat to "${DB}:33066" proto tcp dcport 3306 dst "${NW}"		dnat to "${DB}:33066" proto tcp dcport 3306 dst "${NW}"

	DDOS rünnaku vastu saab kasutada mõningaid abivahendeid, nagu näiteks ~~porotection~~		DDOS rünnaku vastu saab kasutada mõningaid abivahendeid, nagu näiteks protection

	protection strong 200/sec 100		protection strong 200/sec 100
151. rida:		150. rida:
	firehol status		firehol status

	Loodud ~~yhendusi n2eb k2ige~~ lihtsamalt /proc/net/ip_conntrack failist		Loodud ühendusi näeb käige lihtsamalt /proc/net/ip_conntrack failist

	cat /proc/net/ip_conntrack		cat /proc/net/ip_conntrack
165. rida:		164. rida:
	===Näidiskonf: Kodune tulemüür koos NAT'iga===		===Näidiskonf: Kodune tulemüür koos NAT'iga===

	konfiguratsioon koduseks ruuteriks millel kaks võrgukaarti ja sisemisele toimib ~~nat~~. Väliselt on lubatud sisse vaid ssh port. Eth0 on väline kaart mis yhendatud internetiallikaga, näiteks ADSL modem, ning eth1 sisevõrku ühendatud.		konfiguratsioon koduseks ruuteriks millel kaks võrgukaarti ja sisemisele toimib NAT. Väliselt on lubatud sisse vaid ssh port. Eth0 on väline kaart mis yhendatud internetiallikaga, näiteks ADSL modem, ning eth1 sisevõrku ühendatud.

	# snat to AVALIK_IP outface eth0 src 192.168.1.0/24		# snat to AVALIK_IP outface eth0 src 192.168.1.0/24
213. rida:		212. rida:
	Probleem seisneb selles, et icmpl on ipv6 all mustmiljon alamprotokolli. Kõige lihtsam oleks panna need kõik lahti. See pole rfc soovitustega küll kooskõlas aga töötaks. Sanewall õnnetuseks ainult ei lase steitlessina neid lahti teha.		Probleem seisneb selles, et icmpl on ipv6 all mustmiljon alamprotokolli. Kõige lihtsam oleks panna need kõik lahti. See pole rfc soovitustega küll kooskõlas aga töötaks. Sanewall õnnetuseks ainult ei lase steitlessina neid lahti teha.

	~~Seepäast~~ tundub, et sanewallis tuleb ipv6 icmp lubamiseks 2013 seisuga teha midagi järgnevat:		Seepärast tundub, et sanewallis tuleb ipv6 icmp lubamiseks 2013 seisuga teha midagi järgnevat:

	rules_icmpv6_stateless() {		rules_icmpv6_stateless() {
237. rida:		236. rida:
	===Probleemid===		===Probleemid===

	Kui firehol teatab "cannot find your current kernel configuration." ~~Siis~~ on tegemist		Kui firehol teatab "cannot find your current kernel configuration.", siis on tegemist
	põhiliselt hoiatusega ning seda teadet võib ignoreerida.		põhiliselt hoiatusega ning seda teadet võib ignoreerida.

Jj: /* Firehol ja ipv6 2011 aasta seisuga */

2016-04-18T09:36:43Z

Firehol ja ipv6 2011 aasta seisuga

←Vanem redaktsioon		Redaktsioon: 18. aprill 2016, kell 09:36
226. rida:		226. rida:

	server "icmp icmpv6_stateless" accept		server "icmp icmpv6_stateless" accept

	~~===Firehol ja ipv6 2011 aasta seisuga===~~

	~~Hetkel ametlik ipv6 tugi puudub. Küll aga saab lisada selle patchina.~~

	*git://repo.or.cz/fireholvi.git
	*http://repo.or.cz/r/fireholvi.git.

	~~Iptables peab olema paigaldatud ipv6 toega, samuti kernel. Gentoos:~~

	~~# USE="ipv6" emerge iptables~~

	~~Paigaldamine ja kasutamine on seletatud kaasapandud failides:~~

	~~# mv /usr/sbin/firehol /usr/sbin/firehol.ipv4~~
	~~# cp firehol.sh /usr/sbin/firehol~~

	~~Konf~~

	~~#!/bin/bash~~

	~~version 5~~

	~~interface "eth0" internet~~
	~~policy drop~~
	~~protection strong~~
	~~ipv4 server "icmp" accept~~
	~~server ipv6neigh accept~~
	~~client ipv6neigh accept~~
	~~server ipv6error accept~~
	~~ipv6 server ping accept~~
	~~server "http https" accept~~
	~~ipv4 client "icmp" accept~~

	~~both client "dns smtp ntp whois" accept~~
	~~client "ftp http https rsync" accept~~

	===Lingid===		===Lingid===

Jj – 18. aprill 2016, kell 09:35

2016-04-18T09:35:20Z

←Vanem redaktsioon		Redaktsioon: 18. aprill 2016, kell 09:35
9. rida:		9. rida:
	ei hävita hoobilt kogu võrgu ühendust. Fireholi näol wrapper suudab vigase süntaksi tagasi tõrjuda enne kui iptablesi käskudeks selle moondab.		ei hävita hoobilt kogu võrgu ühendust. Fireholi näol wrapper suudab vigase süntaksi tagasi tõrjuda enne kui iptablesi käskudeks selle moondab.

	*~~http~~://firehol.~~sourceforge.net~~/ Ametlik koduleht		*https://firehol.org/ Ametlik koduleht

	===Paigaldamine===		===Paigaldamine===

Jj – 18. aprill 2016, kell 09:35

2016-04-18T09:35:03Z

←Vanem redaktsioon		Redaktsioon: 18. aprill 2016, kell 09:35
1. rida:		1. rida:
	~~Paistab, et arendusega enam aktiivselt ei tegeleta ja olemas on fork http://www.sanewall.org/~~

	===Sissejuhatus===		===Sissejuhatus===

Jj – 13. august 2014, kell 12:00

2014-08-13T12:00:55Z

←Vanem redaktsioon		Redaktsioon: 13. august 2014, kell 12:00
190. rida:		190. rida:

	Ülalolevat teksti tähelepanelikult lugenule peaksid olema kõik read juba tuttavad. Uueks infoks on route all accept'i ja masquerade mis lülitavad "lan2internet" blokis sisse NATimise.		Ülalolevat teksti tähelepanelikult lugenule peaksid olema kõik read juba tuttavad. Uueks infoks on route all accept'i ja masquerade mis lülitavad "lan2internet" blokis sisse NATimise.

			Oluline vahe on sellel, et kas teha maskeraadi või SNATi. Peamiselt seetõttu, et maskeraad on serverile töömahukam, kuna selle puhul kontrollitakse iga paketi korral väljuva võrguseadme IP aadressi. Seepärast tasub staatilise IP aadressi korral eelistada SNATi.

	===Pordi suunamine===		===Pordi suunamine===

Aus: /* Näidiskonf: Kodune tulemüür koos NAT'iga */

2014-07-02T11:06:11Z

Näidiskonf: Kodune tulemüür koos NAT'iga

←Vanem redaktsioon		Redaktsioon: 2. juuli 2014, kell 11:06
168. rida:		168. rida:

	konfiguratsioon koduseks ruuteriks millel kaks võrgukaarti ja sisemisele toimib nat. Väliselt on lubatud sisse vaid ssh port. Eth0 on väline kaart mis yhendatud internetiallikaga, näiteks ADSL modem, ning eth1 sisevõrku ühendatud.		konfiguratsioon koduseks ruuteriks millel kaks võrgukaarti ja sisemisele toimib nat. Väliselt on lubatud sisse vaid ssh port. Eth0 on väline kaart mis yhendatud internetiallikaga, näiteks ADSL modem, ning eth1 sisevõrku ühendatud.

			# snat to AVALIK_IP outface eth0 src 192.168.1.0/24
			# see tekitab sisevõrgu 192.168.1.0/24 jaoks NATi, pannes väljuvate pakettide päritoluks avaliku IP aadressi.

	# Välisvõrgust lubame sisse ainult ssh ja välja lubame kõik		# Välisvõrgust lubame sisse ainult ssh ja välja lubame kõik
184. rida:		187. rida:
	client all accept		client all accept
	route all accept		route all accept
	masquerade		masquerade #staatilise IP puhul vaja kasutada snati ja see eemaldada (snat väärtus välja-kommenteeritud üleval pool)

	Ülalolevat teksti tähelepanelikult lugenule peaksid olema kõik read juba tuttavad. Uueks infoks on route all accept'i ja masquerade mis lülitavad "lan2internet" blokis sisse NATimise.		Ülalolevat teksti tähelepanelikult lugenule peaksid olema kõik read juba tuttavad. Uueks infoks on route all accept'i ja masquerade mis lülitavad "lan2internet" blokis sisse NATimise.

Jj – 20. mai 2014, kell 10:30

2014-05-20T10:30:27Z

←Vanem redaktsioon		Redaktsioon: 20. mai 2014, kell 10:30
114. rida:		114. rida:
	server custom shoutcast tcp/8000 default accept		server custom shoutcast tcp/8000 default accept

	Selle peale avatakse tcp port 8000 nimega shoutcast		Selle peale avatakse tcp port 8000 nimega shoutcast default portidelt. Default asemel võib defineerida ka
			kindla pordi-vahemiku.

	Soovides avada terve portide vahemik tuleks teenus aga defineerida järgnevalt		Soovides avada terve portide vahemik tuleks teenus aga defineerida järgnevalt

Jj – 26. oktoober 2013, kell 14:25

2013-10-26T14:25:17Z

←Vanem redaktsioon		Redaktsioon: 26. oktoober 2013, kell 14:25
90. rida:		90. rida:
	Muutujate kasutamine, keelame eth0 pealt mysqlile ligipääsu mujalt kui kahest võrgust kus asuvad programeerijad. Selleks tekitame muutuja PROGEJAD, kuhu paigutame kaks C klassi ning kasutame seda hiljem reeglite sektsioonis.		Muutujate kasutamine, keelame eth0 pealt mysqlile ligipääsu mujalt kui kahest võrgust kus asuvad programeerijad. Selleks tekitame muutuja PROGEJAD, kuhu paigutame kaks C klassi ning kasutame seda hiljem reeglite sektsioonis.

	PROGEJAD="193.40.0.0/24 192.168.0.0/24"		PROGEJAD="193.40.0.0/24 192.168.0.0/24"

	interface "eth0" internet		interface "eth0" internet

Jj: /* Sanewall ja icmpv6 */

2013-10-24T12:26:26Z

Sanewall ja icmpv6

←Vanem redaktsioon		Redaktsioon: 24. oktoober 2013, kell 12:26
211. rida:		211. rida:
	Seepäast tundub, et sanewallis tuleb ipv6 icmp lubamiseks 2013 seisuga teha midagi järgnevat:		Seepäast tundub, et sanewallis tuleb ipv6 icmp lubamiseks 2013 seisuga teha midagi järgnevat:

	rules_icmpv6_stateless() {		rules_icmpv6_stateless() {
	local mychain="${1}"; shift		local mychain="${1}"; shift
	local type="${1}"; shift		local type="${1}"; shift
	local in=in out=out		local in=in out=out
	[ "${type}" = "client" ] && in=out && out=in		[ "${type}" = "client" ] && in=out && out=in
	rule ${in} action "$@" chain "${in}_${mychain}" proto icmpv6 \|\| return 1		rule ${in} action "$@" chain "${in}_${mychain}" proto icmpv6 \|\| return 1
	rule ${out} reverse action "$@" chain "${out}_${mychain}" proto icmpv6 \|\| return 1		rule ${out} reverse action "$@" chain "${out}_${mychain}" proto icmpv6 \|\| return 1
	return 0		return 0
	}		}

	server "icmp icmpv6_stateless" accept		server "icmp icmpv6_stateless" accept