Konfiguracja iptables

[[pl]ice]

cze, staram sie cos zrobic w rodzaju: zeby uzytkownik mogl wgrywac np do upload(vsftpd), ale potem zeby nie mial praw tego kasowania; jakos mi nie wychodzi... znalazlem ze w vsftpd mozna umask ustawic, ale tez mi nie wychodzi, np:
   po wgraniu pliku jest eg. drwx--------
jaka maske moge uzyc zeby miec cos w rodzaju
dr-x----
i :   dr-xr-x-r-x

dobrze mowie ze maska tylko odejmuje bity? a nie robi logicznych operacji?

np.
 drwx 700
mask 200
dr-x 500

a jak  nie to jest jakis inny sposob na zrobienie tego co chce?
dzieki!!

[amdfanatyk]

jesli dobrze pamietam to ANON_OTHER_WRITE=NO ale moge sie mylic!

sprawdz man vsftpd.conf

[klarysz]

Witam,
poszukuję  literatury, która umożliwiłaby mi pełne zrozumienie sposobu konfiguracji firewall'a. Przeczytałem już kilka materiałów na ten temat jednakże każdy z nich jest pisany dla osób "będących w temacie" czyli małoczytelny dla osób początkujących . Jeżeli ktoś mógłby mi podesłać linka do materiałów z tego tematu  (zawierających  równeż przykłady) byłbym wdzięczny. Pozdrawiam.

[kamikaze]

2005-07-29 23:05:02 klarysz napisał:

> Witam,
 > poszukuję  literatury, która umożliwiłaby mi pełne zrozumienie sposobu konfiguracji firewall'a.
 > Przeczytałem już kilka materiałów na ten temat jednakże każdy z nich jest pisany dla osób
 > "będących w temacie" czyli małoczytelny dla osób początkujących . Jeżeli ktoś mógłby
 > mi podesłać linka do materiałów z tego tematu  (zawierających  równeż przykłady) byłbym
 > wdzięczny. Pozdrawiam.

google.com, man iptables i masz wszystko co trzeba.

[amdfanatyk]

w najczesciej uzywanej (domyslej tablicy czyli jak nie podamy -t) filter mamy 3 glowne (predefiniowane) lancuchy: INPUT (pakiety przychodzace na interfejs), OUTPUT (wychodzace z niego), FORWARD(przechodzace miedzy interfejsami dlatego ma i wejsci i wyjscia); -A dodaje na koniec regule, -I na poczatek, -P ustawia domyslna polityke czyli co sie stanie z pakietem jesli nie dopasuje sie go do zadnej reguly; -i interfejs wejscia -o wyjscia, -p protokol, -m dopasuj, -j przeskocz; przykladowy skrypt blokuje wszystko za wyjatkiem nawiazanych - idealny na komputer bez aktywnych uslug:

iptables -P INPUT DROP #odrzuc bez echa
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT #wpuszczamy petle zwrotna czyli 127.0.0.1
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT #wpuszczamy nawiazane
iptables -A INPUT -j LOG --log-prefix "FROM INPUT DROP " #logujemy odrzucone

opcji jest znacznie wiecej; zabawa z tablica filter dobra przy pomocy mojego programu ipt-qt-conf dostepny na www.kde-apps.org; sa jeszcze tablice nat i mangle a wszelkich mozliwosci zabawy z iptables cale multum

[Maciek_Rutecki]

2005-07-30 22:54:11 amdfanatyk napisał:

 > opcji jest znacznie wiecej; zabawa z tablica filter dobra przy pomocy mojego programu
 > ipt-qt-conf dostepny na www.kde-apps.org; sa jeszcze tablice nat i mangle a wszelkich
 > mozliwosci zabawy z iptables cale multum

Jakies dwa tygodnie temu zastanawialem sie czy to Twoj program, nawet fajny, choc wole pisanie w skryptach.

--
Maciek

[amdfanatyk]

ja tez wole ale upchnalem tam mozliwie najwiecej opcji jakich uzywam, zeby przyspieszyc tworzenie regul a dodatkowo staralem sie zrobic tak, zeby tworzenie reguly odbywalo sie na mozliwie "najnizszym" poziomie i dlatego mozna kazda regule dowolnie modyfikowac z palca :] po za tym program ma raczej charakter wprawki do programowania z qt-libs

p.s.
obczaj tez NetfilterStatsBuilder.

[Maciek_Rutecki]

2005-07-31 12:22:09 amdfanatyk napisał:

 > obczaj tez NetfilterStatsBuilder.

A tego nie widzialem, przyjrze sie w wolnym czasie

--
Maciek

[klarysz]

2005-07-30 22:54:11 amdfanatyk napisał:

> w najczesciej uzywanej (domyslej tablicy czyli jak nie podamy -t) filter mamy 3 glowne
> ....


Witam ponownie,
cóż spędziłem mnóstwo czasu aby napisać regułki umożliwiające osiągnięcie zamierzonego celu, jednakże tak jak myślałem  Wasze cenne wskazówki oraz przeczytana literatura nie wystarczyła mi na rozwiązanie problemu. Więc po krótce powiem o co chodzi:
1. konfiguracja sieci następuąca: modem VoIP (np. 192.168.1 104/24) => firewall (eth0 np. 192.168.1.100/24, eth1 np. 192.168.2.90/24) =>komp (np. 192.168.2.110).
2. zadanie polega na zapewnieniu komunikacji w obu kierunkach pomiędzy kompem a modemem (np telnet) przy założeniu, że modem VoIP nie ma możliwości  ustawienia gateway'a ( modemie ustala się tylko adres IP urządzenia oraz adres IP  urządzenia docelowego)
3. Konfguracja musi uwzględniać, sytuację że inicjowana komunikacja może byż zarówno od strony kompa jak i od strony modemu VoIP (pakiet NEW)
4. Ponadto chciałbym zapytać jak włącza się logowanie operacji wejścia - wyjścia z poszczególnych interfejsów. Tylko proszę o informację całkowitą dotyczącą konfiguracji całego środowiska (tzn iptables, sysctl.conf, sysctlog.conf i co jeszcze). Taka banalna rzecz i też nieznalazłem opiu do tego. (znalazłem opis w którym bez konfiguracji sysctl.conf i sysctllog.conf i wpisach do iptables powinno zachodzić logowanie do logu systemowego, jednakże u mnie to nie działa).
Proszę o pomoc
pozdrawiam

[pjp]

W odpowiedzi na:

 > > Witam,
 >  > poszukuję  literatury, która umożliwiłaby mi pełne zrozumienie sposobu konfiguracji
 > firewall'a.
 >  > Przeczytałem już kilka materiałów na ten temat jednakże każdy z nich jest pisany dla
 > osób
 >  > "będących w temacie" czyli małoczytelny dla osób początkujących . Jeżeli ktoś

Jakis palant pisze:  google.com....

W zwiazku z czym  ja bardzo prosze o niedopuszczanie do forum tajnych agentow Microsoftu / idiotow nierozumiejacych pytania (niepotrzebne skreslic) gdyz to wybitnie obniza prestiz idei OpenSource i kapitalnie zniecheca poczatkujacych uzytkownikow do narzedzi takich jak Linux.

Jednoczesnie w imie Wolnosci deklaruje, iz z mojej strony podobne ekscesy beda sie powtarzac przy kazdej okazji i na kazym forum poswieconym Open Source, bez wzgledu, czy pytajacym bedzie sprzataczka, Kwasniewski czy Bill Gates.

PS chyba, ze w koncu napiszecie naprawde porzadna instrukcje w strawnym dla uzytkownika jezyku.

[Maciek_Rutecki]

2005-09-16 21:54:36 pjp napisał:


 >
 > Jakis palant pisze:  google.com....
 >
 > W zwiazku z czym  ja bardzo prosze o niedopuszczanie do forum tajnych agentow Microsoftu /
 > idiotow nierozumiejacych pytania (niepotrzebne skreslic) gdyz to wybitnie obniza prestiz idei
 > OpenSource i kapitalnie zniecheca poczatkujacych uzytkownikow do narzedzi takich jak Linux.
 >
 > Jednoczesnie w imie Wolnosci deklaruje, iz z mojej strony podobne ekscesy beda sie powtarzac
 > przy kazdej okazji i na kazym forum poswieconym Open Source, bez wzgledu, czy pytajacym bedzie
 > sprzataczka, Kwasniewski czy Bill Gates.

Jak myslisz ile razy mozna odpowiadac na podobne pytania, jesli chodzi o iptables to ciagle jest to samo, a manuale sa i to po polsku, przystepne. Gdzie? na google (tak jestem palantem, ktory ma dosc debilnych pytan).

Nie rozumiesz jaki jest powod istnienia takiego forum internetowego, chcesz miec pomoc natychmiastowa, jednoczesnie bedac zwolnionym z myslenia? To płać. Powtarzam to juz z uporem maniaka tutaj wszyscy pomagaja za darmo, poswiecajac swoj wlasny czas.

Skoro padla odpowiedz "google", to oznacza, ze pytajacy nie zadali sobie trudu pomyslenia nad problemem i sa latwo dostepne odpoweidzi.

http://rtfm.killfile.pl/#wstep  <- to jest pisane konkretnie o Tobie, przeczytaj to uwaznie.

>
 > PS chyba, ze w koncu napiszecie naprawde porzadna instrukcje w strawnym dla uzytkownika
 > jezyku.
 >

A sam nie mozesz pomoc przy pisaniu dokumentacji, zamiast wylewac swoje żale? Ja staram sie tworzyc manuale/howto, kiedy widze, ze problem jest popularny, badz slabo opisany w rodzimym jezyku. Gdybym mogl, to tworzylbym cos nieustannie, ale nie dla ludzi, ktorzy nie chca sobie pomoc.

Stawianie żądan typu: kiedy napiszecie/zrobicie/odpowiecie uwazam za zwykla arogancje.

Krytyczne uwagi zawsze sa na miejscu, pod warunkiem, ze wnosza cos konkretnego.

--
Maciek

[amdfanatyk]

dobrze, ze jest jeszcze paru takich ludzi jak Ty Maciek bo na innych forach to juz takie cwaniactwo ... tutaj tez probuja to przemycic :[

[agnus]

2005-09-16 22:28:47 amdfanatyk napisał:

> dobrze, ze jest jeszcze paru takich ludzi jak Ty Maciek bo na innych forach to juz takie
 > cwaniactwo ... tutaj tez probuja to przemycic :[

to co pisze nie odnosi sie do tego konkretnego postu- ale do ogoolu wypowiedzi: zdaje sie ze to forum dla nowych w linuksie... czyli takich, ktorzy zaczynaja i piepsza czasem androny z powodu braku wiedzy i informacji: zatem skoro jakis lepiej wiedzacy sie tu loguje to powinien ( moim zdaniem ) twardo i ciagle towarzystwo lamerskie rozjasniac swa wiedza... bo po co sie tu zjawia? zeby szpanowac? to gorsze buractwo niz lamerstwo... nieprawdaz? zatem: klarowac umysly a nie sciemniac. i tyle.
a moze dla mlodych jakies takie skrypciki  pomocne i edukacyjne by byly dobre.... duzo mozna sie z takiego dowiedziec... a poza tym dziala... w rzeczonych googlach np znalazlem: http://www.iem.pw.edu.pl/~rzeznicp/iptables/generator_setup.php
... choc nie do konca moge ocenic jakosc tej stronki... moze ktos sie pokusi o ocene. ze znawcow... hehehe