nastaveni firewallu

[Dan Lukes]

Jaroslav Votruba napsal/wrote, On 07/09/08 06:45:
>>     ping je ICMP. Presneji receno dve ICMP - protoze zvlast request a 
>> reply.

> mam tam
> ${fwcmd} 950 allow icmp from any to any in via ${oif} icmptypes 0,3,4,8,11
> a ping by mel byt 0 a 8 ICMP, nicmene ping neprojde. Nemel by byt nekde 
> vyse?

Mozna. Mas tcpdump, mas tam pristup, tudiz mas daleko snazsi moznost 
ladit. Vezmi pravidlo, ktere povoluje vse a postupne ho posouvej nahoru. 
Ve chvili, kdy icmp zacnou fungovat mas misto, ktere je blokuje. Pak se 
musi srozhodnotu co s tim.


> Dale, jak ma byt vysoko divertovaci pravidlo? Mam ho za blokaci techto 
> pravidel (viz nize), ale nepropusti me to z vnitrni site ven

	Divertovaci pravidlo zajistuje predani paketu z jadra tomu daemonovi, 
co zajistuje preklad. To znamena, ze musi byt umisteno tak, aby se 
vsechny potrebne pakety do toho daemona dostaly. Jinymi slovy - nad nim 
nesmi byt ani zadne pravidlo, tkere by blokovalo pakety, ktere se do nej 
dostat naji - ale nesmi tam byt ani pravidlo, ktere by takove pakety 
povolovalo (protoze prochazeni pravidel nalezenim takoveho pravidla 
konci a k divertu se paket uz nedostane).

	Typicky tedy divert byva dost vysoko.

	Zbyva dodat, ze kazdy paket prochazi firewallem dvakrat - na vstupu do 
kernelu z karty a na druhe strane - na vystupu z kernelu do karty. To 
prvni je smer 'in', to druhe 'out'. Prijimaci interface specifikuje 
klauzuje 'recv $if', odchozi interface 'xmit $if'. Na vstupni strane 
(in) je znam jen prijimaci interface, na odchozi strane oba. Direktiva 
'via' znamena "prijimaci nebo odchozi interface".

	Takze s 'via' je treba byt opatrny - aby delal opravdu jen to co chces.

> Jeste mi neni jasné, proc kdyz mam v configu IPFW na zacatku flush -f, 
> tak pokud nactu pravidla z tohoto configu, tak pri nacitani pomoci ssh, 
> se pravidla flushnou, zustane jen posledni 65 xxx ktere firewall uzavre. 

	To tezko rict. Obcas byva potiz, ze neuplne sestaveny firewall blokuje 
komunikaci, ktera je potreba pro to spojeni, pres ktere to delas. Coz 
ale neplati, pokud "defaultni" pravidlo vsechno otevira.

	Pokdu to neni tohle, je to neco jineho - pust ten script v debugovacim 
rezimu (sh -x ...)n a uvidis co dela ...

						Dan