firewall

[phatboy]

hallo, ich möchte alle offenen ports meines servers stopfen da ich im Minutentakt riesige Datenmengen empfange obwohl der Server gerade mal einen Tag im Netz ist und die Test seite von Apache kann wohl kaum so viel Traffic verursachen.

Das einzige tool was mir da bekannt ist, ist iptables, da ich das aber noch nie benutzt habe wollt ich fragen obs vielleicht n admin tool dafür gibt oder ein tutorial. Oder kennt ihr vielleicht ein anderes, das ihr einem noob empfehlen würdet?

 

[megamimi]

hi...

Ein gutes HOWTO zu iptables gibts hier: http://www.netfilter.org/documentation/HOWTO/de/packet-filtering-HOWTO.html


cu mimi

 

[phatboy]

hmm danke, aber kann mir einfach ma einer sagen wie ich alle ports ausser 22, 80 und 10000 blocke? ich checks doch nich so.

 

[megamimi]

hi...

iptables -P INPUT DROP
iptables -A INPUT -m multiport --dport 22,80,10000 -j ACCEPT

blockt alle eingehenden verbindungen ausser die auf port 22,80 und 10000

cu mimi

 

[phatboy]

shit, jetzt hab ich das eigegeben und nach der ersten zeile hat gings nimmer weiter... weil da schon alle ports geblockt waren... komm ich da jetzt noch rein?

das hätte man wohl übers x direkt machen sollen... aber ich bin in münchen und der server in düsseldorf.

 

[megamimi]

hi...

*lol*
Du musst jetzt wohl oder übel direkt zum Server rübergehen und direkt dort den zweiten Befehl eingeben

cu mimi

 

[phatboy]

ja gut, ich nehme wenn ich den server neu starte, wird sich das problem beheben, habe ich recht?

Naja einen Neustart habe ich schon angeordnet... aber leider erst für Dienstag, wegen den Feiertagen.


Ich hatte mir dann gedacht wenn ich die zwei befehle cron zuweise und der das einmalig intern laufen lässt, muss ich das nich übers x machen oder?

 

[Tarzipan]

mach doch einfach ein script draus...
das kannst du auch in das netwerk-script einbetten, damit es bei start geladen wird.

 

[megamimi]

hi...

Ja, die iptables Befehle verfallen bei jedem Neustart.
Du kannst dir auch einfach ein shell-skript basteln, dann werden auf alle fälle alle deine befehle ausgeführt.
Ich würde aber trotzdem vorher das howto durchlesen, damit du weißt was du da eingibst...


cu mimi

EDIT: ups, das mitm skript hat wohl schon einer gesagt....

 

[Andre]

aber denk dran, das dich ein FW in der Regel nicht gegen den traffic schützt....
wenn der traffic an dem network-link gemessen wird, ist es meist egal, ob die packete verworfen werden oder nicht...es muss ja auf jeden fall durch die lankarte..

 

[phatboy]

ich bins gewöhnt dass ich sachen eigeben kann die erst in kraft treten, wenn man den deamon neu startet. Das trifft ja nich wirklich bei iptables zu desswegen habe ich den fehler gemacht. Aber ich wusste schon was ich mit den befehlen mache... hab aber nicht im vorraus gedacht.

@andre: da haste wohl auch recht... dann schau ich mal nach wo genau der traffic herkommt und versuche die quelle zu stoppen.

 

[phatboy]

sacht mal wie siehts eigentlich aus mit packet sniffer?

wenn ich jetzt den packetsniffer benutze um den server bzw. die packet zu überwachen könnte ich doch jetzt schon herausfinden wo es herkommt und so vielleicht die quelle stoppen.

 

[megamimi]

hi...

Also um einen Sniffer zu installieren müsstest du ja Zugriff auf den Server haben, was du ja nicht hast...
Aber sobalt du wieder rein kannst, reicht ein

iptables -A INPUT -j LOG --log-level info --log-prefix "income: "

vor der ACCEPT-Regel um alle ankommenden Pakete mitzuloggen.

 

[phatboy]

wo logt der die dann?


vor dem hier, seh ich das richtig?

iptables -P INPUT DROP
iptables -A INPUT -m multiport --dport 22,80,10000 -j ACCEPT

 

[megamimi]

hi...

Die wandern nach /var/log/messages....

Du musst die logrule zwischen die 2 anderen plazieren. Also erst die Policy auf DROP setzen, dann loggen, dann durchlassen . Es werden allerdings alle ports mitgeloggt, nicht nur 80,22 und 10000.....

cu mimi

BTW: heißt es loggen oder logen?

 

[phatboy]

ah ja, und wo wir grad dabei sind, wie würde denn so ein shell script aussehen... ich hab sowas ebenfalls noch nie gemacht

 

[megamimi]

hi...

einfach

#! /bin/bash
iptables blabla..

in eine datei schreiben, ein chmod +x drauf und fertig
cu mimi

 

[phatboy]

danke

 

[megamimi]

bitte

 

[megamimi]

hi...

kleiner Nachtrag noch: mach statt

iptables -A INPUT -m multiport --dport 22,80,10000 -j ACCEPT

lieber

iptables -A INPUT -p tcp -m multiport --dport 22,80,10000 -j ACCEPT
iptables -A INPUT -p udp -m multiport --dport 22,80,10000 -j ACCEPT

, ich bin mir nämlich nicht sicher ob das Obere funktioniert; das Untere funzt aber auf jeden Fall.

cu mimi