Kezdjük a legelején. :-)

1. Vegyük ezt itt.

$IPTABLES -P INPUT DROP

Ha beírod, hogy iptables --help (vagy man iptables) olvashatod, hogy a -P az úgynevezett chain targatet definiálja. Ez azt jelenti, hogy alapértelmezésben ami az INPUT lácnra kerül, az a DROP láncban végzi.

De valahol definiálsz olyan láncszabályt, ami az adott csomagokat másik láncra irányítja, akkor arra kerül, mert ez csak default szabály, minden más szabály felülírja.

Az $IPTABLES -P INPUT DROP körülbeblül ugyanazt jelenti, mintha a script végére betennél egy

iptables -A INPUT -j DROP

szabályt, azzal a különbséggel, hogy a -P az elején és a végén is egállja a helyét, míg a -A csak a végén, különben mindent a DROP láncba irányít.

2. Mi a helyzet, ha dinamikus IP címem van és mégis szeretnék IP cím alapján is szűrést csinálni. Biztos van erre is módszer. Egyáltalán kell ilyen alapon szűrni?

Pedig egyszerű: senkit sem érdekel, fix-e az IP-d. Ha az, akkor az, ha nem az, akkor meg nem, senkit sem érdekel, amíg nem próbálod meg szerverként használni a gépedet — vagy egy másik gépet a LAN-on. Addig csak az a lényeg, mit akarsz szűrni. Adott IP-kre illetve IP tartományokra engedélyezhetsz dolgokat, a többi csomagot a chain target vagy a DROP úgyis devnullázza, ha jól csinálod. Mindamellett, ha nem LAN tűzfalról van szó, az IP alapú szűrés nem túl gyakori mutatvány, azt is mondhatom, felesleges: az IP cím nem ritkán nem örök életű, és nem csak a te géped esetében. Amint van védendő LAN, egyből jöhet a kérdés, mit is engedjek be és honnan.

3. Ha egyedülálló otthoni gépről van szó, akkor elég az alap láncban szabályokat létrehozni és nem kell saját láncot kreálni. Jól értem?

Mint korábban írtam, standalone gép esetében elegendő, egy

iptables -A INPUT -i ethX -m state --state ESTABLISHED,RELATED -j ACCEPT

Ez amit kiküldesz, visszaengedi. Ezen túl, például ICQ esetén a szükséges portokat meg kell nyitni, hogy kívülről is lehessen kezdeményezni

iptables -A INPUT --proto tcp -i ethX --destination-port 5190 -j ACCEPT
iptables -A INPUT --proto tcp -i ethX --destination-port 5191 -j ACCEPT
iptables -A INPUT --proto tcp -i ethX --destination-port 5192 -j ACCEPT
iptables -A INPUT --proto tcp -i ethX --destination-port 5193 -j ACCEPT

(van rövidebb megoldás, de ez így talán jobban látható (-:)

De ezen túl semmi varázslás nem kell. Hangsúlyozom, amíg nem szerverként akarod használni a tűzfalas gépedet — vagy egy másikat a LAN-on.

4. Modulok... honnan lehet megtudni, hogy kellenek-e?

Ismétlem magamat: a kernel netfiltert, mivel állandóan használni fogod, sokkal célszerűbb a kernelbe fordítani és nem modulnak, innen kezdve pedig ez a kérdés nem kérdés többé: ha a netfilter nem modulban van, nem kell modolni. Egyedül annyi kell, hogy ha mégis routernek használod a tűzfalat, akkor kell egy legyen a script legelején

echo 1 > /proc/sys/net/ipv4/ip_forward, hogy a netfilter is „tudjon” arról, hogy routolásra akarod használni.

5. És persze rengeteg példa van tele olyan sorokkal, aminek céljáról még lövésem sincs.

Leírod, és ha tudom, elmagyarázom. :-)

Kimaradt: a tűzfal értelmes fejlesztése úgy megy, hogy beállítod a lehető legszigorúbbra (pl. DROP, mint chain target), aztán ha valami igényli a kijárást, annak engedélyt adsz, ha kell, de _csak_ annak.

Köszönöm a segítséget. Leállok minden más "tévelygésemmel" és az iptables témát szeretném jól feldolgozni. A legfontosabb, hogy értsem azt, amit összeállítok Mi, miért van?
Ha van időd és kedved és néha ránézel, akkor előre is köszönöm a segítséged. :-)
Én meg szépen lassan, öregesen egy-egy kérdést elővéve szeretnék végig menni az egészen. Persze hozzáolvasok majd egy csomót. És megpróbálok a saját kútfejem szerint összehozni valamit.
Első visszakérdezésem: ha jól értem, a default szabályok (DROP) az elején jó helyen vannak, mert csak akkor érvenyesülnek, ha az általam összeállított szabályok egyikére sem érvényes a bejövő/kimenő csomag? Tehát ebben az esetben a szabályom által meghatározott kerül végrehajtásra.
2. Standalone gép esetében szerintem FORWARD lánc nem kell. Jól értem?
3. IP cím - értem! :-)
Most hirtelen ennyi.
SP

Első visszakérdezésem: ha jól értem, a default szabályok (DROP) az elején jó helyen vannak, mert csak akkor érvenyesülnek, ha az általam összeállított szabályok egyikére sem érvényes a bejövő/kimenő csomag?

Pontosan. Még pontosabban a chain target akárhol lehet, mindenütt jó (de legjobb a Fradi).

2. Standalone gép esetében szerintem FORWARD lánc nem kell. Jól értem?

Tökéletesen. A FORWARD lánc _általában _ egyik IP-ről a másikra irányít (pl. bejövő kéréseket továbbít a DMZ-ben levő szervernek). Persze irányíthat egyik portról a másikra (lásd proxy), de annak sincs túl sok teteje standalone gép esetében.

Ha meg LAN előtt áll, ezzel DMZ-t kialakítva a LAN gépeinek, akkor szinte biztos, hogy lesz FORWARD.

Alakul... kezdem érteni az alapokat. Gondolom azért teszik az elejére a default szabályokat, hogy áttekinthető legyen. Akkor most tovább lépek (nemsokára).