Freesco, NND, CDN, EOS

Planowana jest zmiana w działaniu wbudowanego firewala.

Pytanie brzmi czy funkcja:
/etc/rc.d/iptables stop

ma jak do tej pory zamykać na głucho serwer czy tez moze wręcz przeciwnie otwierać i włączać nat dla wszystkich?

_________________
Nie jestem NEKROMANTĄ, nie wróżę z flaków!
Alkohol pity z umiarem nie szkodzi nawet w największych ilościach!
Przeczytaj nim zapytasz

Skoro firewall jest wylaczony, to powinno byc tak jakby nie byl nigdy instalowany, czyli -P ACCEPT dla wszystkich lancuchow. Przy okazji, jak ktos mialby problemy z zalogowaniem sie (np. na webmina), czy przekierowaniem, to szybciej mozna by wykluczyc zle skonfigurowanego firewalla.
BTW. Mozna by dorzucic zakomentowany przyklad przekierowania portow, bo to dalej sprawia problemy.

Może się usprawiedliwię, bo to z mojego powodu jest tak jak jest. Otóż do tej pory zawsze polecenie firewall stop blokowało system na głucho. Tak było w kilku dystrybucjach ktorych używałem. I tak zrobione to zostałow w NND. Wiem że powodowało to problemy. Sąd planowana zmiana w firewalu. Chcemy aby była możliwość kompletnej blokady, kompletnego otwarcia plus to co do tej pory. Ta ankieta wynika właśnie z dyskusji jak te funkcje nazwać. Chcielibyśy aby było to logiczne dla większości użytkowników. Pozostali będa się musieli niestety przyzwyczaić do nowej terminologii...
Dodam rowniez że zmiany we wbudowanym firewallu będą również obejmowały dodanie możliwości prostego blokowania hostów i forwardu portów.
Stay tuned...

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

Moje zdanie : "firewall stop" w mojej interpretacji oznacza wyłączenie zabezpieczeń , więc przepuszczenie pakietów wszelkich . Czy maskarada powinna być automatycznie dla wszystkich , to już dla mnie znaczenia nie ma. Moje propozycje : "firewall stop" - wszystko przepuszcza , "firewall blok" - wszystko blokuje no i standardowo "firewall start" - użycie reguł z firewalla . Można się pokusić o jakieś parametry zwraz z uruchomieniem , np : "firewall stop -m" - przepuszcza wszystko z włączeniem maskarady itp. , ale łatwo jest proponować a ktoś to musi napisać .

_________________
Internet TV telefon - Nakło nad Notecią
NoNieno.pl - urywa gacie
Szybkie kobiety i piękne samochody

Krótko mówiąc - jestem na TAK
STOP - powinno wyłączać firewalla tak jak wyłącza pozostałe funkcje i usługi

_________________
Pozdrawiam
Damiano
---------------
Pomogłem Kliknij ikonkę "Pomógł"
Miejcie litość - ja dopiero zaczynam

popieram -
STOP: otwiera wszystko
BLOCK: zamyka wszystko

Jestem dokładnie za takim samym rozwiazaniem .

Pozdrawiam!!

Uważam, że działanie jak teraz funkcjonuje jest bardziej naturalne (BEZPIECZNE dla wszystkich).
Jeśli ktoś chce wszystko odblokować to niech nie dopisuje firewalla do daemonów i uruchomi sobie własny skrypt iptables lub klepie ręcznie regułki.

_________________

Dobrze się zastanów o czym mówisz . Nie rozumiem Twojego wywodu - jaśniej proszę

_________________
Internet TV telefon - Nakło nad Notecią
NoNieno.pl - urywa gacie
Szybkie kobiety i piękne samochody

Dobrze jest jak jest teraz.
Nie robić żadnych zmian.

_________________

Uzasadnij proszę .

_________________
Internet TV telefon - Nakło nad Notecią
NoNieno.pl - urywa gacie
Szybkie kobiety i piękne samochody

Ponieważ uważam, że stop to tak jakby firewalla nie było. W tym momencie nie powinien router pozwalać na dostęp do zasobów w sieci wewnętrznej (brak natowania).

Bezpieczeństwo sieci to podstawa.

Wygoda nie ma znaczenia.
Chcesz -P ACCEPT to sobie wpisz.
Ponadto każda dystrybucja jak wymienili przedmówcy tak się zachowuje -P DROP. Nie róbmy fuszerki.
Proponuję zrobić sobie skrypt np. otwarcie.sieci, który będzie robił stop firewalla i ustawi politykę na accept i pozwoli na translację adresów.
Ja napewno nie będę z niego korzystał.

_________________

Tak myślałem - po prostu nie wiesz o czym mówisz . Natowanie nie ma nic wspólnego z dostępem z zewnątrz , wręcz odwrotnie - pozwala na wypuszczenie maskowanych userów w świat . Po to mają być te opcje z literkami abyś się nie pozabijał - to , co jest zostanie .



Tak , pod warunkiem ,że wiesz o czym mówisz .


Chyba na prawdę nie łapiesz idei firewalla ....


I dokładnie po to jest wywołanie firewalla z parametrami , abyś TY i Tobie podobni radzili sobie z takimi skryptami . Firewall to pewna aplikacja - po jej zamknięciu nie powinno pozostać po niej śladu . Wywołanie z maskaradą czy bez to już inna bajka , ale dobrze byłoby , aby można było wywłołać funkcję maskarady dla wszystkich lub całkowicie ją wyłączyć . Jeżeli uważasz , że wyłączenie firewalla powinno powodować całkowite zablokowanie dostępu do serwera to odpowiedz mi na pytanie : czy zdemontowane szlabany z przejazdu kolejowego nadal go blokują i do tego na stałę?

_________________
Internet TV telefon - Nakło nad Notecią
NoNieno.pl - urywa gacie
Szybkie kobiety i piękne samochody

Ale jak będziesz miał politykę na ACCEPT to i w drugą stronę.

Może....

Czyli sam sobie zaprzeczasz.
Maskarada to nie NAT według ciebie?:oops:
A czy zlikwidowanie dojazdu zablokuje przejazd?

_________________

KrzySie: wg Wikipedii


Tak więc Firewall to nie droga, a szlaban. Tym samym stop szlabanu = stop zakazom = droga wolna. A że jest mało bezpieczne... kto komu każe używać tego na codzień. Czasem się przydaje, żeby wykluczyć rolę serwera w problemach.
A co do opcij to proponuję
start, restart -tak jak jest
stopm - otwórz wszystko, zostaw maskaradę
stop - otwórz wszystko, wyłącz maskaradę
blok - zamknij na głucho

Masz tutaj dużo racji z wyjątkiem jednego - skrypty pracują wg. jakiegoś schematu (stop, start i restart).
Co zrobi z tym skryptem ktoś kto nie umie języka polskiego?
Dasz wyjaśnienie i po angielsku?
Jestem dalej za stworzeniem oddzielnego skryptu i nie mieszaniu w firewallu.

_________________

NND jest dla Polakow, wiec firewall w niego wbudowany tez. Poza tym faktycznie skrypty pracuja weglug schematu i stop oznacza wylaczenie skryptu, czyli tak jakby go nie bylo. Idac po klebku do sznurka zrobienie, tak jakby nigdy nie bylo firewalla, to zmiana polityki wszystkich lancuchow na ACCEPT, prawda? Czy ja sie czasem nie powtarzam

to oczywiste



a tu mam takie wątpliwości:

stop i stopm - zbyt mała różnica, uważam że to spowoduje więcej problemów niż zysków.
Poza tym wytłumacz jak sobie wyobrażasz różnicę między tymi opcjami.

Natomiast stop i blok również mają zbliżone znaczenia. I znów sądzę że będą powodem pomyłek.

Ja bym sugerował następujące nazwy i funkcje:

start - uruchamia firewall z zaprogramowanymi regułami dostępu
stop - zatrzymuje dostęp do serwera i sieci wewnętrznej (wszystkie łańcuchy na DROP)
open - ustawia wszystkie łańcuchy na ACCEPT
restart - stop; start

więcej opcji tylko by zagmatwało sytuację i utrudniło życie. Powyższe propozycje zaś, wydają MI sie logiczne i mające znaczenie podobne jak w języku potocznym. A co za tym idzie będą łatwe do zapamiętania.

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

Tu zgodził bym się z takim twierdzeniem jeżeli wrócilibyśmy do punktu wyjścia, czyli wogóle nie uruchamiali wcześniej iptables.
Jaka będzie polityka bez iptables
Żadna
Czyli DROP

_________________

Obawiam sie, ze jestes w bledzie, bedzie ACCEPT