Script iptables da eseguire in fase di avvio

[Alnath]

Ragazzi ho bisogno di un aiutino... sto scrivendo uno script da eseguire in fase di avvio che mi permetta di settare delle policy personalizzate di iptables.

attraverso shell si digita il solito comando...
iptables -p.... - j ACCEPT

ma in uno script??

[name29]

<file /etc/script/iptables.sh>
#!/bin/sh
iptables -p... -j ACCEPT
</file>

chmod a+x /etc/script/iptables.sh

Per eseguirlo all'avvio

echo "/etc/script/iptables.sh" >> /etc/rc.local ( >> aggiunge ma nn sovrascrive vero?)

[Alnath]

Ora provo, grazie... per? in precedenza mi restituiva un errore...
controllo e faccio sapere

[Alnath]

Dopo qualche prova funziona!!!!
Mi devo ricordare in futuro di non scrivere i files in win

[name29]

io win non lo considero proprio +! lo uso solo per le prove di "compatibilit?" dei servizi della lan

[Alnath]

gi?... anch'io non lo avrei usato se avessi avuto a disposizione il mio pc, ma la fretta in alcuni casi ? una cattiva compagnia... 

[Alnath]

echo "/etc/script/iptables.sh" >> /etc/rc.local ( >> aggiunge ma nn sovrascrive vero?)

Ma questo comando "appende" la dicitura /etc/script/iptables.sh (o dove si trova lo script) al file /etc/rc.local?
Se la aggiunge, la inserisce prima o dopo la dicitura "Exit 0" presente in questo file??? Ho capito, provo e poi mi rispondo da solo... sar? meglio che nel frattempo mi faccia un backup del file rc.local 

[name29]

scusa alnath hai ragione !!! va prima di Exit!!!!!

[Alnath]

Infatti ho effettuato delle prove e, come hai aggiunto tu, va scritto prima della dicitura "exit 0"...
Visto che mentre facevo pulizia in ripostiglio ho trovato una sk eth D-Link 10/100 che mi "avanzava", sto pensando di inserirla sul server e configurarlo anche da firewall-router di rete.

Alla luce di questo vorrei modificare/aggiornare l'HowTo e quindi effettuare il nat delle schede eth...

[name29]

iptables -A INPUT -i $LANIF -j ACCEPT
iptables -t nat -A POSTROUTING -o $EXITIF -j MASQUERADE

[DjByte]

[OT]
X Alnath: azz, nemmeno il tempo necessario per l'integrazione nella guida alle w-lan, che tra le tante cose, ? stata stravolta completamente per contenere la parte server...
Tenendo conto che sto rivedendo tutte le convenzioni usate (ho deciso di adattarmi alla tua "forma", che pare essere pi? efficace), di questo passo dovr? fare i salti mortali per starti dietro!
[/OT]

Byte

[name29]

io direi di aspettare per l'integrazione visto che penso che la guida sui server sia ancora in beta ... no ??

[Alnath]

[OT mode = on]
vai tranquillo, fino al capitolo che tratta iptables ? tutto uguale, ho corretto qualche errore/orrore
[OT mode = off]

Ho aggiunto un'altra sk eth sul server ed ho invertito le impostazioni (eth0 -> wan, eth1 -> lan) modificando solamente il file /etc/network/interfaces e cambiando di conseguenza la posizione della spinetta del cavo ethernet.
Quindi ora ho la seguente situazione:


auto lo eth0 eth1
iface lo inet loopback

# The primary network interface
iface eth0 inet static
   address 10.0.0.1
   netmask 255.255.255.0
   broadcast 10.0.0.255
   network 10.0.0.0
             gateway 10.0.0.0
   dns-nameservers 10.0.0.0

iface eth1 inet static
   address 192.168.0.100
   netmask 255.255.255.0
   network 192.168.0.0
   broadcast 192.168.0.255
             gateway 10.0.0.1
             # Le righe sottostanti le posso cancellare??
   # dns-* options are implemented by the resolvconf package, if installed
   #dns-nameservers 10.0.0.1
   #dns-search MiaRete.lan

e nello script di avvio:

# Si garantisce il traffico sulla loopback e quello generato
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -i eth1 -j ACCEPT

# Si garantisce il traffico in uscita generato da noi
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT

#  tabella nat
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 127.0.0.1 -o eth0 -j MASQUERADE

# abilita la tabella di routing
ip route add default via 10.0.0.0

# Abilitazione del forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

Manca qualcosa?

[name29]

non mi sembra ....

[Alnath]

io direi di aspettare per l'integrazione visto che penso che la guida sui server sia ancora in beta ... no ??

esatto, la guida attualmente ? sempre in evoluzione e si fermer? quando avr? implementato la parte con la VPN.
Per completezza ora sto completando la sezione del firewall e poi passer? alla fase menzionata sopra.
Ricordo che la guida ? stata redatta per aiutare un neofita (come me) a crearsi da zero un server Ubuntu, spiegando passo passo quello da fare e come/perch? farlo; in modo tale da imparare "sul campo" ed avere un server discretamente protetto (in giro ho visto certi orrori  )

PS: nello script che ho scritto prima praticamente passa tutto dalla eth0 alla eth1 e viceversa; ora cercher? anche di filtrare...