Forum Linux Mint Polska › Inne › Hyde Park v › Ochrona PC z Linuksem Mintem

Ocena wątku:
  • 0 głosów - średnia: 0
  • 1
  • 2
  • 3
  • 4
  • 5
Tryby wyświetlania wątku
Ochrona PC z Linuksem Mintem
morfik
» E K S P E R T «
*******

Eksperci
Liczba postów:
272

Liczba wątków:
2

Dołączył:
Feb 2019

Reputacja:
43

System: Inny
Środowisko graficzne: Inne
Architektura CPU: 64bit
Inny System: Debian Sid
Miernik podziękowań 2%Miernik podziękowań
#41
02-02-2022, 22:11
0
A jakie są domyślne reguły, które ta zapora aplikuje? Bez tego co siedzi w filtrze nie da się nic powiedzieć.
Strona WWW Szukaj
Odpowiedz
Blade
Miętus
***
Liczba postów:
104

Liczba wątków:
19

Dołączył:
Nov 2020

Reputacja:
2

System: 22.0 Wilma
Środowisko graficzne: Cinnamon
Architektura CPU: 64bit
Miernik podziękowań 0%Miernik podziękowań
#42
02-02-2022, 22:13 (Ten post był ostatnio modyfikowany: 02-02-2022, 22:14 przez Blade.)
0
(02-02-2022, 22:11)morfik napisał(a): A jakie są domyślne reguły, które ta zapora aplikuje? Bez tego co siedzi w filtrze nie da się nic powiedzieć.

Cytat:blade@blade-GA-770T-D3L:~$ sudo iptables -S
[sudo] hasło użytkownika blade:     
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT
-N ufw-after-forward
-N ufw-after-input
-N ufw-after-logging-forward
-N ufw-after-logging-input
-N ufw-after-logging-output
-N ufw-after-output
-N ufw-before-forward
-N ufw-before-input
-N ufw-before-logging-forward
-N ufw-before-logging-input
-N ufw-before-logging-output
-N ufw-before-output
-N ufw-logging-allow
-N ufw-logging-deny
-N ufw-not-local
-N ufw-reject-forward
-N ufw-reject-input
-N ufw-reject-output
-N ufw-skip-to-policy-forward
-N ufw-skip-to-policy-input
-N ufw-skip-to-policy-output
-N ufw-track-forward
-N ufw-track-input
-N ufw-track-output
-N ufw-user-forward
-N ufw-user-input
-N ufw-user-limit
-N ufw-user-limit-accept
-N ufw-user-logging-forward
-N ufw-user-logging-input
-N ufw-user-logging-output
-N ufw-user-output
-A INPUT -j ufw-before-logging-input
-A INPUT -j ufw-before-input
-A INPUT -j ufw-after-input
-A INPUT -j ufw-after-logging-input
-A INPUT -j ufw-reject-input
-A INPUT -j ufw-track-input
-A FORWARD -j ufw-before-logging-forward
-A FORWARD -j ufw-before-forward
-A FORWARD -j ufw-after-forward
-A FORWARD -j ufw-after-logging-forward
-A FORWARD -j ufw-reject-forward
-A FORWARD -j ufw-track-forward
-A OUTPUT -j ufw-before-logging-output
-A OUTPUT -j ufw-before-output
-A OUTPUT -j ufw-after-output
-A OUTPUT -j ufw-after-logging-output
-A OUTPUT -j ufw-reject-output
-A OUTPUT -j ufw-track-output
-A ufw-after-input -p udp -m udp --dport 137 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 138 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 139 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 445 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 67 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 68 -j ufw-skip-to-policy-input
-A ufw-after-input -m addrtype --dst-type BROADCAST -j ufw-skip-to-policy-input
-A ufw-after-logging-forward -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-after-logging-input -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-forward -j ufw-user-forward
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP
-A ufw-before-input -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-input -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A ufw-before-input -j ufw-not-local
-A ufw-before-input -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT
-A ufw-before-input -d 239.255.255.250/32 -p udp -m udp --dport 1900 -j ACCEPT
-A ufw-before-input -j ufw-user-input
-A ufw-before-output -o lo -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -j ufw-user-output
-A ufw-logging-allow -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] "
-A ufw-logging-deny -m conntrack --ctstate INVALID -m limit --limit 3/min --limit-burst 10 -j RETURN
-A ufw-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP
-A ufw-skip-to-policy-forward -j DROP
-A ufw-skip-to-policy-input -j DROP
-A ufw-skip-to-policy-output -j ACCEPT
-A ufw-track-output -p tcp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-track-output -p udp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 42000 -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 42001 -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 42000 -j ACCEPT
-A ufw-user-input -p udp -m udp --dport 42000 -j ACCEPT
-A ufw-user-limit -m limit --limit 3/min -j LOG --log-prefix "[UFW LIMIT BLOCK] "
-A ufw-user-limit -j REJECT --reject-with icmp-port-unreachable
-A ufw-user-limit-accept -j ACCEPT
blade@blade-GA-770T-D3L:~$
Pozdrawiam
Blade
Szukaj
Odpowiedz
morfik
» E K S P E R T «
*******

Eksperci
Liczba postów:
272

Liczba wątków:
2

Dołączył:
Feb 2019

Reputacja:
43

System: Inny
Środowisko graficzne: Inne
Architektura CPU: 64bit
Inny System: Debian Sid
Miernik podziękowań 2%Miernik podziękowań
#43
02-02-2022, 22:30
0
No widać wyraźnie, że masz -P OUTPUT ACCEPT i nie ma jako takich reguł filtrujących ruch wychodzący (poszczególnych procesów). Więc appki nie są blokowane na wyjściu w żaden sposób, przez co mogą nawiązywać połączenia bez żadnych ograniczeń, a to nie dobrze.
Strona WWW Szukaj
Odpowiedz
SuperTux
Miętowy czeladnik
**
Liczba postów:
86

Liczba wątków:
23

Dołączył:
Nov 2021

Reputacja:
5

System: Inny
Środowisko graficzne: GNOME
Architektura CPU: 64bit
Inny System: Vanilla OS
Miernik podziękowań 0%Miernik podziękowań
#44
02-02-2022, 22:42
0
Kod:
minipc@minipc-GB-BPCE-3455:~$ sudo iptables -S
[sudo] hasło użytkownika minipc:         
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT DROP
-N ufw-after-forward
-N ufw-after-input
-N ufw-after-logging-forward
-N ufw-after-logging-input
-N ufw-after-logging-output
-N ufw-after-output
-N ufw-before-forward
-N ufw-before-input
-N ufw-before-logging-forward
-N ufw-before-logging-input
-N ufw-before-logging-output
-N ufw-before-output
-N ufw-logging-allow
-N ufw-logging-deny
-N ufw-not-local
-N ufw-reject-forward
-N ufw-reject-input
-N ufw-reject-output
-N ufw-skip-to-policy-forward
-N ufw-skip-to-policy-input
-N ufw-skip-to-policy-output
-N ufw-track-forward
-N ufw-track-input
-N ufw-track-output
-N ufw-user-forward
-N ufw-user-input
-N ufw-user-limit
-N ufw-user-limit-accept
-N ufw-user-logging-forward
-N ufw-user-logging-input
-N ufw-user-logging-output
-N ufw-user-output
-A INPUT -j ufw-before-logging-input
-A INPUT -j ufw-before-input
-A INPUT -j ufw-after-input
-A INPUT -j ufw-after-logging-input
-A INPUT -j ufw-reject-input
-A INPUT -j ufw-track-input
-A FORWARD -j ufw-before-logging-forward
-A FORWARD -j ufw-before-forward
-A FORWARD -j ufw-after-forward
-A FORWARD -j ufw-after-logging-forward
-A FORWARD -j ufw-reject-forward
-A FORWARD -j ufw-track-forward
-A OUTPUT -j ufw-before-logging-output
-A OUTPUT -j ufw-before-output
-A OUTPUT -j ufw-after-output
-A OUTPUT -j ufw-after-logging-output
-A OUTPUT -j ufw-reject-output
-A OUTPUT -j ufw-track-output
-A ufw-after-input -p udp -m udp --dport 137 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 138 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 139 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 445 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 67 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 68 -j ufw-skip-to-policy-input
-A ufw-after-input -m addrtype --dst-type BROADCAST -j ufw-skip-to-policy-input
-A ufw-after-logging-forward -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-after-logging-input -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-after-logging-output -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-forward -j ufw-user-forward
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP
-A ufw-before-input -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-input -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A ufw-before-input -j ufw-not-local
-A ufw-before-input -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT
-A ufw-before-input -d 239.255.255.250/32 -p udp -m udp --dport 1900 -j ACCEPT
-A ufw-before-input -j ufw-user-input
-A ufw-before-output -o lo -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -j ufw-user-output
-A ufw-logging-allow -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] "
-A ufw-logging-deny -m conntrack --ctstate INVALID -m limit --limit 3/min --limit-burst 10 -j RETURN
-A ufw-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP
-A ufw-skip-to-policy-forward -j DROP
-A ufw-skip-to-policy-input -j DROP
-A ufw-skip-to-policy-output -j DROP
-A ufw-user-input -p tcp -m tcp --dport 631 -m comment --comment "\'dapp_CUPS\'" -j DROP
-A ufw-user-input -p udp -m udp --dport 631 -m comment --comment "\'dapp_CUPS\'" -j DROP
-A ufw-user-limit -m limit --limit 3/min -j LOG --log-prefix "[UFW LIMIT BLOCK] "
-A ufw-user-limit -j REJECT --reject-with icmp-port-unreachable
-A ufw-user-limit-accept -j ACCEPT
-A ufw-user-output -p tcp -m tcp --dport 80 -j ACCEPT
-A ufw-user-output -p tcp -m tcp --dport 443 -j ACCEPT
-A ufw-user-output -p udp -m udp --dport 53 -j ACCEPT

Nie wiem co to

Kod:
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

oraz to:

Kod:
-A ufw-before-input -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT
-A ufw-before-input -d 239.255.255.250/32 -p udp -m udp --dport 1900 -j ACCEPT

ICMP jest mi potrzebny.
Nie wiem co mogę wyłączyć, żeby nie popsuć działania systemu.
CUPS mam ustawiony na DROP.
/80 HTTP
/443 HTTPS
/53 DNS

Jakby ktoś mi podpowiedział co mogę zmienić w regułach to byłbym wdzięczny.

Ustawiam wszystko na DROP, bo REJECT wysyła odpowiedź, że odmówiłem.
Szukaj
Odpowiedz
morfik
» E K S P E R T «
*******

Eksperci
Liczba postów:
272

Liczba wątków:
2

Dołączył:
Feb 2019

Reputacja:
43

System: Inny
Środowisko graficzne: Inne
Architektura CPU: 64bit
Inny System: Debian Sid
Miernik podziękowań 2%Miernik podziękowań
#45
02-02-2022, 23:41
1
Better response on post RE: Ochrona PC z Linuksem MintemNo tu już trochę lepiej ale dalej bez sensu z punktu widzenia bezpieczeństwa. Big Grin

O ile OUTPUT masz domyślnie blokowany i filtrujesz wyjście, to robisz to jedynie w oparciu o same porty. Masz tam coś takiego:

Kod:
-A ufw-user-output -p tcp -m tcp --dport 80 -j ACCEPT
-A ufw-user-output -p tcp -m tcp --dport 443 -j ACCEPT

Czyli ruch każdej appki w systemie kierowany na zdalne port 80/443, np. w przeglądarkach, jest przepuszczany. Obecnie syf nadaje głównie na 443, więc to jest żadne zabezpieczenie.

Te wpisy z -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT to mają akceptować połączenia nawiązane już.

Ten -d 224.0.0.251/32 -p udp -m udp --dport 5353 to Bonjour/mDNS/Avahi, przydatne w sieci lokalnej/domowej, która ma sporo hostów udostępniających różne usługi.

Ten -d 239.255.255.250/32 -p udp -m udp --dport 1900 to UPnP/SSDP, jak np. aplikacje chcą wysłać żądanie do routera by otworzył port, gdy ma się publiczne IP. Bardzo niebezpieczny mechanizm swoją drogą.

Póki co lepiej zostaw sobie REJECT, bo to ci ułatwi diagnostykę ewentualnych problemów.
Strona WWW Szukaj
Odpowiedz
omkar
Prawdziwy człowiek bez statusu
****
Liczba postów:
294

Liczba wątków:
24

Dołączył:
Apr 2020

Reputacja:
31

System: Inny
Środowisko graficzne: Inne
Architektura CPU: 64bit
Inny System: Windows 10 Pro
Miernik podziękowań 3%Miernik podziękowań
#46
03-02-2022, 09:41
0
(02-02-2022, 22:02)Blade napisał(a): Uruchom to polecenie jako root.

Cytat:sudo iptables -S

Wiadomo, że o to chodzi. Zrozumiałem, gdy już wysłałem posta Smile
Tylko dwie rzeczy są nieskończone: wszechświat oraz ludzka głupota, choć nie jestem pewien co do tej pierwszej.
Albert Einstein
Szukaj
Odpowiedz


Skocz do:


Forum Linux Mint Polska › Inne › Hyde Park v › Ochrona PC z Linuksem Mintem


Użytkownicy przeglądający ten wątek: 6 gości