PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Shoreline Firewall


schienbein
20.01.2009, 22:32
Mal ein Tutorial für Unsere linux anfänger .. Da ich selbst nur mit Debian arbeite, schließe ich Fehler nicht aus, und bin über Korrekturen dankbar! Das Tutorial ist extra einfach gehalten, damit es auch jeder ***** soweit versteht ;o)



Installation:

Öffnen deine eine Konsole und geben Sie ein:

apt-get install shorewall


Konfiguration:

HINWEIS:
Alle Konfigurations-Dateien Shorewall werden in / etc / shorewall Ordner abgelegt.

WARNUNG:

Debian-Nutzer finden, dass Verzeichnis / etc / shorewall ist leer
die Dateien befinden sich / usr / share / doc / shorewall /default-config
kopiert euch den Ortner default-config auf eueren rechner und den inhalt
in das Verzeichnis /etc/shorewall


Schritt 1 - Konfiguration zones
Öffnen einfach die Datei / etc / shorewall / Zonen und bearbeiten es wie folgt:

###############################################################################
#ZONE TYPE OPTIONS IN OUT
# OPTIONS OPTIONS
fw firewall
net ipv4
#LAST LINE - ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE




Schritt 2 - Konfiguration policy
Öffnen Sie die Datei / etc / shorewall / Politik und bearbeiten es wie folgt:
###############################################################################
#SOURCE DEST POLICY LOG LIMIT:BURST
# LEVEL
fw net ACCEPT
net all DROP
#LAST LINE -- DO NOT REMOVE

Schritt 3 - Konfiguration der Schnittstellen
Öffnen Sie die Datei / etc / shorewall / Interfaces und bearbeiten es wie folgt:


###############################################################################
#ZONE INTERFACE BROADCAST OPTIONS
net eth0 detect dhcp
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE


Schritt 4 - Ab Shorewall
Regeln Beispiele:


#############################################################################################################
#ACTION SOURCE DEST PROTO DEST SOURCE ORIGINAL RATE USER/
# PORT(S) PORT(S) DEST LIMIT GROUP
#SECTION ESTABLISHED
#SECTION RELATED
SECTION NEW
ACCEPT net fw tcp 21
ACCEPT net fw udp 21

ACCEPT net fw tcp 80
ACCEPT net fw udp 80


#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE


Mit dieser regel haben wir nun den tcp und udp port für eueren ftp und eueren Apache freigegeben


das macht ihr mit allen ports die ihr geöffnet haben müsst der rest wird geblockt

Schritt 5 - Shorewall Starten

/ etc / init.d / shorewall starten


hoffe das ich es einigermassen verstäntlich erklärt habe

mfg schienbein


Update:
wen ihr nicht wie oben in den regeln alles doppelt sreiben wollt könnt ihr auch die vor
devienierten regeln der fw nutzen diese findet ihr in /usr/share/shorewall

[/code]Schritt 4 - Ab Shorewall
Regeln Beispiele:


#############################################################################################################
#ACTION SOURCE DEST PROTO DEST SOURCE ORIGINAL RATE USER/
# PORT(S) PORT(S) DEST LIMIT GROUP
#SECTION ESTABLISHED
#SECTION RELATED
SECTION NEW
HTTP/ACCEPT net fw
HTTPS/ACCEPT net fw
MySQL/ACCEPT net fw
SMTP/ACCEPT net fw
SSH/ACCEPT net fw <------ nur wen nicht geändert


#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE



dan schreibt ich noch in euerem interface blacklist
das ganze schaut dan so aus

###############################################################################
#ZONE INTERFACE BROADCAST OPTIONS
net eth0 detect blacklist
83.101.44.60
83.101.76.197
83.104.32.188
83.112.149.88
200.133.47.76
200.140.46.19
200.162.249.131
200.170.221.10
200.171.17.23
200.241.58.26
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE


jezt habt ihr die möglichkeit ips permanet zu blockieren tragt dazu die ip in euereblacklist ein.

ps. ihr müsst nach jedem eintrag die fw neustarten um die änderung zu aktivieren
/ etc / init.d / stop
/ etc / init.d / start

Update Blackliste 15.07.09

Hier mal eine von mir erstellte Blacklist hier bei handelt es sich um eine badpeers antip2p und einer black poxy liste die ips einfach in die black list kopierten neustart der fw fertig!!!!!!!!!!

Für webmin nutzer
Webmin nutzer brauchen nur Appely configuration button in der admin oberfläche drücken und schon ist die blacklist aktiv

Siehe beispiel blacklist!!!!!!!!



/ etc / init.d / stop
/ etc / init.d / start


mfg schienbein

Cerberus
20.01.2009, 22:35
feine Sache das ...
Post 80 noch rein, damit der Apache auch rennt -- dann sollte das funzen

Miata3de
21.01.2009, 02:02
ich vermisse auch den ssh-port.. wird bestimmt nen lustiges erwachen, nachdem du die firewall mit den einstellungen startest.
wenn du glück hast bietet dir dein provider eine "rescue-net-boot" möglichkeit, sonst ..
Viel spass beim neu aufsetzen

schienbein
21.01.2009, 02:21
ich vermisse auch den ssh-port.. wird bestimmt nen lustiges erwachen, nachdem du die firewall mit den einstellungen startest.
wenn du glück hast bietet dir dein provider eine "rescue-net-boot" möglichkeit, sonst ..
Viel spass beim neu aufsetzen


du kanst aber lesen oder ? steht doch alles da was du machen must ist ja nur ein beispiel.:twitcy:


mfg schienbein

Cerberus
21.01.2009, 09:41
ich denk mal, das dies nur eine Gedakenstütze für die User sein sollte, daran zu denken, welche Posrts frei sein müssen.

FTP (21)
HTTP (80)
SSH (22)

z.B. ....

es wird sonst bestimmt einige User geben, die dies nicht bedenken und sich damit selber "aussperren"

SeeYou
21.01.2009, 16:15
öhm in welcher datei finde ich das ... oder besser in welcher muss das rein..natürlich mit meiner erweiterung..

#############################################################################################################
#ACTION SOURCE DEST PROTO DEST SOURCE ORIGINAL RATE USER/
# PORT(S) PORT(S) DEST LIMIT GROUP
#SECTION ESTABLISHED
#SECTION RELATED
SECTION NEW
ACCEPT net fw tcp 21
ACCEPT net fw udp 21

ACCEPT net fw tcp 80
ACCEPT net fw udp 80


#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

Donsebarone
21.01.2009, 16:28
gibts nen unterschied zu IP Tables?

schienbein
21.01.2009, 16:58
öhm in welcher datei finde ich das ... oder besser in welcher muss das rein..natürlich mit meiner erweiterung..

#############################################################################################################
#ACTION SOURCE DEST PROTO DEST SOURCE ORIGINAL RATE USER/
# PORT(S) PORT(S) DEST LIMIT GROUP
#SECTION ESTABLISHED
#SECTION RELATED
SECTION NEW
ACCEPT net fw tcp 21
ACCEPT net fw udp 21

ACCEPT net fw tcp 80
ACCEPT net fw udp 80


#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE


das ist die Regel datei oder Ruls in dem ortner da giebst du an über welche ports du erreichbar bist