Shoreline Firewall

Mal ein Tutorial für Unsere linux anfänger .. Da ich selbst nur mit Debian arbeite, schließe ich Fehler nicht aus, und bin über Korrekturen dankbar! Das Tutorial ist extra einfach gehalten, damit es auch jeder ***** soweit versteht ;o)



Installation:

Öffnen deine eine Konsole und geben Sie ein:

apt-get install shorewall


Konfiguration:

HINWEIS:
Alle Konfigurations-Dateien Shorewall werden in / etc / shorewall Ordner abgelegt.

WARNUNG:

Debian-Nutzer finden, dass Verzeichnis / etc / shorewall ist leer
die Dateien befinden sich / usr / share / doc / shorewall /default-config
kopiert euch den Ortner default-config auf eueren rechner und den inhalt
in das Verzeichnis /etc/shorewall


Schritt 1 - Konfiguration zones
Öffnen einfach die Datei / etc / shorewall / Zonen und bearbeiten es wie folgt:

###############################################################################
#ZONE    TYPE        OPTIONS        IN            OUT
#                    OPTIONS            OPTIONS
fw    firewall
net    ipv4
#LAST LINE - ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE

Schritt 2 - Konfiguration policy
Öffnen Sie die Datei / etc / shorewall / Politik und bearbeiten es wie folgt:

###############################################################################
#SOURCE        DEST        POLICY        LOG        LIMIT:BURST
#                        LEVEL
fw              net             ACCEPT
net             all             DROP
#LAST LINE -- DO NOT REMOVE

Schritt 3 - Konfiguration der Schnittstellen
Öffnen Sie die Datei / etc / shorewall / Interfaces und bearbeiten es wie folgt:

###############################################################################
#ZONE    INTERFACE    BROADCAST    OPTIONS
net      eth0            detect           dhcp
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

Schritt 4 - Ab Shorewall
Regeln Beispiele:

#############################################################################################################
#ACTION    SOURCE        DEST        PROTO    DEST    SOURCE        ORIGINAL    RATE        USER/
#                        PORT(S)    PORT(S)        DEST        LIMIT        GROUP
#SECTION ESTABLISHED
#SECTION RELATED
SECTION NEW
ACCEPT   net             fw               tcp    21
ACCEPT   net             fw               udp    21

ACCEPT   net             fw               tcp    80
ACCEPT   net             fw               udp    80


#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

Mit dieser regel haben wir nun den tcp und udp port für eueren ftp und eueren Apache freigegeben


das macht ihr mit allen ports die ihr geöffnet haben müsst der rest wird geblockt

Schritt 5 - Shorewall Starten

/ etc / init.d / shorewall starten


hoffe das ich es einigermassen verstäntlich erklärt habe

mfg schienbein


Update:
wen ihr nicht wie oben in den regeln alles doppelt sreiben wollt könnt ihr auch die vor
devienierten regeln der fw nutzen diese findet ihr in /usr/share/shorewall

[/code]Schritt 4 - Ab Shorewall
Regeln Beispiele:

#############################################################################################################
#ACTION    SOURCE        DEST        PROTO    DEST    SOURCE        ORIGINAL    RATE        USER/
#                        PORT(S)    PORT(S)        DEST        LIMIT        GROUP
#SECTION ESTABLISHED
#SECTION RELATED
SECTION NEW
HTTP/ACCEPT       net         fw
HTTPS/ACCEPT     net         fw
MySQL/ACCEPT     net         fw
SMTP/ACCEPT       net         fw
SSH/ACCEPT         net         fw  <------ nur wen nicht geändert


#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

dan schreibt ich noch in euerem interface blacklist
das ganze schaut dan so aus

###############################################################################
#ZONE    INTERFACE    BROADCAST    OPTIONS
net      eth0            detect               blacklist
83.101.44.60
83.101.76.197
83.104.32.188
83.112.149.88
200.133.47.76
200.140.46.19
200.162.249.131
200.170.221.10
200.171.17.23
200.241.58.26
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

jezt habt ihr die möglichkeit ips permanet zu blockieren tragt dazu die ip in euereblacklist ein.

ps. ihr müsst nach jedem eintrag die fw neustarten um die änderung zu aktivieren
/ etc / init.d / stop
/ etc / init.d / start

Update Blackliste 15.07.09

Hier mal eine von mir erstellte Blacklist hier bei handelt es sich um eine badpeers antip2p und einer black poxy liste die ips einfach in die black list kopierten neustart der fw fertig!!!!!!!!!!

Für webmin nutzer
Webmin nutzer brauchen nur Appely configuration button in der admin oberfläche drücken und schon ist die blacklist aktiv

Siehe beispiel blacklist!!!!!!!!



/ etc / init.d / stop
/ etc / init.d / start


mfg schienbein

[Cerberus]

feine Sache das ...
Post 80 noch rein, damit der Apache auch rennt -- dann sollte das funzen

[Miata3de]

ich vermisse auch den ssh-port.. wird bestimmt nen lustiges erwachen, nachdem du die firewall mit den einstellungen startest.
wenn du glück hast bietet dir dein provider eine "rescue-net-boot" möglichkeit, sonst ..
Viel spass beim neu aufsetzen

[schienbein]

Zitat von Miata3de

ich vermisse auch den ssh-port.. wird bestimmt nen lustiges erwachen, nachdem du die firewall mit den einstellungen startest.
wenn du glück hast bietet dir dein provider eine "rescue-net-boot" möglichkeit, sonst ..
Viel spass beim neu aufsetzen

du kanst aber lesen oder ? steht doch alles da was du machen must ist ja nur ein beispiel.


mfg schienbein

[Cerberus]

ich denk mal, das dies nur eine Gedakenstütze für die User sein sollte, daran zu denken, welche Posrts frei sein müssen.

FTP (21)
HTTP (80)
SSH (22)

z.B. ....

es wird sonst bestimmt einige User geben, die dies nicht bedenken und sich damit selber "aussperren"

[SeeYou]

öhm in welcher datei finde ich das ... oder besser in welcher muss das rein..natürlich mit meiner erweiterung..

PHP-Code:

#############################################################################################################
#ACTION    SOURCE        DEST        PROTO    DEST    SOURCE        ORIGINAL    RATE        USER/
#                        PORT(S)    PORT(S)        DEST        LIMIT        GROUP
#SECTION ESTABLISHED
#SECTION RELATED
SECTION NEW
ACCEPT   net             fw               tcp    21
ACCEPT   net             fw               udp    21

ACCEPT   net             fw               tcp    80
ACCEPT   net             fw               udp    80


#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE 


[Donsebarone]

gibts nen unterschied zu IP Tables?

[schienbein]

Zitat von SeeYou

öhm in welcher datei finde ich das ... oder besser in welcher muss das rein..natürlich mit meiner erweiterung..

PHP-Code:

#############################################################################################################
#ACTION    SOURCE        DEST        PROTO    DEST    SOURCE        ORIGINAL    RATE        USER/
#                        PORT(S)    PORT(S)        DEST        LIMIT        GROUP
#SECTION ESTABLISHED
#SECTION RELATED
SECTION NEW
ACCEPT   net             fw               tcp    21
ACCEPT   net             fw               udp    21

ACCEPT   net             fw               tcp    80
ACCEPT   net             fw               udp    80


#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE 


das ist die Regel datei oder Ruls in dem ortner da giebst du an über welche ports du erreichbar bist