Router Empfehlung für Firewall (iptables o. ä.)

[hominidae]

...ausser Du merkst nicht, das der Router/FW durchgestartet wurde...kleiner Glitch im Netz und das NT "folgt"...nach 30sec sieht alles "normal" von außen aus, aber die Scripte sind nicht mehr aktiv.

 

[der-matze]

Ja, meine ich natürlich nur für die Testzeit, bis ich mit den iptables erfolgreich war.

 

[hominidae]

openwrt hat cron.
Beim neustart ein flag/datei setzten...dann im cron script starten, dass nach dem file sucht und wenn vorhanden, iptables aktivieren und file löschen.

- - - Updated - - -

...oder so

 

[NTB]

Warum denn alles so umständlich?
Anstatt die Datei zu editieren, kann man doch die Zeilen direkt auf der Console ausführen. Oder kann man nicht per SSH connecten?

 

[der-matze]

Doch, kann man. Mir war/ist nur nicht bewusst, dass man die Regeln auch in der Console eingeben kann.
Mir war/ist nur der Weg über die Datei plus Neustart der Firewall bekannt. Werde ich also später mal zu dem Thema suchen.

 

[hominidae]

...wobei eingeben schon anfälliger für Fehler ist...dabei würde man also wohl doch cut&paste aus einer Backup Datei machen...da kann man die Datei auch gleich auf dem Router speichern und als input für ein Script verwenden.

 

[der-matze]

Und nun schon mal meine erste iptables-spezifische Frage, dazu hier mein Grundgerüst:

# Delete Existing Rules
iptables -F

# Set default chain policies to DROP
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

# Allow loopback access
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Allow Ping from inside to outside
iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT

# Allow incoming HTTP
iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

# Allow outgoing HTTP
iptables -A OUTPUT -o eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

# Allow incoming HTTPS
iptables -A INPUT -i eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT

# Allow outgoing HTTPS
iptables -A OUTPUT -o eth0 -p tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT

So wie ich es verstehe, muss ich eigentlich für alle "erwünschten Dienste" sowohl eingehende, als auch ausgehende Verbindungen erlauben (habe ich hier ja für HTTP und HTTPS bereits getan).

Muss ich das für Pings auch so handhaben (also auch noch "Allow Ping from outside to inside" hinzufügen)?

Wie sieht das bei folgenden Diensten aus?
DNS, FTP, IMAP, MAIL, NTP, POP3, SMTP (habe ich grundlegende vergessen?)

Ich selbst nutze diese Dienste nur "extern", habe also keinen FTP-, Mail-Server oder sonstiges in meinem Netzwerk, der von außen erreichbar sein muss! Muss ich also auch beispielsweise für meine FTP-Downloads incoming & outgoing auf Port 20 und 21 erlauben?

Und:
Lohnt es sich überhaupt, "erweiterten Schutz" (wie bei diesem Generator angegeben) mit zu integrieren, wenn der Router mit iptables hinter der Fritzbox (als Modem und Router) hängt (iptables sitzen dahinter, bringen also der Fritze direkt am Internet nix)?

Muss ich generell noch sowas wie

# Add new policy
iptables -N GARBAGE

# Allow...

# Move invalid packages to GARBAGE
iptables -A INPUT -m state --state NEW,INVALID -j GARBAGE

einfügen, oder ist dies nur bei gewünschtem Logging der verworfenen Pakete notwendig (und es wird automatisch gedropt)?

 

[hominidae]

...also, ich denke Du solltest evtl. einen eigenen fred aufmachen.
Was mir spontan auffällt: Deine sport Parameter sind wohl Grütze,
denn bei HTTP aus Deinem Heimnetz zu einer Website, ist der dport i.d.R. immer 80 und der sport irgendwas "freies", zwischen 1024 und 65535.

Damit dann sowas, wie es auch der von Dir verlinkte Generator macht:

# ausgehende Verbindungen
# Port 80
$iptables -I OUTPUT -o eth0 -p TCP --sport 1024:65535 --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$iptables -I INPUT -i eth0 -p TCP --sport 80 --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT

 

[der-matze]

Ich habe mal ein eigenes Thema dazu aufgemacht. Ich habe auch feststellen müssen, dass sich mit weiterer Recherche doch immer mehr Fragen auftun.