February 2001 - openSUSE Security - openSUSE Mailing Lists

Missing sftp-server in OpenSSH RPM
by Ian Scott 22 Feb '01

22 Feb '01

Hello, I have the latest OpenSSH RPM as installed from the SuSE update FTP site. I am running SuSE 7.0 Professional. I'd like to try out the sftp server, but it looks like the support isn't included. From sshd_config: # Uncomment if you want to enable sftp #Subsystem sftp /usr/lib/ssh/sftp-server #MaxStartups 10:30:60 The file /usr/lib/ssh/sftp-server doesn't exist, however. Will an OpenSSH 2.5.1p1 RPM for SuSE 7.0 be made available with sftp server support any time soon, or should I just compile it myself? Thanks, Ian Scott

18 35

RE: [suse-security] qpop v. 2.53
by Björn Engels 22 Feb '01

22 Feb '01

I discovered the same problem, it's because the 'make install' seems not to copy the new files over the old ones. You'll have to go to the build directory and find the binaries that have been created and copy them manually. Björn

2 1

Re: [suse-security] OpenSSH: Disable account after n failed logins
by aschwartz＠ccpsoft.de 22 Feb '01

22 Feb '01

Finally I found the proper PAM-Module: it's pam_tally. It seems to be in every PAM distribution, but it is not documented (is that a bug that should be filed to the maintainers?). Setting it all up with PAM was pretty easy auth required /lib/security/pam_tally.so no_magic_root account required /lib/security/pam_tally.so deny=10 no_magic_root I know that I am now suspect to a DOS-attack, probably I will set up a cron-task that resets the counter ervery n hours, at lease for my account :) using faillog. Alex. Andreas Siegert To: suse-security(a)suse.com <afx(a)atsec.co cc: m> Subject: Re: [suse-security] OpenSSH: Disable account after n failed logins 16.02.01 18:42 Quoting Kurt Seifried (listuser(a)seifried.org) on Thu, Feb 15, 2001 at 06:26:52PM +0100: > > Hi, > > > > two questions to secure my linux system: > > > > 1. Is there a switch where I can disable an account after n failed login > > attempts? > > That's a really good way to get yourself denial of serviced...... Hmmm, there are systems that have an automatic reenable mechanism with a delay.... Anyone got a pam module for this? afx -- atsec information security GmbH Phone: +49-89-44249830 Steinstrasse 68 Fax: +49-89-44249831 D-81667 Muenchen, Germany WWW: www.atsec.com May the Source be with you! --------------------------------------------------------------------- To unsubscribe, e-mail: suse-security-unsubscribe(a)suse.com For additional commands, e-mail: suse-security-help(a)suse.com

1 0

RE: [suse-security] TLS or SMTP AUTH?
by Raffy 22 Feb '01

22 Feb '01

> >Installing stunnel went fast, it worked out of the box, the FAQ > >(or README or similar) describes wrapping SMTP and IMAP, and it > >worked at first try. So it did for me. > Yeah, but there is no longer a port to "wrap" smtp with, it now has to be > negotiated as part of the esmtp startup :-( I don't exactly understand that. So you mean that there is still a deamon listening on port 25 and a client has to connect to 465 in order to have the secured connection? And what is this drawback with the esmtp startup? What are the implications? Do not all client support it? For me it works perfectly well. Thanks Raffy

1 0

Re: [suse-security] Hello there
by rene.marhold 22 Feb '01

22 Feb '01

thx by line load is now -10% in cause of the deny theproblem was lockdown on my workstation, he denyed the iauth, so my firewall asked and asked (i think so i dont know if this is the real problem, but i hope it) Greeting DJMAD ------------------------- ui des hat ma aber viel speed gebracht das mit dem deny statt reject auslastung der leitung jetzt auf -10% thx der popper hat darum nicht funktioniert, weil ich auf dem winpc lockdown 2000 laufen hatte, und dieses die iauth nich zulies (denke ich halt) als ich ihn geschlossen habe gings dann plötzlich schneller --------------------------- ----- Original Message ----- From: "Christian Uhde" <mail(a)christian-uhde.de> To: "rene marhold" <rene(a)mail.marhold.net> Sent: Thursday, February 22, 2001 11:49 AM Subject: Re: [suse-security] Hello there > HI! > Ist es möglich, dass du Roman's mail nicht gelesen hast? > Prinzipiell geht es immer der Reihenfolge der Regeln nach, aber diese paar > Regeln sollte ein mehr oder weniger aktueller Rechner recht schnell > durchgearbeitet haben. Trotzdem kannst du probieren, die häufig benötigten > Dienste nach "vorn" zu stellen. Dabei mußt du nur beachten, dass verbotene > IP-Bereiche und dergleichen vorher bearbeitet werden. > > Ich würde auch die Policy auf DENY bzw. REJECT stellen. Packete, die von außen > kommen, würde ich nicht REJECT'en sondern DENY'en, das spart Bandbreite und > Zeit. > > Literaturempfehlung: Linux Firewalls (deutsch) von Markt und Technik. Das > Original ist englisch: Linux Firewalls oder: > http://www.little-idiot.de/firewall(s??) > > Christian > > > > > Am Don, 22 Feb 2001 schrieben Sie: > > > > Hi People > > > > Since i have updated my ipchains, inetd-connections are very very very slow > > sometimes answers after 60 seconds. > > > > can somebody show my why???? > > i cannot find it. > > > > i connect from 10.10.10.26 to 10.10.10.254 (firewall at work) > > > > sorry about the comments in the script they are in german, i know thats an english mailinglist. > > > > thx DJMAD > > > > ipchains -F > > ipchains -P input ACCEPT > > ipchains -P forward ACCEPT > > ipchains -P output ACCEPT > > > > #internes lan angeben (eigenes lan) > > intlan=10.10.10.0/24 > > intip=10.10.10.254 > > #externe ip angeben (chello) > > extip=XXXXXXXXXXXX > > > > #masqrechner angeben > > rechner1=10.10.10.26 > > rechner2=10.10.10.25 > > rechner3=10.10.10.27 > > > > #aussenstellen angeben > > aussen1=XXXXXXXXXX#firma > > aussen2=XXXXXXXXXX#helmut > > > > ######## Totales Verbot für chello proxies wegen des Masq ################ > > # man könnte ja was merken +hehe+ durch surfanalysen frechheit aber auch ### > > ipchains -A input -b -i eth1 -s $extip -d 195.34.133.60 -j REJECT > > ipchains -A input -b -i eth1 -s $extip -d 195.34.133.61 -j REJECT > > ipchains -A input -b -i eth1 -s $extip -d 195.34.133.62 -j REJECT > > ipchains -A input -b -i eth1 -s $extip -d 195.34.133.63 -j REJECT > > ipchains -A input -b -i eth1 -s $extip -d 195.34.133.64 -j REJECT > > ipchains -A input -b -i eth1 -s $extip -d 195.34.133.65 -j REJECT > > ipchains -A input -b -i eth1 -s $extip -d 195.34.133.66 -j REJECT > > ############################################################################ > > > > > > > > ######################### #loopback ######################################## > > ipchains -A input -b -i lo -s $extip -d 127.0.0.0/24 -j ACCEPT #loopbac > > k > > ipchains -A input -b -i lo -s $intip -d 127.0.0.0/24 -j ACCEPT #loopbac > > k > > ipchains -A input -i lo -s $intip -d $intip -j ACCEPT #loopbac > > k loopback > > ipchains -A input -i lo -s $extip -d $extip -j ACCEPT #loopbac > > k loopback > > ############################################################################ > > > > > > ipmasqadm portfw -a -P tcp -R $extip 3333 -L 10.10.10.26 3333 > > ipmasqadm portfw -a -P udp -R $rechner2 5900 -L $extip 5900 > > ipmasqadm portfw -a -P tcp -R $rechner2 5900 -L $extip 5900 > > > > ######################### TEST ############################################# > > ######################### TESTENDE ######################################### > > > > ######### battlecom für gamers ############################################# > > ipmasqadm autofw -A -r udp 2300 2400 -h $rechner1 > > ipmasqadm autofw -A -r tcp 2300 2400 -h $rechner1 > > ipmasqadm autofw -A -r tcp 47624 47634 -h $rechner1 > > ipmasqadm autofw -A -r udp 47624 47634 -h $rechner1 > > ipmasqadm autofw -A -r udp 28800 28900 -h $rechner1 > > > > ######### generell ######################################################### > > ipchains -A input -b -i eth1 -p tcp -s $extip 1024:65532 -d 0.0.0.0/0 -j AC > > CEPT > > ipchains -A input -b -i eth1 -p udp -s $extip 1024:65532 -d 0.0.0.0/0 -j AC > > CEPT > > ipchains -A input -b -i eth1 -p tcp -s $extip 113 -d 0.0.0.0/0 -j ACCEPT > > > > ######### interne berechtigungen ########################################### > > ipchains -A input -b -i eth1 -s $extip -d $aussen1 -j ACCEPT > > # ipchains -A input -b -i eth1 -s $extip -d $aussen2 -j ACCEPT > > ipchains -A input -b -i eth0 -s $extip -d $intip -j ACCEPT > > > > > > ######### SSH ############################################################## > > ipchains -A input -b -i eth1 -p tcp -s $extip 22 -d $aussen2 -j ACCEPT > > ######### FTP ############################################################## > > # ipchains -A input -b -i eth1 -p tcp -s $extip 21 -d 0.0.0.0/0 -j ACCEPT > > > > ######### HTTP ############################################################# > > ipchains -A input -b -i eth1 -p tcp -s $extip 80 -d 0.0.0.0/0 -j ACCEPT > > ipchains -A input -b -i eth1 -p tcp -s $extip -d 0.0.0.0/0 80 -j ACCEPT > > ######### DNS ############################################################## > > ipchains -A input -b -i eth1 -p 17 -s $extip -d 0.0.0.0/0 53 -j ACCEPT > > ipchains -A input -b -i eth0 -p 17 -s $intlan -d 0.0.0.0/0 53 -j ACCEPT > > ######### SENDMAIL ######################################################### > > ipchains -A input -b -i eth1 -p tcp -s $extip -d 0.0.0.0/0 25 -j ACCEPT > > ipchains -A input -b -i eth1 -p tcp -s $extip 25 -d 0.0.0.0/0 -j ACCEPT > > ######### 10erlan ########################################################## > > ipchains -A input -b -i eth0 -s $intlan -d $intip -j ACCEPT > > ipchains -A input -b -i eth0 -s $intlan -d 0.0.0.0/0 -j ACCEPT > > > > ######### masqueradin ###################################################### > > # ipchains -A forward -s $rechner3 -d 0.0.0.0/0 -j MASQ > > ipchains -A forward -s $rechner2 -d 0.0.0.0/0 -j MASQ > > ipchains -A forward -s $rechner1 -d 0.0.0.0/0 -j MASQ > > > > ######### ping ############################################################# > > ipchains -A input -b -p icmp -i eth1 -s $extip -d 0.0.0.0/0 -j ACCEPT > > > > ######### Der rest ist verboten ############################################ > > ipchains -A input -l -i eth1 -s 0.0.0.0/0 -d $extip -j REJECT #wird sicherh > > eitshalber mitgeloggt > > ipchains -A input -l -i eth1 -s 0.0.0.0/0 -d 0.0.0.0/0 -j REJECT #falls che > > llo an problem bei den regeln hat hehe > > > > > > ---------------------------------------- > Content-Type: text/html; name="unnamed" > Content-Transfer-Encoding: quoted-printable > Content-Description: > ---------------------------------------- > > -- > > Christian Uhde > Dreikreuzenstrasse 6 > 30449 Hannover > Germany > > mail(a)christian-uhde.de > http://www.christian-uhde.de > -- >

1 0

RE: [suse-security] IP_ALWAYS_DEFRAG - Settings in /proc/*
by Steven Thompson 22 Feb '01

22 Feb '01

Hi All, thanks for the answers so far. I have done quick test it seems to correspond with "Anders Johansson"'s email. The /proc/sys/net/ipv4/ip_always_defrag setting matches the number of Masqueraded sessions I have open. using netstat -M Thanks Steven -----Original Message----- From: Anders Johansson [mailto:anjo.modul1@telia.com] Sent: 21 February 2001 01:11 To: Steven Thompson; SuSE security mailing list (E-mail) Subject: Re: [suse-security] IP_ALWAYS_DEFRAG - Settings in /proc/* After a quick grep through the kernel source, I think it is used internally as a sort of 'level indicator' to keep track of the number of tasks that's turned it on. All logical checks against it that I can find are for == 0 or != 0, so 6 would be the same as 1, i.e. 'on'. HTH Anders On Wednesday 21 February 2001 11:37, Steven Thompson wrote: > Hi All > > What is the possible setting for the following and what do they mean: > > /proc/sys/net/ipv4/ip_always_defrag > > I know "0" disables and "1" enables. > > What does the value "6" mean for the above setting? > > Where can I find a list explaining the meaning of the different settings? > > Thanks in advance > > Steven > > > --------------------------------------------------------------------- > To unsubscribe, e-mail: suse-security-unsubscribe(a)suse.com > For additional commands, e-mail: suse-security-help(a)suse.com

5 5

Hello there
by rene marhold 22 Feb '01

22 Feb '01

Hi People Since i have updated my ipchains, inetd-connections are very very very slow sometimes answers after 60 seconds. can somebody show my why???? i cannot find it. i connect from 10.10.10.26 to 10.10.10.254 (firewall at work) sorry about the comments in the script they are in german, i know thats an english mailinglist. thx DJMAD ipchains -F ipchains -P input ACCEPT ipchains -P forward ACCEPT ipchains -P output ACCEPT #internes lan angeben (eigenes lan) intlan=10.10.10.0/24 intip=10.10.10.254 #externe ip angeben (chello) extip=XXXXXXXXXXXX #masqrechner angeben rechner1=10.10.10.26 rechner2=10.10.10.25 rechner3=10.10.10.27 #aussenstellen angeben aussen1=XXXXXXXXXX#firma aussen2=XXXXXXXXXX#helmut ######## Totales Verbot für chello proxies wegen des Masq ################ # man könnte ja was merken +hehe+ durch surfanalysen frechheit aber auch ### ipchains -A input -b -i eth1 -s $extip -d 195.34.133.60 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.61 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.62 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.63 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.64 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.65 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.66 -j REJECT ############################################################################ ######################### #loopback ######################################## ipchains -A input -b -i lo -s $extip -d 127.0.0.0/24 -j ACCEPT #loopbac k ipchains -A input -b -i lo -s $intip -d 127.0.0.0/24 -j ACCEPT #loopbac k ipchains -A input -i lo -s $intip -d $intip -j ACCEPT #loopbac k loopback ipchains -A input -i lo -s $extip -d $extip -j ACCEPT #loopbac k loopback ############################################################################ ipmasqadm portfw -a -P tcp -R $extip 3333 -L 10.10.10.26 3333 ipmasqadm portfw -a -P udp -R $rechner2 5900 -L $extip 5900 ipmasqadm portfw -a -P tcp -R $rechner2 5900 -L $extip 5900 ######################### TEST ############################################# ######################### TESTENDE ######################################### ######### battlecom für gamers ############################################# ipmasqadm autofw -A -r udp 2300 2400 -h $rechner1 ipmasqadm autofw -A -r tcp 2300 2400 -h $rechner1 ipmasqadm autofw -A -r tcp 47624 47634 -h $rechner1 ipmasqadm autofw -A -r udp 47624 47634 -h $rechner1 ipmasqadm autofw -A -r udp 28800 28900 -h $rechner1 ######### generell ######################################################### ipchains -A input -b -i eth1 -p tcp -s $extip 1024:65532 -d 0.0.0.0/0 -j AC CEPT ipchains -A input -b -i eth1 -p udp -s $extip 1024:65532 -d 0.0.0.0/0 -j AC CEPT ipchains -A input -b -i eth1 -p tcp -s $extip 113 -d 0.0.0.0/0 -j ACCEPT ######### interne berechtigungen ########################################### ipchains -A input -b -i eth1 -s $extip -d $aussen1 -j ACCEPT # ipchains -A input -b -i eth1 -s $extip -d $aussen2 -j ACCEPT ipchains -A input -b -i eth0 -s $extip -d $intip -j ACCEPT ######### SSH ############################################################## ipchains -A input -b -i eth1 -p tcp -s $extip 22 -d $aussen2 -j ACCEPT ######### FTP ############################################################## # ipchains -A input -b -i eth1 -p tcp -s $extip 21 -d 0.0.0.0/0 -j ACCEPT ######### HTTP ############################################################# ipchains -A input -b -i eth1 -p tcp -s $extip 80 -d 0.0.0.0/0 -j ACCEPT ipchains -A input -b -i eth1 -p tcp -s $extip -d 0.0.0.0/0 80 -j ACCEPT ######### DNS ############################################################## ipchains -A input -b -i eth1 -p 17 -s $extip -d 0.0.0.0/0 53 -j ACCEPT ipchains -A input -b -i eth0 -p 17 -s $intlan -d 0.0.0.0/0 53 -j ACCEPT ######### SENDMAIL ######################################################### ipchains -A input -b -i eth1 -p tcp -s $extip -d 0.0.0.0/0 25 -j ACCEPT ipchains -A input -b -i eth1 -p tcp -s $extip 25 -d 0.0.0.0/0 -j ACCEPT ######### 10erlan ########################################################## ipchains -A input -b -i eth0 -s $intlan -d $intip -j ACCEPT ipchains -A input -b -i eth0 -s $intlan -d 0.0.0.0/0 -j ACCEPT ######### masqueradin ###################################################### # ipchains -A forward -s $rechner3 -d 0.0.0.0/0 -j MASQ ipchains -A forward -s $rechner2 -d 0.0.0.0/0 -j MASQ ipchains -A forward -s $rechner1 -d 0.0.0.0/0 -j MASQ ######### ping ############################################################# ipchains -A input -b -p icmp -i eth1 -s $extip -d 0.0.0.0/0 -j ACCEPT ######### Der rest ist verboten ############################################ ipchains -A input -l -i eth1 -s 0.0.0.0/0 -d $extip -j REJECT #wird sicherh eitshalber mitgeloggt ipchains -A input -l -i eth1 -s 0.0.0.0/0 -d 0.0.0.0/0 -j REJECT #falls che llo an problem bei den regeln hat hehe

1 0

Fw: Hello there
by rene marhold 22 Feb '01

22 Feb '01

Hi People Since i have updated my ipchains, inetd-connections are very very very slow sometimes answers after 60 seconds. can somebody show my why???? i cannot find it. i connect from 10.10.10.26 to 10.10.10.254 (firewall at work) sorry about the comments in the script they are in german, i know thats an english mailinglist. thx DJMAD ipchains -F ipchains -P input ACCEPT ipchains -P forward ACCEPT ipchains -P output ACCEPT #internes lan angeben (eigenes lan) intlan=10.10.10.0/24 intip=10.10.10.254 #externe ip angeben (chello) extip=XXXXXXXXXXXX #masqrechner angeben rechner1=10.10.10.26 rechner2=10.10.10.25 rechner3=10.10.10.27 #aussenstellen angeben aussen1=XXXXXXXXXX#firma aussen2=XXXXXXXXXX#helmut ######## Totales Verbot für chello proxies wegen des Masq ################ # man könnte ja was merken +hehe+ durch surfanalysen frechheit aber auch ### ipchains -A input -b -i eth1 -s $extip -d 195.34.133.60 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.61 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.62 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.63 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.64 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.65 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.66 -j REJECT ############################################################################ ######################### #loopback ######################################## ipchains -A input -b -i lo -s $extip -d 127.0.0.0/24 -j ACCEPT #loopbac k ipchains -A input -b -i lo -s $intip -d 127.0.0.0/24 -j ACCEPT #loopbac k ipchains -A input -i lo -s $intip -d $intip -j ACCEPT #loopbac k loopback ipchains -A input -i lo -s $extip -d $extip -j ACCEPT #loopbac k loopback ############################################################################ ipmasqadm portfw -a -P tcp -R $extip 3333 -L 10.10.10.26 3333 ipmasqadm portfw -a -P udp -R $rechner2 5900 -L $extip 5900 ipmasqadm portfw -a -P tcp -R $rechner2 5900 -L $extip 5900 ######################### TEST ############################################# ######################### TESTENDE ######################################### ######### battlecom für gamers ############################################# ipmasqadm autofw -A -r udp 2300 2400 -h $rechner1 ipmasqadm autofw -A -r tcp 2300 2400 -h $rechner1 ipmasqadm autofw -A -r tcp 47624 47634 -h $rechner1 ipmasqadm autofw -A -r udp 47624 47634 -h $rechner1 ipmasqadm autofw -A -r udp 28800 28900 -h $rechner1 ######### generell ######################################################### ipchains -A input -b -i eth1 -p tcp -s $extip 1024:65532 -d 0.0.0.0/0 -j AC CEPT ipchains -A input -b -i eth1 -p udp -s $extip 1024:65532 -d 0.0.0.0/0 -j AC CEPT ipchains -A input -b -i eth1 -p tcp -s $extip 113 -d 0.0.0.0/0 -j ACCEPT ######### interne berechtigungen ########################################### ipchains -A input -b -i eth1 -s $extip -d $aussen1 -j ACCEPT # ipchains -A input -b -i eth1 -s $extip -d $aussen2 -j ACCEPT ipchains -A input -b -i eth0 -s $extip -d $intip -j ACCEPT ######### SSH ############################################################## ipchains -A input -b -i eth1 -p tcp -s $extip 22 -d $aussen2 -j ACCEPT ######### FTP ############################################################## # ipchains -A input -b -i eth1 -p tcp -s $extip 21 -d 0.0.0.0/0 -j ACCEPT ######### HTTP ############################################################# ipchains -A input -b -i eth1 -p tcp -s $extip 80 -d 0.0.0.0/0 -j ACCEPT ipchains -A input -b -i eth1 -p tcp -s $extip -d 0.0.0.0/0 80 -j ACCEPT ######### DNS ############################################################## ipchains -A input -b -i eth1 -p 17 -s $extip -d 0.0.0.0/0 53 -j ACCEPT ipchains -A input -b -i eth0 -p 17 -s $intlan -d 0.0.0.0/0 53 -j ACCEPT ######### SENDMAIL ######################################################### ipchains -A input -b -i eth1 -p tcp -s $extip -d 0.0.0.0/0 25 -j ACCEPT ipchains -A input -b -i eth1 -p tcp -s $extip 25 -d 0.0.0.0/0 -j ACCEPT ######### 10erlan ########################################################## ipchains -A input -b -i eth0 -s $intlan -d $intip -j ACCEPT ipchains -A input -b -i eth0 -s $intlan -d 0.0.0.0/0 -j ACCEPT ######### masqueradin ###################################################### # ipchains -A forward -s $rechner3 -d 0.0.0.0/0 -j MASQ ipchains -A forward -s $rechner2 -d 0.0.0.0/0 -j MASQ ipchains -A forward -s $rechner1 -d 0.0.0.0/0 -j MASQ ######### ping ############################################################# ipchains -A input -b -p icmp -i eth1 -s $extip -d 0.0.0.0/0 -j ACCEPT ######### Der rest ist verboten ############################################ ipchains -A input -l -i eth1 -s 0.0.0.0/0 -d $extip -j REJECT #wird sicherh eitshalber mitgeloggt ipchains -A input -l -i eth1 -s 0.0.0.0/0 -d 0.0.0.0/0 -j REJECT #falls che llo an problem bei den regeln hat hehe

1 0

Re: [suse-security] Hello there
by rene.marhold 22 Feb '01

22 Feb '01

Hi yes i know u see that port 113 is only allowed to outgoing connections, ipchains -A input -b -i eth1 -p tcp -s $extip 113 -d 0.0.0.0/0 -j ACCEPT but into 10.10.10.0/24 is everything allowed!! ipchains -A input -b -i eth0 -s $10.10.10.0/24 -d $10.10.10.254 -j ACCEPT ipchains -A input -b -i eth0 -s $10.10.10.0/24 -d 0.0.0.0/0 -j ACCEPT ----- Original Message ----- From: "Ralf Laue" <rlaue(a)virbus.de> To: "rene marhold" <rene(a)mail.marhold.net> Sent: Thursday, February 22, 2001 10:29 AM Subject: Re: [suse-security] Hello there > rene marhold wrote: > > > > Hi People > > > > Since i have updated my ipchains, inetd-connections are very very very > > slow > > sometimes answers after 60 seconds. > > > > can somebody show my why???? > > i cannot find it. > > Maybe you should allow access to identd (TCP port 113)? >

1 0

Hello there
by rene marhold 22 Feb '01

22 Feb '01

Hi People Since i have updated my ipchains, inetd-connections are very very very slow sometimes answers after 60 seconds. can somebody show my why???? i cannot find it. i connect from 10.10.10.26 to 10.10.10.254 (firewall at work) sorry about the comments in the script they are in german, i know thats an english mailinglist. thx DJMAD ipchains -F ipchains -P input ACCEPT ipchains -P forward ACCEPT ipchains -P output ACCEPT #internes lan angeben (eigenes lan) intlan=10.10.10.0/24 intip=10.10.10.254 #externe ip angeben (chello) extip=XXXXXXXXXXXX #masqrechner angeben rechner1=10.10.10.26 rechner2=10.10.10.25 rechner3=10.10.10.27 #aussenstellen angeben aussen1=XXXXXXXXXX#firma aussen2=XXXXXXXXXX#helmut ######## Totales Verbot für chello proxies wegen des Masq ################ # man könnte ja was merken +hehe+ durch surfanalysen frechheit aber auch ### ipchains -A input -b -i eth1 -s $extip -d 195.34.133.60 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.61 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.62 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.63 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.64 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.65 -j REJECT ipchains -A input -b -i eth1 -s $extip -d 195.34.133.66 -j REJECT ############################################################################ ######################### #loopback ######################################## ipchains -A input -b -i lo -s $extip -d 127.0.0.0/24 -j ACCEPT #loopbac k ipchains -A input -b -i lo -s $intip -d 127.0.0.0/24 -j ACCEPT #loopbac k ipchains -A input -i lo -s $intip -d $intip -j ACCEPT #loopbac k loopback ipchains -A input -i lo -s $extip -d $extip -j ACCEPT #loopbac k loopback ############################################################################ ipmasqadm portfw -a -P tcp -R $extip 3333 -L 10.10.10.26 3333 ipmasqadm portfw -a -P udp -R $rechner2 5900 -L $extip 5900 ipmasqadm portfw -a -P tcp -R $rechner2 5900 -L $extip 5900 ######################### TEST ############################################# ######################### TESTENDE ######################################### ######### battlecom für gamers ############################################# ipmasqadm autofw -A -r udp 2300 2400 -h $rechner1 ipmasqadm autofw -A -r tcp 2300 2400 -h $rechner1 ipmasqadm autofw -A -r tcp 47624 47634 -h $rechner1 ipmasqadm autofw -A -r udp 47624 47634 -h $rechner1 ipmasqadm autofw -A -r udp 28800 28900 -h $rechner1 ######### generell ######################################################### ipchains -A input -b -i eth1 -p tcp -s $extip 1024:65532 -d 0.0.0.0/0 -j AC CEPT ipchains -A input -b -i eth1 -p udp -s $extip 1024:65532 -d 0.0.0.0/0 -j AC CEPT ipchains -A input -b -i eth1 -p tcp -s $extip 113 -d 0.0.0.0/0 -j ACCEPT ######### interne berechtigungen ########################################### ipchains -A input -b -i eth1 -s $extip -d $aussen1 -j ACCEPT # ipchains -A input -b -i eth1 -s $extip -d $aussen2 -j ACCEPT ipchains -A input -b -i eth0 -s $extip -d $intip -j ACCEPT ######### SSH ############################################################## ipchains -A input -b -i eth1 -p tcp -s $extip 22 -d $aussen2 -j ACCEPT ######### FTP ############################################################## # ipchains -A input -b -i eth1 -p tcp -s $extip 21 -d 0.0.0.0/0 -j ACCEPT ######### HTTP ############################################################# ipchains -A input -b -i eth1 -p tcp -s $extip 80 -d 0.0.0.0/0 -j ACCEPT ipchains -A input -b -i eth1 -p tcp -s $extip -d 0.0.0.0/0 80 -j ACCEPT ######### DNS ############################################################## ipchains -A input -b -i eth1 -p 17 -s $extip -d 0.0.0.0/0 53 -j ACCEPT ipchains -A input -b -i eth0 -p 17 -s $intlan -d 0.0.0.0/0 53 -j ACCEPT ######### SENDMAIL ######################################################### ipchains -A input -b -i eth1 -p tcp -s $extip -d 0.0.0.0/0 25 -j ACCEPT ipchains -A input -b -i eth1 -p tcp -s $extip 25 -d 0.0.0.0/0 -j ACCEPT ######### 10erlan ########################################################## ipchains -A input -b -i eth0 -s $intlan -d $intip -j ACCEPT ipchains -A input -b -i eth0 -s $intlan -d 0.0.0.0/0 -j ACCEPT ######### masqueradin ###################################################### # ipchains -A forward -s $rechner3 -d 0.0.0.0/0 -j MASQ ipchains -A forward -s $rechner2 -d 0.0.0.0/0 -j MASQ ipchains -A forward -s $rechner1 -d 0.0.0.0/0 -j MASQ ######### ping ############################################################# ipchains -A input -b -p icmp -i eth1 -s $extip -d 0.0.0.0/0 -j ACCEPT ######### Der rest ist verboten ############################################ ipchains -A input -l -i eth1 -s 0.0.0.0/0 -d $extip -j REJECT #wird sicherh eitshalber mitgeloggt ipchains -A input -l -i eth1 -s 0.0.0.0/0 -d 0.0.0.0/0 -j REJECT #falls che llo an problem bei den regeln hat hehe

1 0