El 2005-03-09 a las 01:24 +0100, Joaquin Felipe escribió:

Hola lista: Tengo una pequeña red local con un ordenador con dos tarjetas de red que realiza funciones de cortafuegos y router y que tiene instalado Suse 9.2. Ese ordenador realiza funciones de servidor web y ftp accesible tanto desde la red interna como desde internet. Pero también comparte carpetas en la intranet mediante samba y nfs, y al hacer un nmap a la ipexterna, veo que tiene abiertos los puertos 139:smb y 2049:nfs.

¿En el fichero "/etc/sysconfig/SuSEfirewall2", que tienes en estas variables? FW_QUICKMODE FW_DEV_EXT= FW_DEV_INT FW_DEV_DMZ FW_SERVICES_EXT_* FW_SERVICES_INT_* -- Saludos Carlos Robinson

Hola a todos. Tendrás que echarle mano a tus conocimientos de consola ;-) Edita el archivo /etc/sysconfig/SuSEfirewall2 y buscas los valores: FW_SERVICES_EXT_TCP FW_SERVICES_EXT_UDP FW_SERVICES_INT_TCP FW_SERVICES_INT_UDP Es en estos valores donde puedes definir cuales puertos estaran abiertos para determinado protocolo y determinada interface. EXT -> EXTERNO, INT -> INTERNO. Con esto tendras una idea de como configurar lo que quieres. Los puertos que no estén definidos acá estan cerrados por defecto. Luego reinicias el firewall: SuSEfirewall2 stop ; SuSEfirewall2 start Suerte. P.D. Puedes leerte los otros valores que estan -cerca- de estos y para que sirven, es muy probable que apliquen a cualquier otra configuración que desees hacer (Dropping de paquetes, zona desmilitarizada, etc). El Mar 08 Mar 2005 8:24 PM, Joaquin Felipe escribió:

Hola lista: Tengo una pequeña red local con un ordenador con dos tarjetas de red que realiza funciones de cortafuegos y router y que tiene instalado Suse 9.2. Ese ordenador realiza funciones de servidor web y ftp accesible tanto desde la red interna como desde internet. Pero también comparte carpetas en la intranet mediante samba y nfs, y al hacer un nmap a la ipexterna, veo que tiene abiertos los puertos 139:smb y 2049:nfs. Lo mismo me pasa con webmin, que usa el puerto 10000 y que quiero que esté accesible solamente desde la red interna. Querría cerrarlos, pero con yast no encuentro la forma de decirle que esos servicios solamente están disponibles para el interface eth0 En la pantalla de servicios de la configuración del cortafuegos, solamente tengo activos los servicios http y https.

A ver si me podeis echar una mano. Joaquin

-- ********************************* Hugo Sandoval Consultor Senior www.softwarelibre.com.ve hugo@softwarelibre.com.ve spock@linux.org.ve hsandoval@ven.org hugospock@yahoo.com 58-261-7560687 58-416-4617402 58-261-7560836 ********************************* "Linux se escribe con 1 'L': L de Libertad. Microsoft se escribe con 4 'M': Monopolio. Malo. Muy Malo." HS: caviliáte!

El Miércoles, 9 de Marzo de 2005 01:24, Joaquin Felipe escribió:

ismo me pasa con webmin, que usa el puerto 10000 y que q

Antes de nada saludarles porque hace mucho que no escribo en la lista y por lo tanto, respondo a este mensaje con "responder" de KMail, decidme por favor si es correcto. Respecto a los puertos aquí unas reglas de iptables :) explicadas por supuesto Harás un script: #!/bin/bash iptables -A INPUT -i eth0 -s 192.168.0.0/16 -p tcp -m multiport --sports 139,2049,10000 -j ACCEPT iptables -A INPUT -i eth0 -s 192.168.0.0/16 -p udp -m multiport --sports 139,2049 -j ACCEPT iptables -A INPUT -i eth1-s any/0 -p tcp -m multiport --sports 139,2049,10000 -j DROP iptables -A INPUT -i eth1 -s any/0 -p udp -m multiport --sports 139,2049,10000 -j DROP Basicamente eso, te explico: 1 - regla nueva de trafico entrante, desde una red de clase C y mediante el protocolo TCP permite conectar a 139 2049 y 10000 2 - Al igual que el anterior, pero mediante protocolo UDP y permite conectar solo al 139 y 2049 (el webmin no usa udp que yo sepa) 3 y 4 - Bloquea todo el tráfico a esos puertos Esto va en cascada, se empieza a ejecutar de arriba a abajo, osea si quieres ñadir algo ha de ser antes de bloquearlo. NFS permítelo solo a la red local. YO haría esto, suponiendo que eth0 es la LAN y eth1, por ejemplo internet #!/bin/bash iptables -A INPUT -i eth0-s 192.168.0.0/16 -p tcp -m multiport --sports 139,2049,10000 -j ACCEPT iptables -A INPUT -i eth0 -s 192.168.0.0/16 -p udp -m multiport --sports 139,2049 -j ACCEPT iptables -A INPUT -i eth1 -s any/0 -p tcp -dport 1:65535 -j DROP iptables -A INPUT -i eth1 -s any/0 -p udp -dport 1:65535 -j DROP Eso bloqueará todo y solo permitirá acceso al servidor desde la red a esos 3 puertos, en caso que un dia necesites un servidor web y ftp (lo necesitas he leido), por ejemplo, bastara con modificarlo de modo que quede así: #!/bin/bash iptables -A INPUT -i eth0 -s 192.168.0.0/16 -p tcp -m multiport --sports 139,2049,10000 -j ACCEPT iptables -A INPUT -i eth0-s 192.168.0.0/16 -p udp -m multiport --sports 139,2049 -j ACCEPT iptables -A INPUT -i eth1-s any/0 -p tcp -m multiport --dports 20,21,80 -j ACCEPT iptables -A INPUT -i eth0-s any/0 -p tcp -m multiport --dports 20,21,80 -j ACCEPT iptables -A INPUT -i eth1-s any/0 -p tcp -dport 1:65535 -j DROP iptables -A INPUT -i eth1-s any/0 -p udp -dport 1:65535 -j DROP Aclaraciones: any/0 significa TODOS. Hay otras redes como clase A (10.0.0.0/8) o clase B (172.16.0.0/12) -i eth1 especifica que la interface de entrada es eth1 Necesitas iptables y soporte en el kernel (por defecto lo tiene) Te recomiendo leer esto para conocer mas opciones: http://es.tldp.org/Manuales-LuCAS/doc-iptables-firewall/doc-iptables-firewal... http://www.pello.info/filez/IPTABLES_en_21_segundos.html Espero que te sirva de ayuda -- Use the power, use the Open Source Canal #suse del IRC-Hispano, visitanos!