🚀 go-pugleaf

Adam Płaszczyca wrote:
> Witam!
> 
> Próbuję dogadac się z InJoy Firewallem w sprawie połączeń telnetowych
> i za nic w świecie mi nie wychodzi.
> 
> W sumie chodzi o prostą rzecz - zablokowanie przychodzących połaczeń
> na port 23 (telnet) i jednocześnie zrobienie wyjatków dla dwóch
> hostów, z których takowe powinny być akceptowane.
> 
> Próbowałem tak:
> 1. Utworzyłem ogólną regułę jako user-rule w postaci:
> Telnet-block	
> 		Comment = "Block all telnet connection",
> 		Destination-Port = "telnet",
> 		Destination = "My_IP",
> 		Direction = Incoming
> 2. Stworzyłem regułę na whiteliście zezwalająca na przyjmowanie
> połączeń:
> Telnet-arktyka	
> 		Comment = "Allow telnet connection from arktyka.com",
> 		Source = "80.55.53.46",
> 		Destination-Port = "telnet",
> 		Destination = "My_IP",
> 		Rule-Action = Allow,
> 		Direction = Incoming
> 
> 
> No i d.... Okazuje się, że nie przyjmuje połaczeń. Firewall informuje,
> że zablokował połaczenie za pomoca pierwszej regułki:
> [2006/09/25][17:10:54][03:Medium][Incoming][tcp][SRC:arktyka.com][DST:trzypion.oldfield.org.pl][MSG:Packet
> dropped by Firewall ACL][Telnet-block]
> 
> A w dokumentacji napisane jest jak byk, że whitelist jest procesowana
> przed wszystkimi innymi regułami. No i ja już głupi jestem.
> 
> Żeby było śmieszniej - kiedy regułę blokującą utworzę w blackliscie,
> to wygląda tak, jakby nie działała ona wcale - czyli zezwala na
> połaczenia telnetowe z każdego hosta.
> 
> Co ja robię nie tak?
> 

Teoretycznie wszystko jest OK. A co się stanie jak regułę nr 2 umieścisz 
  w pliku firewall.cnf PRZED regułą nr 1 ?

-- 
================================
Leszek KUBRAK

On Mon, 25 Sep 2006 17:41:16 +0200, Leszek Kubrak
<lesiok@infokub.com.pl> wrote:

>> Co ja robię nie tak?
>> 
>
>Teoretycznie wszystko jest OK. A co się stanie jak regułę nr 2 umieścisz 
>  w pliku firewall.cnf PRZED regułą nr 1 ?

Zaraz, w firewall.cnf mam tylko opisy poszczególnych poziomów,
firewall pracuje u mnie na 3, więc wpis dla niego wygląda tak:

SETTINGS	
		Safe-Mail-Relay-Addresses = "10.*",
		Safe-Mail-Relay-Domains = "oldfield.org.pl",
		Security-Level = 3


[...]
Level-3	
		Block-FW-Ports = No,
		Dynamic-Firewall = Disabled,
		Safe-Mail-Relay-Addresses = "10.*",
		Safe-Mail-Relay-Domains = "oldfield.org.pl",
		Comment = "All dropped packets logged to droppkts.log.
Rejected TCP connections logged to rejects.log. Warning of 30 dropped
packets within 30 minutes.",
		Rules = "base/base base/monitors alerts/icmp
alerts/tcp contrack/incoming contrack/outgoing alerts/dropped
contrack/rejects policy/drop-log",
		Shaper-Enabled = Yes

Level-4	
[...]


Reguły mam w dwóch plikach - blokada telneta jest w firerule.cnf, a
whitelista w whitelist.cnf.

Regułki wpisywałem przez GUI. 

Hmm.. No dobrze. Wygląda na to, że faktycznie pomaga wpisanie reguł do
firerule.cnf w odpowiedniej kolejności, czyli:

Telnet-arktyka	
		Comment = "Allow telnet connection from arktyka.com",
		Destination-Port = "telnet",
		Source = "80.55.53.46",
		Destination = "My_IP",
		Rule-Action = Allow,
		Direction = Incoming

Telnet-block	
		Comment = "Block all telnet connection",
		Destination-Port = "telnet",
		Destination = "My_IP",
		Direction = Incoming

I teraz wpuszcza telneta tylko z jednego adresu :D Dzięki, Leszku.


Pytanie za 100 punktów - czy jest możliwe filtrowanie nie tylko po IP,
ale po ramkach ethernetowych, czyli po MAC adresach? Chodzi mi o
wycięcie wszystkiego, co przyłazi do mnie z LAN-u, a jest tego sporo
(windowsy sieją jak głupie)
-- 
     ___________ (R)
    /_  _______      Adam 'Trzypion' Płaszczyca (+48 502) 122 688
  ___/ /_  ___       ul. Ludwiki 1 m. 74, 01-226 Warszawa
 _______/ /_     http://www.plfoto.com/zdjecie.php?picture=861112
___________/     mail: _555@irc.pl GG: 3524356

Adam Płaszczyca wrote:
> On Mon, 25 Sep 2006 17:41:16 +0200, Leszek Kubrak
> <lesiok@infokub.com.pl> wrote:
> 
>>> Co ja robię nie tak?
>>>
>> Teoretycznie wszystko jest OK. A co się stanie jak regułę nr 2 umieścisz 
>>  w pliku firewall.cnf PRZED regułą nr 1 ?
> 
> Zaraz, w firewall.cnf mam tylko opisy poszczególnych poziomów,
> firewall pracuje u mnie na 3, więc wpis dla niego wygląda tak:

Oczywiście moja pomyłka.

[....]

> 
> 
> Reguły mam w dwóch plikach - blokada telneta jest w firerule.cnf, a
> whitelista w whitelist.cnf.
> 
> Regułki wpisywałem przez GUI. 
> 
> Hmm.. No dobrze. Wygląda na to, że faktycznie pomaga wpisanie reguł do
> firerule.cnf w odpowiedniej kolejności, czyli:
> 
> Telnet-arktyka	
> 		Comment = "Allow telnet connection from arktyka.com",
> 		Destination-Port = "telnet",
> 		Source = "80.55.53.46",
> 		Destination = "My_IP",
> 		Rule-Action = Allow,
> 		Direction = Incoming
> 
> Telnet-block	
> 		Comment = "Block all telnet connection",
> 		Destination-Port = "telnet",
> 		Destination = "My_IP",
> 		Direction = Incoming
> 
> I teraz wpuszcza telneta tylko z jednego adresu :D Dzięki, Leszku.

:-)

> 
> 
> Pytanie za 100 punktów - czy jest możliwe filtrowanie nie tylko po IP,
> ale po ramkach ethernetowych, czyli po MAC adresach? Chodzi mi o
> wycięcie wszystkiego, co przyłazi do mnie z LAN-u, a jest tego sporo
> (windowsy sieją jak głupie)

Chyba aż tak to się nie da.

-- 
================================
Leszek KUBRAK

Leszek Kubrak wrote:
> Adam Płaszczyca wrote:
>> On Mon, 25 Sep 2006 17:41:16 +0200, Leszek Kubrak
>> <lesiok@infokub.com.pl> wrote:
>>
[....]
>>
>> Pytanie za 100 punktów - czy jest możliwe filtrowanie nie tylko po IP,
>> ale po ramkach ethernetowych, czyli po MAC adresach? Chodzi mi o
>> wycięcie wszystkiego, co przyłazi do mnie z LAN-u, a jest tego sporo
>> (windowsy sieją jak głupie)
> 
> Chyba aż tak to się nie da.
> 

Sprawdziłem na liście InJoya. Nie da się na 100%, jest na liście to-do 
do następnej wersji.

-- 
================================
Leszek KUBRAK

On Tue, 26 Sep 2006 08:13:50 +0200, Leszek Kubrak
<lesiok@infokub.com.pl> wrote:

>> Pytanie za 100 punktów - czy jest możliwe filtrowanie nie tylko po IP,
>> ale po ramkach ethernetowych, czyli po MAC adresach? Chodzi mi o
>> wycięcie wszystkiego, co przyłazi do mnie z LAN-u, a jest tego sporo
>> (windowsy sieją jak głupie)
>
>Chyba aż tak to się nie da.

Dać się da, tylko nie w InJoyu ;) W końcu stos TCP/IP dostaje
informacje o mac adresie karty która wysłała pakiet.
-- 
     ___________ (R)
    /_  _______      Adam 'Trzypion' Płaszczyca (+48 502) 122 688
  ___/ /_  ___       ul. Na Szaniec 23/70, 31-560 Kraków
 _______/ /_     http://trzypion.oldfield.org.pl/fotki/Ponidzie_2006/
___________/     mail: _555@irc.pl GG: 3524356

On Tue, 26 Sep 2006 09:42:59 +0200, Leszek Kubrak
<lesiok@infokub.com.pl> wrote:

>> Chyba aż tak to się nie da.
>> 
>Sprawdziłem na liście InJoya. Nie da się na 100%, jest na liście to-do 
>do następnej wersji.

Fajnie. Szczekam więc. 
P.S. A jaki jest adres tej listy?
-- 
     ___________ (R)
    /_  _______      Adam 'Trzypion' Płaszczyca (+48 502) 122 688
  ___/ /_  ___       ul. Na Szaniec 23/70, 31-560 Kraków
 _______/ /_     http://trzypion.oldfield.org.pl/fotki/Ponidzie_2006/
___________/     mail: _555@irc.pl GG: 3524356