ipfwadm -O -f
ipfwadm -F -f
Ipfwadm -O -p deny
Ipfwadm -F -p deny
ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/255.255.255.0
ipfwadm -I -i accept -S0/0 pozbawiamy się w ogóle ochrony bo pierwsza sprawdzana reguła pozwala na dostęp wszystkich wszędzie na wszystkich protokółach i portach tak, że następne reguły choćby najbardziej wymyślne nie będą miały czego blokować i przepuszczać. W przypadku tworzenia firewala od podstaw wygodniej jest używać komendy-a ponieważ kolejność komend w pisanym skrypcie będzie odpowiadać ich kolejności w czasie sprawdzania reguł.
Przekierowanie
Usage: ipportfw -A -[t|u] l.l.l.l/lport -R a.a.a.a/rport dodaje wpis
ipportfw -D -[t|u] l.l.l.l/lport kasuje wpis
ipportfw -C kasuje tablice
ipportfw -L listowanie tablicy
l.l.l.l to adres lokalnego interfejsu odbierającego pakiety.
a.a.a.a adres hosta do którego przekierowujemy połaczenie.
lport to port z którego przekierowujemy.
rport to port na ktory przekierowujemy.
#_47x._[Port_forwarding_AKA_export_services]
#_
#_tcp|udp,incoming_port,local_computer_IP_addr/port
#_tcp|udp,port_wchodzący,IP_lokalnego_komputera/port
#_
#_Example:_t,80,192.168.168.2/80
#_this_will_open_worldwide_web_server_on_local_computer_192.168.168.2
#_
#_Example:_t,21,192.168.168.3/21
#_this_will_open_worldwide_ftp_server_on_local_computer_192.168.168.2
#_
#_Comment_must_be_on_separate_line_start_with_"#_"_and_should_not_have_spaces
t,1550,10.3.51.67/1550
t,1551,10.3.51.62/1551
Użycie: ipautofw komenda opcje
Komendy:
-A dodaj nową pozycję do tabeli autoforwardingu
-D usuń pozycję z tabeli autoforwardingu
-F wyczyść tabelę autoforwardingu
opcje:
-r (typ)(niski)(wysoki) forwarding portów od (niski) do (wysoki) użwanych
przez protokół (typ) (tcp lub udp)
-h (host) adres IP komputera odbierającego forwardowane pakiety
-d (typ)(niski)(wysoki) określa zakres portów które nie będą używały domyślnego
(wysokiego 60000+) zakresu portów używanych przez maskaradę.
-p (typ)(wid)(host)(ukr) ustawia odbijanie z widocznego portu (wid) do hosta (adres IP}
za maskaradą na port podany w parametrze (ukr)
-c (type)(port) określa kontrolny port i protokoł
-u Do _not_ require that a host connect within
15 seconds of triggering the control port
-i Insecure mode; any host many connect after implied by not
using the -c option or implied by using the -h option once
the control port has been triggered
Niestety nie wiem co poeta miał na mysli w tych opcjach :-((
-v Tryb gadający, podaje wiecej informacji
Dzieki Mis' za tłumaczenie
Jesli ktoś ma dodatkowe informacje proszę o mail :-))
W przypadku stosowania dodatkowych wpisów firewalla należy sprawdzic czy przekierowane porty nie są blokowane przez firewall.
Listowanie reguł
-e dodatkowo zostaną wyświetlone liczniki, informacje o opcjach, nazwie i adresie interfejsu, krórego dotyczy reguła
-x dziala w polączeniu z -e, liczniki wyświetlane są dokladnie a nie w zaokrągleniu do tysaca (K) i miliona (M).
IP firewall input rules, default policy: reject
type prot source destination ports
acc icmp anywhere xxx.xxx.xxx.xx l 0,3,4,11,12
deny icmp anywhere anywhere 5
deny icmp anywhere anywhere 13:255
deny icmp anywhere anywhere any
rej tcp anywhere anywhere any -> ftp
rej tcp anywhere anywhere any -> 1114
rej udp anywhere anywhere any -> 1114
acc all anywhere anywhere n/a
acc all anywhere anywhere n/a
IP firewall input rules, default policy: reject
type prot source destination ports
acc icmp 0.0.0.0/0 217.99.200.123 0,3,4,11,12
deny icmp 0.0.0.0/0 0.0.0.0/0 5
deny icmp 0.0.0.0/0 0.0.0.0/0 13:255
deny icmp 0.0.0.0/0 0.0.0.0/0 *
rej tcp 0.0.0.0/0 0.0.0.0/0 * -> 21
rej tcp 0.0.0.0/0 0.0.0.0/0 * -> 1114
rej udp 0.0.0.0/0 0.0.0.0/0 * -> 1114
acc all 0.0.0.0/0 0.0.0.0/0 n/a
acc all 0.0.0.0/0 0.0.0.0/0 n/a
IP firewall input rules, default policy: reject
pkts bytes type prot opt tosa tosx ifname ifaddress source destination ports
22 1248 acc icmp ---- 0xFF 0x00 ppp0 any anywhere x.x.x.x 0,3,4,11,12
0 0 deny icmp ---o 0xFF 0x00 ppp0 any anywhere anywhere 5
0 0 deny icmp ---o 0xFF 0x00 ppp0 any anywhere anywhere 13:255
12 480 den icmp ---o 0xFF 0x00 ppp0 any anywhere anywhere any
3 180 rej tcp --yo 0xFF 0x00 ppp0 any anywhere anywhere any -> ftp
0 0 rej tcp --yo 0xFF 0x00 ppp0 any anywhere anywhere any -> 1114
0 0 rej udp --yo 0xFF 0x00 ppp0 any anywhere anywhere any -> 1114
1274 166K acc all ---- 0xFF 0x00 lo any anywhere anywhere n/a
0 0 acc all ---- 0xFF 0x00 any 1.1.1.1 anywhere anywhere n/a
IP firewall input rules, default policy: reject
pkts bytes type prot opt tosa tosx ifname ifaddress
source destination ports
22 1248 acc icmp ---- 0xFF 0x00 ppp0 0.0.0.0
0.0.0.0/0 217.99.200.123 0,3,4,11,12
0 0 deny icmp ---o 0xFF 0x00 ppp0 0.0.0.0
0.0.0.0/0 0.0.0.0/0 5
0 0 deny icmp ---o 0xFF 0x00 ppp0 0.0.0.0
0.0.0.0/0 0.0.0.0/0 13:255
12 480 deny icmp ---o 0xFF 0x00 ppp0 0.0.0.0
0.0.0.0/0 0.0.0.0/0 *
3 180 rej tcp --yo 0xFF 0x00 ppp0 0.0.0.0
0.0.0.0/0 0.0.0.0/0 * -> 21
0 0 rej tcp --yo 0xFF 0x00 ppp0 0.0.0.0
0.0.0.0/0 0.0.0.0/0 * -> 1114
0 0 rej udp --yo 0xFF 0x00 ppp0 0.0.0.0
0.0.0.0/0 0.0.0.0/0 * -> 1114
1492 194429 acc all ---- 0xFF 0x00 lo 0.0.0.0
0.0.0.0/0 0.0.0.0/0 n/a
0 0 acc all ---- 0xFF 0x00 * 1.1.1.1
0.0.0.0/0 0.0.0.0/0 n/a
IP masquerading entries
prot expire source destination ports
tcp 11:59.95 192.168.0.4 216.234.109.21 1999 (64862) -> 8000
ipfwadm -M -l[nex]
gdy w tablicy maskarady jest zapisane połączenie maskowane ICMP (np PING) zamiast spisu otrzymujemy błąd:
[LINUX] ipfwadm -M -lTu możesz pobrać poprawione przez Jeremian ipfwadm. Do niego proszę kierować uwagi i informację o błedach. Polecenie nie jest jeszcze dobrze przetestowane :-))
IP masquerading entries
ipfwadm: unexpected input data
Try `ipfwadm -h' for more information.
Użytkownicy freesco wpisują:
[Linux] snarf http://zciech.w.interia.pl/ipfwadm
pilk po nadaniu atrybutu
[Linux]chmod 755 ipfwadm
należy umieścić w katalogu /mnt/router/fix
Liczenie ruchu
Ruch mozemy zliczać w dowolny sposób, w/g hostów, interfejsów, portów:
IP accounting rules
pkts bytes dir prot source destination ports
4431 3386K i/o all anywhere anywhere n/a
17 781 i/o all xxx.xxx anywhere n/a
1585 1249K i/o all yyy.xxx anywhere n/a
IP accounting rules
pkts bytes dir prot source destination ports
1710 1135K i/o all 0.0.0.0/0 0.0.0.0/0 n/a
17 781 i/o all 192.168.0.2 0.0.0.0/0 n/a
220 123K i/o all 192.168.0.4 0.0.0.0/0 n/a
IP accounting rules
pkts bytes dir prot opt ifname ifaddress source destination ports
10864 8611K i/o all b--- any any anywhere anywhere n/a
40 2230 i/o all b--- any any xxx.xxx anywhere n/a
4781 3860K i/o all b--- any any yyy.xxx anywhere n/a
IP accounting rules
pkts bytes dir prot opt ifname ifaddress source destination ports
3249 2761623 i/o all b--- any any anywhere anywhere n/a
18 1010 i/o all b--- any any xxx.xxx anywhere n/a
1623 1380316 i/o all b--- any any yyy.xxx anywhere n/a
Liczniki pozostawione same sobie po pewnym czasie przepełnia się i trudno będzie ustalić rzeczywista wartośc ruchu. Aby temu zapobiec należy je kasować, złuży do tego opcja -z:
eth0 Link encap:10Mbps Ethernet HWaddr 00:30:4F:17:28:32
inet addr:192.168.0.1 Bcast:192.168.0.255 Mask:255.255.255.0
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
Można tworzyć reguły zliczania ruchu między hostami znajdującymu się w sieci, podłaczonych do naszego interfejsu sieciowego np:
IP accounting rules
pkts bytes dir prot source destination ports
118 43425 i/o all 192.168.0.2 192.168.0.4 n/a
Tu jest rozebrany na czynniki pierwsze skrypt /mnt/routetr/rc/rc_masq z pakietu freesco
Przykład użycia skryptu /mnt/router/rc/rc_user do blokowania niektórych hostów
Jeśli masz jakieś uwagi, pytania lub sugestie to napisz do mnie
Oryginalne żródła ipfwadm
Dla pogłębienia i poszerzenia wiedzy o sieci, TC/IP, uslugach itd, itp, polecam Linux - przewodnik administratora sieci autorzy Olaf Krch i Terry Dawson dzieki której to publikacji poznałem tą piękną komendę :-)))
A teraz trochę komercji :-)
Jesłi zawarte na tej stronie informacje przydały Ci do czegoś to proszę kliknij na baner
Zostaniesz przeniesiony w magiczny świat Aukcji internetowych ;-)
Zciech 06.03.2003
 |
Do 06.03.2003 - 9.340 odwiedzin
Od 06.03.2003