Linux Forum — Помогите разобраться с SuSEFirewall

Re: Помогите разобраться с SuSEFirewall

null@example.com (valday666) — Thu, 09 Dec 2010 08:07:22 +0000

Спасибо! У меня было такое правило и с ним не работало

FW_MASQ_NETS="192.168.0.0/16,0/0,icmp"

Поставил

FW_MASQ_NETS="0/0,0/0,icmp"

все пошло

Re: Помогите разобраться с SuSEFirewall

null@example.com (UTiM) — Wed, 08 Dec 2010 16:21:45 +0000

valday666 пишет:

А как разрешить пинги, чтобы из локальной сети можно было пинговать внешние ресурсы?
У меня сейчас в файерволе прописано:
FW_ALLOW_PING_FW="yes"
FW_ALLOW_PING_EXT="yes"
FW_ALLOW_PING_DMZ="yes"
Но при этом адреса только резольвятся, но не пингуются. Что-то дополнительно нужно указать?

Это Вы разрешили пинговать шлюз и компы в соотв. зонах из других зон (см. переводы - не зря-ж я трудился), а вам для пинга во вне через NAT надо в FW_MASQ_NETS добавить типа "0/0,0/0,icmp"

Re: Помогите разобраться с SuSEFirewall

null@example.com (valday666) — Wed, 08 Dec 2010 09:23:59 +0000

А как разрешить пинги, чтобы из локальной сети можно было пинговать внешние ресурсы?
У меня сейчас в файерволе прописано:

FW_ALLOW_PING_FW="yes"
FW_ALLOW_PING_EXT="yes"
FW_ALLOW_PING_DMZ="yes"

Но при этом адреса только резольвятся, но не пингуются. Что-то дополнительно нужно указать?

Re: Помогите разобраться с SuSEFirewall

null@example.com (UTiM) — Fri, 19 Nov 2010 20:40:29 +0000

Эти "варнинги" скорее всего безвредны и горорят, что какие-то конфиги устарели в применятся не будут (потом или уже сейчас). Вообще, если уж стоить не самый древний SLES (хотя-бы 10-й) то нестоит обновлять SuSEfirewall из чужого репозитория. Все-таки SLES - это "стабильность", а ничего экстра-полезного в новых фаерволах не появилось, а вот несовместимоть - типа вышеприведенной - легко словить.

Re: Помогите разобраться с SuSEFirewall

null@example.com (valday666) — Fri, 19 Nov 2010 18:44:36 +0000

Да, после рестарта апача ошибки исчезли
Конфиг загрузил и применил, сверил - все на месте.
Кстати, не подскажите, как избавится от этих ошибок при старте SuSEfirewall? Я в SLES указывал репозитории OpenSuSE и после обновления они появились

Консоль:

ns1:/etc/sysconfig # rcSuSEfirewall2 restart
Starting Firewall Initialization (phase 2 of 2) WARNING: All config files need .conf: /etc/modprobe.d/generic_serial-blacklist, it will be ignored in a future release.
WARNING: All config files need .conf: /etc/modprobe.d/generic_serial-blacklist, it will be ignored in a future release.
WARNING: All config files need .conf: /etc/modprobe.d/generic_serial-blacklist, it will be ignored in a future release.
WARNING: All config files need .conf: /etc/modprobe.d/generic_serial-blacklist, it will be ignored in a future release.

Re: Помогите разобраться с SuSEFirewall

null@example.com (UTiM) — Fri, 19 Nov 2010 16:47:21 +0000

Поправил описание установки, там есть мелкий глючек при обновлении - см. http://unixforum.org/index.php?showtopi … ;p=1117096

Re: Помогите разобраться с SuSEFirewall

null@example.com (UTiM) — Fri, 19 Nov 2010 14:28:45 +0000

По идее старую удалять не надо, но если снесете - настройки не потеряются. Апач после инсталяции перезапустили? Перезапустите и войдите повторно. Кроме того - если файл фаервола подвергался "ручной" правке - могут быть сбои - восстановите его кнопкой "Восстановит" на главной странице в дополнительном меню кнопок (зеленые стрелочки) При восстановлении ваши настройки перейдут в файл Old_SuSEfirewall в списке файлов конфигурации и он будет "починен". Загрузите его обратно в конфигуратор и нажмите "Применить". Обязательно отпишите - что получилось...

Re: Помогите разобраться с SuSEFirewall

null@example.com (valday666) — Fri, 19 Nov 2010 12:50:26 +0000

А старую версию нужно было удалять? У меня теперь при перечитывания конфигурации выскакивает

Notice: Undefined property: xmlfw::$data in /usr/share/osfw/sf_editor/inc/class.boedit.inc.php on line 515 Warning: array_key_exists() expects parameter 2 to be array, null given in /usr/share/osfw/sf_editor/inc/class.boedit.inc.php on line 523

Re: Помогите разобраться с SuSEFirewall

null@example.com (UTiM) — Fri, 19 Nov 2010 10:45:22 +0000

В связи с сезонным увеличением интереса к SuseFirewall - опубликовал последнюю сборку веб-интерфейса, адаптированную для "начинающих" Читаем описание и берем здесь: http://unixforum.org/index.php?s=&s … p;p=978028

Re: Помогите разобраться с SuSEFirewall

null@example.com (UTiM) — Thu, 18 Nov 2010 10:27:41 +0000

Странно, только что проверил FW_MASQ_NETS="0/0,0/0,icmp" - сожрало нормально - смотрите орфографию или регистр...

Да, вариант FW_NOMASQ_NETS="!192.168.1.100/24,0/0,tcp,25" жрет, только поругивается на устаревший формат команды... Но результат надо проверять...

Re: Помогите разобраться с SuSEFirewall

null@example.com (UTiM) — Thu, 18 Nov 2010 10:19:23 +0000

Есть FW_FORWARD_REJECT и FW_FORWARD_DROP - см. описание.

Да в первом случае можно попробовать

FW_NOMASQ_NETS="!192.168.1.100/24,0/0,tcp,25"

Типа закрыть 25 для всех, кроме 192.168.1.100 - но это надо пробовать, там по описанию в некоторых правилах знак отрицания ("!") упоминается, но надо проверять - что получится...

Re: Помогите разобраться с SuSEFirewall

null@example.com (valday666) — Thu, 18 Nov 2010 10:15:37 +0000

Кстати, на 192.168.1.0/24,0/0,ICMP файрвол пишет, что знает только tcp и udp

Re: Помогите разобраться с SuSEFirewall

null@example.com (valday666) — Thu, 18 Nov 2010 06:49:26 +0000

Спасибо! Теперь суть ясна
А в FW_REDIRECT как можно задать списки исключения? Мне нужно траффик с 192.168.1.0/16 завернуть на прокси, но при этом с десяток адресов нужно будет пропустить и идут они не по порядку... Как я понял, что-то типа FW_NOREDIRECT не существует в SuSEFIrewall?

Re: Помогите разобраться с SuSEFirewall

null@example.com (UTiM) — Wed, 17 Nov 2010 20:15:09 +0000

valday666 пишет:

Теперь я хочу закрыть для всей сети 25 порт и открыть его только для 2-3 адресов.

Например так:
FW_MASQ_NETS="192.168.1.0/24,0/0,UDP 192.168.1.0/24,0/0,ICMP 192.168.1.0/24,0/0,TCP,1:24 192.168.1.0/24,0/0,TCP,26:65535 192.168.1.100,0/0,TCP,25"

По 25-му ходит только 192.168.1.100

Re: Помогите разобраться с SuSEFirewall

null@example.com (valday666) — Wed, 17 Nov 2010 13:59:20 +0000

Спасибо, вроде идею понял. А не подскажите еще такую вещь:
у меня общая сеть 192.168.0.0/16 и для всех должны быть закрыты все порты, а для подсети 192.168.1.0/24 наоборот, открыто все. Это сделал

FW_MASQ_NETS="192.168.1.0/24,0/0"

Но теперь оказалось, что в сети есть зараженный комп, который шлет спам и я оказываюсь в черных списках. Теперь я хочу закрыть для всей сети 25 порт и открыть его только для 2-3 адресов.
Если все это настраивать через FW_MASQ_NETS, получится слишком большой список, да и в какой последовательности писать исключающие правила... Может на этот случай есть какие-то правила в настройке SuSEFirewall, чтобы облегчить задачу настройки?
Как полностью отключить 25 порт от этой сети понял

FW_NOMASQ_NETS="192.168.1.0/24,0/0,tcp,25