Problemas con Shorewall

Andres Ovalle G. (kill-9) aovalle en debianchile.cl
Jue Nov 20 23:05:47 CLST 2008


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Pabluster escribió:
> Hola lista...
> 
> Hace bastante tiempo que no escribía a la lista... pero esta vez no e
> tenido otro remedio que consultarle a ustedes.
> 
> Tengo el siguiente escenario.
> 
> 1 PC Con Ubuntu 8.10 Server + Shorewall + DNSMasq (DNS-Cache Server) +
> DHCP3-Server + 2 interfaces de red
> 
> la función de la maquina es cumplir con el rol de Gateway.
> 
> tengo 2 problemáticas que paso a detallar cada una a continuación.
> 
> 1.- una vez configurado el shorewall me pude dar cuenta que no era
> posible salir a Internet, teniendo la siguiente configuración.
> 
> Archivo Policy
> 
> #SOURCE         DEST            POLICY          LOG             LIMIT:BURST
> #                                               LEVEL
> net             all             DROP            info
> all             all             REJECT          info
> #LAST LINE -- DO NOT REMOVE
> 
> Archivo interfaces
> 
> #ZONE   INTERFACE       BROADCAST       OPTIONS
> net     eth0            detect
> dhcp,tcpflags,blacklist,routefilter,nosmurfs,logmartians
> loc     eth1            detect
> #LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
> 
> 
> Archivo zones
> 
> #ZONE   TYPE            OPTIONS         IN                      OUT
> #                                       OPTIONS                 OPTIONS
> fw      firewall
> net     ipv4
> loc     ipv4
> #LAST LINE - ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE
> 
> 
> Archivo rules
> 
> ############################################################################################################################
> #ACTION         SOURCE                  DEST
>  PROTO   DEST    SOURCE          ORIGINAL        RATE            USER/
>   MARK
> #
>  PORT    PORT(S)
> ## Permitimos las peticiones de DNS desde la Lan al DNS-Cache
> ACCEPT          loc                     fw
>  tcp     53
> ACCEPT          loc                     fw
>  udp     53
> ## Permitimos el Acceso via SSH de mi laptop al Firewall
> ACCEPT          net:~XX-XX-XX-XX-XX-XX  fw
>  tcp     11980
> ACCEPT          net:~XX-XX-XX-XX-XX-XX  fw
>  tcp     11980
> ACCEPT          loc:~XX-XX-XX-XX-XX-XX  fw
>  tcp     11980
> ACCEPT          loc:~XX-XX-XX-XX-XX-XX  fw
>  tcp     11980
> ## Permitimos los ping desde la red
> ACCEPT          loc                     fw
>  icmp    8
> ## Permitimos Navegar por Internet a la Red Local
> Web/ACCEPT      loc                     net
> #LAsT LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
> 
> 
> 
> Ahora el problema... cuando intento navegar no me deja salir a ningún
> lado... si puedo llegar hasta el firewall que en mi caso es la eth1
> configurada con la ip 192.168.1.254
> 
> pero cuando intento salir a internet.... me hace una tapa que suena
> hasta en arica.
> luego de darme un monton de vueltas pude solucionarlo haciendo lo siguiente..
> 
> Edite el Archivo policy dejandolo asi
> 
> #SOURCE         DEST            POLICY          LOG             LIMIT:BURST
> #                                               LEVEL
> fw              net             ACCEPT
> net             all             DROP            info
> all             all             REJECT          info
> #LAST LINE -- DO NOT REMOVE
> 
> 
> Por que???
> yo quería poder limitar el acceso del firewall a internet solo por los
> puertos que utilizara y nada mas.
> 
> 2.- El otro problema es el siguiente...
> 
> Luego de estar navegando me pude percatar que cada cierto lapso de
> tiempo me arroja unos micro-cortes de comunicación, sin responder la
> tarjeta de red interna... analizando el tema extraje unos archivos con
> ping los dejo disponibles en el siguiente link.
> 
> http://rapidshare.com/files/165794764/ping_puerta_interna.txt.html
> 
> Tendra que ver algo el servidor DHCP que esta mirando a la red local???
> 
> los cortes no son grandes, pero al tener uno, me bota las conexiones y
> eso si es un problema.
> 
> Espero sus comentarios.
> y de antemano agradezco la ayuda y también pido disculpas si se me ha
> pasado alguna falta ortográfica.


Yo hace unos dias tenia un problema similar en el firewall eso si  esta
bajo pfsense ( basado en freebsd ) y el problema era las peticiones udp
de ntp, limite eso y ahora funciona perfectamente, nose si podra ser
eso, las peticiones udp al port 123 de los clientes que tienes tras tu
firewall
> 
> 
> ********************************
> Pablo Figueroa A.
> Linux user N° 379917 - counter.li.org
> GM Staff www.Resurrections.cl
> ********************************
> 
> 


- --
Andrés Esteban Ovalle Gahona (kill-9)
Ingeniero (E) Computación e Informática.
Ingeniero de Sistemas EUIIIS - Universidad de Taparaca
Staff Debianchile.cl <www.debianchile.cl>
Msn: aovalle en gmail.com
Blog: http://kill-9.debianchile.cl
Movil: 09-5795880
Oficina: 58-205181 - Anexo 5181
Usuario Linux #456290 (counter.li.org)
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iEYEARECAAYFAkkmF3sACgkQG9iRE0Ec48q7sgCgrqQsdE4tCWv7nT277PqhxAED
cToAniJBVSIAA0QP7SRbRbFsf6T7+BJf
=ML+h
-----END PGP SIGNATURE-----


Más información sobre la lista de distribución Linux