Forum Debian Users Gang

A czy na Linksysie jest przekierowanie portu zewnętrznego na adres i port serwera ftp schowanego za Linksysem ?

Bo przy translacji adresów (Linksys) trzeba przekierować port na adres IP sieci lokalnej.
Jeżeli chodzi o połączenie - to z bardzo niewielu miejsc będzie można się łączyć - tylko z tych miejsc - gdzie jest internet ;-)
Pod warunkiem - że oba firewalle - na routerze i na kompie, serwer ftp i przekierowanie portu z routera będą prawidłowo skonfigurowane.

W serwerze ftp -sprawdź - czy słucha tylko nas adresie lokalnym 127.0.* - czy na wszystkich adresach - poleceniem

sudo lsof -i

- dostęp na wszystkich powinien wygladać tak:

:~#sudo  lsof -i| grep ftp
pure-ftpd 3114     root    4u  IPv4  12081      0t0  TCP *:ftp (LISTEN)
pure-ftpd 3114     root    5u  IPv6  12083      0t0  TCP *:ftp (LISTEN)
:~#

gdzie * oznacza dowolny adres IP.

Ponadto - radziłbym szyfrowane ftp, lub najlepiej ssh - sftp - aby ktoś niemile widziany nie podłączył się kiedyś do tego serwerka.

A przekierowanie łatwo można w Linksysie wyklikać - w zakładce port forwarding - o ile się nie mylę.
Na forum Ubuntu był ten temat: http://forum.ubuntu.pl/showthread.php?p=674304
Proszę nie wysyłać uwag na biuro@cośtam.pl ani biuro@xxxxxxxxxxxx.pl  ;)

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2009-11-30 00:50:04)

Na routerze polecam ustawić DMZ wówczas cały ruch na zewnętrzny IP będzie kierowany do adresu z DMZ.
Ważne żebyś miał publiczne IP.

zamiast FTP polecam samo SSH jako klienta na windowsie do transferu plików polecam WinSCP, SSH bezpieczniejsze niż zwykły FTP.

Co do vsftpd - radziłbym uważać z konfigiem - widzę w nim "syndrom dovecota" - żeby coś w nim wyczytać - trzeba wywalić komentarze.
Co do DMZ - jeśli tam nie ma usług dostępnych publicznie - nie radziłbym.
raczej przekierować port na routerze - wszystkie routery mają taką opcję - aby połączenie przychodzące z internetu na port xx skierować np. do hosta 192.168.59.112 port yy. - zwykłe przekierowanie.

Ftp potrzebuje co najmiej 2 portów 20 i 21 w trybie aktywnym (w pasywnym znacznie trudniej skonfigurować go za natem)-  i do dostępu do chronionego katalogu w Linuxie nadaje się - jak słoń do składu porcelany.

Znacznie lepsze będzie ssh - konkretnie sftp -czyli jeden port docelowy, defaultowe szyfrowanie, logowanie klucz/hasło - na Win$ można go się połączyć przez putty (ssh) i winscp czy kilka klientów ftp - np. filezilla, fireftp do protokołu sftp, w Linuxie np. sshfs.

A plik konfiguracyjny serwera ssh - to 1/2 konfigu vsftpd.

Do tego można go zabezpieczyć przez denyhosts, sshguard, fail2ban lub skrypt sshwatch.

Serwer ftp - warto stosować tylko wtedy - gdy nic innego się nie da uruchomić.
To dość stara technika - z czasów - gdy nikt nie myślał o firewallach czy NAT,
i stąd są kłopoty z np. z dostępem do ftp za NAT'em.

Weź lepiej ssh - połowa roboty, lepszy skutek i pancerne (w porównaniu z ftp) bezpieczeństwo.
http://jakilinux.org/aplikacje/sztuczki-z-ssh/
http://czytelnia.ubuntu.pl/index.php/2009/03/13/openssh_czesc1/
http://czytelnia.ubuntu.pl/index.php/2009/03/24/openssh-czesc2/
http://stary.dug.net.pl/faq/faq-3-140-Blokowanie_ss … logowania.php
http://dug.net.pl/tekst/65/ssh___klucze_rsa_(mozliwosc_logowania_bez_hasla)/

A jeśli już musi być ftp - to mnie się udało dojść do ładu tylko z pure-ftpd - ma najprostszą konfigurację, i niezłe bezpieczeństwo (jak na ftp oczywiście).

Taka jest moja opinia.

Pozdrawiam

Ostatnio edytowany przez Jacekalex (2009-11-30 19:39:01)

Co do ftp - to przerabiałem kilka serwerów i klientów ftp - i na połączeniach nieszyfrowanych działają - ale po włączeniu szyfrowania zaczynają się schody.

Zazwyczaj zawsze - działał (z szyfrowaniem) tylko filezilla, czasem total-comander, inne raczej przez przypadek.

Ftp powinno działać - ale  ....? jak nie działa - to logi i kombinowanie.

Gratuluję zainstalowania vsftpd - u mnie nic się z tym cudem nie chciało łączyć -
przy  proftpd dwa dni walki - udało się podłączyć curlftpfs przez ssl,
jedyny - który ma w miarę prostą konfigurację - szyfrowanie i chrootowanie userów w folderach ustawiłem w około 20 min. - to pureftpd, można nim zarządzać przez pureadmin.

Ale to - czy dany klient połączy się z serwerem - to totolotek - zawsze poza tym trzeba kombinować z ustawieniami klienta ftp.

Co do ograniczeń przy ssh - można ograniczyć dla danego usera łączność do samego sftp (protokół sftp jest częścią ssh) - ograniczenie usera można uzyskać również przez ograniczenie powłoki (tu ujawnia się jedna wada ssh - do zalogowania usera potrzebne jest - aby miał jakąś powlokę aktywną) - czy do sftp też to działa - nie jetem pewien.

W każdym razie linux to linux - montowanie folderów z opcją bind, powłoki chroot i jail - można dać jakiemuś userowi dostęp do wybranych zasobów bez ryzyka dla systemu i rzeczy - których user zobaczyć nie powinien.
Jest to trochę zabawy - ale wykonalne i zadziała.

Poradzisz sobie, - choć dodanie nowego  usera może być konieczne.
A doświadczenie - bezcenne, zwłaszcza - jak trzeba na czymś zagiąć Admina od poczty:).

Pozdrawiam
;)

Ostatnio edytowany przez Jacekalex (2009-12-07 05:33:09)

Na razie nie dziękuj - podziękujesz - jak będzie wszystko działało.

Bo na razie - to niby wszystko zrobione - ale ile jeszcze wyjdzie "w praniu" - diabli wiedzą.

Radziłbym też pewien trik z firewallem: http://stary.dug.net.pl/faq/faq-3-140-Blokowanie_ss … logowania.php

I przeniesienie ssh z portu 22 na inny - najlepiej wylosowany w totolotka - ponieważ ssh jest ulubionym celem ataków z siłowym łamaniem hasła (podobnie jak ftp) a biedny serwerek ssh nikogo nie wpuści - prędzej umrze - niż wpuści łobuza  (ale zazwyczaj umiera razem z komputerem).
Dlatego dobrze go wesprzeć drobną pomocą ze strony starego, dobrego iptables - które z różnego rodzaju hakerami i skrypciarzami radzi sobie dobrze, fachowo i skutecznie ;-).

Ftp radziłbym zabezpieczyć w ten sam sposób i z tych samych powodów -należy jednak pamiętać - że po zmianie portów w serwerze ftp część klientów ftp zgłupieje, i z niczym się nie połączy.

Ogólnie - gdyby na routerze był linux z iptables - tam najlepiej byłoby zrobić taką dynamiczną zaporę - ktora po np. trzech próbach nowego połączenia na dowolne porty banuje adres IP na 15 minut, lub godzinę.

Pozdrawiam
;)

Firestarter bardzo miesza w regułach -są potem mało przejrzyste.

Zasadniczo nie powinno być kłopotu z dorzuceniem tych reguł w skrypcie - który startowałby ze startem systemu, jednak Ludzie - którzy włączają różne usługi na serwerach - zazwyczaj tworzą własne skrypty do iptables, na forum Ubuntu jest fajne howto do podstaw, temat też był wałkowany na wszystkie możliwe sposoby  - ja sam pisałem o tym chyba z 20 razy, i na forum Ubuntu i tutaj - na Dug'u.

Najprościej zrzucić obecną konfigurację do pliku - poprzez

sudo iptables-save

potem do zrzuconej do pliku konfiguracji dopisać własne reguły , następnie przerobić ją na skrypt.
I wrzucić ten skrypt do /usr/local/bin - stworzyć dowiązanie do /etc/network/if-up.d/
albo dodać do skryptów startowych.

Natomiast w firestarterze, czy ufw - tam się zbyt wiele nie osiągnie, te programy są ograniczone przez twórców - do niezbędnych funkcji, ale zapisują je w setkach reguł - które są zupełnie nie czytelne.

Radziłbym skrypt do iptables - ja na takim "jadę" dwa lata - i nie wiem - co to problemy.

Co do portu dla  ssh - dodatkowa linia zabezpieczenia - jeśli ten inny port przekierujesz - tak - jak 22 , i na kompie tez otworzysz odpowiedni port - problemu nie będzie.

Ważne natomiast - aby taki port nie był portem jakiejś znanej - typowej usługi.
Najlepiej przestaw to na chwilę w domu, i przetestuj nmapem - jakiego portu nie znajduje w kilku opcjach domyślnego skanowania.


Jeśli na routerze masz jakiegoś Linuxa - np. tomato czy coś podobnego - to można taki myk z blokowaniem po kilku próbach można zrobić na routerze, jeśli ma domyślny soft linksysa, czy np. dlinka - to trudno - wtedy trzeba w Ubuntu.

Najlepiej pokombinuj z iptables - po każdej zmianie wejdź z FF na stronę http://www.upseros.com/portscan.php lub podobną - i zobaczysz otwarte - typowe porty - np. ftp.

Możesz też poprosić kogoś znajomego - aby uruchomił nmapa lub nessus-demona  - i w ten sposób  dokładnie sprawdzić swój firewall.

Uszy do góry - nie święci garnki lepią. :)

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2009-12-02 15:32:12)

Nie wiem - dlaczego vsftpd odrzuca połączenie.
Logi vsftpd powinny wyjawić prawdę.

Poza tym - najpierw sprawdź filezillą! - to najlepszy klient ftp - łączy się prawie zawsze.

Poza tym - vsftpd - mnie się nie udało nigdy uruchomić go - jak należy.
Natomiast jedynym - który u mnie działa - jest pure-ftpd, najprostsza konfiguracja, chrootowanie userów i najprostsze ustawianie szyfrowania.
Działa nawet z firefoxa ftp://user@host/.

Kiedyś udało mi się to samo z proftpd - po 3dniach kombinowania (to było na Ubu 8.10 - zdechło po aktualizacji).

Generalnie - kombinujesz z rzeczami - które informatykom często sprawiają problemy.
Podtrzymuję radę - ssh na inny port - np. w konfigach i firewallach zmień 22 na np. 7925  lub inny.

Co do triku z iptables - spróbuj najpierw do istniejącej konfiguracji dorzucić reguły z wątku http://stary.dug.net.pl/faq/faq-3-140-Blokowanie_ss … logowania.php - dopasuj numery portów, i zobacz z virtualboxa - czy to działa.

Spróbuj netcatem, telnetem albo najlepiej smartftp nawiązywać kilka połączeń -5 do chronionego portu, - podając złe hasło - po 3 próbie port powinien być zablokowany.

Zrób kopię ustawień iptables tak:

sudo iptables-save >>firewall.txt

- wtedy będzie tam - gdzie zechcesz - zwykłe przekierowanie wyniku do pliku - podstawy basha.

Idzie Ci nieźle - poradzisz sobie - trzeba trochę pokombinować, ale zawsze w końcu się udaje.

Uszy do góry.

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2009-12-03 02:03:03)

http://forum.ubuntu.pl/showthread.php?t=103825 - podstawy.
Dodałbym umieszczenie skryptu w /usr/local/bin i podlinkowanie w /etc/network/if-up.d - to najlepszy sposób, lub w /etc/init.d jak w tamtym przepisie - z tym , że nie poziom uruchomienia 90 - jak tam podali - ale np. 5 - u mnie tak działało przez 2 lata -było ok.

Konfiguracja firewalla - zrzucić do pliku jak napisane wyżej - do każdej regułki dodać z przodu iptables - przy domyślnych politykach usunąć cyfry i nawiasy kwadratowe - a z przodu dodać iptables -P - dodać do nich reguły - ze sposobu - ale najlepiej do wszystkich portów - nie tylko 22 - na dole.

Tworzenie skryptu opisali na forum Ubu.
I tutaj też: http://www-users.mat.uni.torun.pl/~minaq/iptables.pdf
A na wszelki wypadek - na forach Linuxowych w szukajki wkleić iptables - jest tam duuuuużoooo różnych dyskusji, z których można się sporo dowiedzieć.

Wada skryptu - nie siedzi w trayu - i nie wyświetla komunikatu i ikonki - jak firestarter.

A port dla ssh - np. ostatnio w totolotku wylosowali 2614 - nadaje się - jak każdy inny. Lista portów i typowych usług jest w /etc/services.
Byle to nie był port jakiejś popularnej usługi - typu np. baza danych pgsql (5432), i nie był z zakresu root - porty do 1024, i nie blokował innej usługi - która też korzysta z tego numeru portu.

Port dowolny - byle go było trudno namierzyć skanerem takim jak nmap

Rada - jeśli włączysz na jakimś porcie - a nmap (zenmap) z localhosta na trzech różnych skanowaniach domyślnych nie znajdzie tego portu - to wybór będzie idealny.

Jeśli zrzucisz konfig z firestartera - to radzę go przejrzeć - jest w nim dużo zbędnych wpisów.

Pozdrawiam
;)

Ostatnio edytowany przez Jacekalex (2009-12-07 05:37:43)

Tyle - to firewall ma domyślnie - przed konfiguracją - np. po instalacji - lub uruchomieniu z LiveCD.
W takiej konfiguracji - wszystkie porty są otwarte - a firewall na urlopie.

Ja od dawna używam skryptu - w którym interfejs zewnętrzny konfigurują następujące reguły:

#!/bin/bash

EXT=eth1
export EXT
sudo echo " Uruchamiam firewalla............................................."


sudo echo "# ignorowanie ICMP sudo echo request wysylanych na adres rozgloszeniowy" 

sudo echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

sudo echo "128" >> /proc/sys/net/ipv4/ip_default_ttl

sudo echo "# ochrona przed SYN flood" 

sudo echo "1" > /proc/sys/net/ipv4/tcp_syncookies


sudo echo "# refuse source routed packets"  

sudo echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route


sudo echo "1" > /proc/sys/net/ipv4/conf/all/secure_redirects
sudo echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

sudo echo "# logowanie pakietow z nieprawidlowych adresow "

sudo echo "0"> /proc/sys/net/ipv4/conf/all/log_martians
sudo echo "0" > /proc/sys/net/ipv4/ip_forward
sudo echo "# Konfigurowanie zapory..................................................." 

sudo echo "# Czyszczenie tablic......................................................"

sudo iptables -F
sudo iptables -X
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT 
sudo iptables -A INPUT -i lo -d 127.0.0.0/8 -j ACCEPT
sudo iptables -A OUTPUT -o lo -s 127.0.0.0/8 -j ACCEPT
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -p udp -f -i $EXT -j DROP
sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPT
sudo iptables -A INPUT -p udp -i $EXT -m state --state NEW -j REJECT --reject-with icmp-host-unreachable
sudo iptables -A INPUT -p tcp -i $EXT  -m state --state NEW -j REJECT --reject-with tcp-reset
sudo iptables -I INPUT -p tcp --dport 21 -m state --state NEW -m recent --set
sudo iptables -I INPUT -i $EXT -m state --state NEW -m recent --update --seconds 150 --hitcount 3 -j DROP

# Konfiguracja sieci
sudo ifconfig $EXT down
sudo ifconfig $EXT hw ether <Adres-MAC>
sudo ifconfig $EXT <Adres-IP> netmask 255.255.255.0
sudo ifconfig $EXT up 
sudo route add default gw <adres-bramy> $EXT

# Konfiguracja DNS
sudo echo 'nameserver 127.0.0.1' >/etc/resolv.conf
sudo echo 'nameserver 208.67.220.220' >>/etc/resolv.conf
sudo echo 'nameserver 208.67.222.222' >>/etc/resolv.conf

Jest tu włączony dostęp do ftp - możesz spróbować - czy będzie się łączył klient ftp z virtualboxa - przy takiej konfiguracji.
A przede wszystkim - włącz go podając złe hasło - i zobacz - czy po 3 próbach utraci możliwość połączenia w ogóle. Czy - czy trik z blokowanie po kilku próbach działa.

Ja sprawdzić w tej sekundzie sprawdzić nie mogę - virtualbox zdechł - coś mu w kernelu nie pasuje.

Na dole - w komendach ifconfig - zawiera się konfiguracja ustawień sieciowych interfejsu w sposób najskuteczniejszy - jaki znam.

To wyciąg ze skryptu - który stawia 3 interfejsy - więc mógł wkraść się błąd - którego w tej chwili nie zauważyłem.

W każdym razie - daje to obraz konfiguracji iptables do interfejsu zewnętrznego.

I bardzo proszę - aby troszkę zagłębić się w temat.
Konstrukcja iptables jest logiczna i przejrzysta.

U mnie taki skrypt (cały) urzęduje w folderze

/usr/local/bin

- i odpowiada za całą konfigurację sieci.

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2009-12-05 21:35:47)

te reguły

sudo iptables -A INPUT -p udp -i $EXT -m state --state NEW -j REJECT --reject-with icmp-host-unreachable
sudo iptables -A INPUT -p tcp -i $EXT  -m state --state NEW -j REJECT --reject-with tcp-reset

- sprawiają - że komputer na wywołanie odpowiada - tutaj nikogo nie ma :)
W tym skrypcie są otwarte porty ftp 20 i 21 - zobacz - czy te porty wykrył.

Poza tym - jak pisałem - puść flashxp z windy (virtualboxa) - ze złym hasłem,i zobacz - po ilu próbach zalogowania do ftp napisze - że nie ma żadnego serwera - będzie komunikat - brak odp. serwera. (po angielsku).

Poza tym - do zakresu 20:21 w regule:

sudo iptables -I INPUT -p tcp --dport 20:21 -m state --state NEW -m recent --set

zmień najlepiej na większy: np.

sudo iptables -I INPUT -p tcp --dport 0:1024 -m state --state NEW -m recent --set

- w ten sposób na blacklistę bedą trafiać wywołania do najczęściej atakowanych portów - samba i nebios, i kilka innych.

A ssh - powinno być bezpiecznie na jakimś zupełnie nietypowym porcie.
Ftp też można przenieść na inne porty - ale nie chcę u Ciebie wywołać zawrotów głowy.

Jeśli w teście zobaczył dwa porty 20 i 21 to firewall działa ok.

Jednak pytanie - czy ftp i ssh mają być dostępne z całego świata - czy np. z twojego miejsca pracy?

Bo w takim wypadku lepiej wpuścić tylko jeden (lub kilka) adresów IP - zamiast otwierać dostęp z całego świata.


UWAGA - nie doczytałem: Ports found to be OPEN were: 21, 22

Chyba źle podpięłaś skrypt do firewalla - daj go do

/usr/local/bin

a potem dodaj - podlinkuj

sudo ln -s $(which <nazwa-skryptu>) /etc/network/if-up.d/<nazwa-skryptu>

do folderu

/etc/network/if-up.d

albo dodaj do autostartu tzn. podlinkuj do

/etc/init.d

i uruchom komendę

sudo update-rc.d <nazwa-skryptu> defauts 5

Ponadto - jeśli masz inną konfigurację sieci - WiCD, NM czy w interfaces - to wywal ze skryptu linie zawierające polecenia ifconfig i route - one konfigurują interfejs - nie firewalla.

Poza tym - o prawach wykonania skryptu np:

chmod 755 /usr/local/bin/<nazwa-skryptu>

- przypominać nie muszę - prawda?

Bo gdyby ten skrypt działał - to port 22 nie mógłby być widoczny czy otwarty.

Pozdrawiam
;)

Ostatnio edytowany przez Jacekalex (2009-12-05 21:38:49)

PS  właśnie to sprawdzam ale sytuacja chyba sie nie zmieni 10 prób bo już jest  5 i dalej próbuje się łączyć.

Powinien (flashxp) dostać bana po 3 próbach.
Sprawdź - czy te próby połączenia - to jest złe hasło - czy też brak połączenia (serwer nie odpowiada, Connection refused - czy coś w tym typie).
Poza tym - jeśli z Virtualboxa - jaki interfejs sieciowy łączy wirtualną maszynę z systemem bazowym.
NAT- czy vboxnet - mam na myśli konfigurację interfejsów virtualboxa.

Czy działa moduł xt_recent - pierwsza część triku z banowaniem adresów po kilku próbach - możesz zobaczyć tym poleceniem:

cat /proc/net/xt_recent/*

- u mnie ta część chodzi.

Jeśli tam będą wpisy z adresami IP - to winna będzie reguła blokująca - będzie trzeba sprawdzić - co nie działa.

Poza tym - sprawdź - czy reguły ze skryptu wczytują się prawidłowo - poprzez

sudo iptables -L -n -v

lub

sudo iptables-save

I jeszcze jedno - skrypt nie może mieć nazwy iptables - bo wtedy każda komenda w skrypcie wywoła ten skrypt - a nie firewalla.

Odpal tez skrypt z terminala poprzez sudo - i zobacz - czy będą jakieś komunikaty o błędach.

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2009-12-06 04:16:34)