Ulospäin menevän pingin blokkaus käyttäjältä ei onnistu

Internet ja tietoliikenne
1

Moi,

olen vähän ymmälläni. Tein tällaisen joskus aikasemmin jo ja kaikki toimi oikein. Eli käyttäjältä “foobar” estetään liikennettä. Muuten homma toimii hyvin, kaikki portit ovat kiinni, pelkästään ssh, webbi, dns toimii ja niitä pystyy rajotteleen connlimitillä. Mutta tuo icmp ei vain blokkaudu.

Mitä en ole huomannut?

#!/bin/sh

iptables -F
iptables -X

uid=foobar

#iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p tcp --dport 6666:6670 -m connlimit --connlimit-above 3 -j DROP 

iptables -A OUTPUT -o wlan0 -m multiport -m owner --uid-owner $uid -p tcp --dports 6666:6670,80 -j ACCEPT 
iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p udp --dport 53 -j ACCEPT 

iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p icmp --icmp-type echo-request -j DROP 
iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -j DROP
2

[quote=“pmw, post:1, topic:1262”]Moi,

olen vähän ymmälläni. Tein tällaisen joskus aikasemmin jo ja kaikki toimi oikein. Eli käyttäjältä “foobar” estetään liikennettä. Muuten homma toimii hyvin, kaikki portit ovat kiinni, pelkästään ssh, webbi, dns toimii ja niitä pystyy rajotteleen connlimitillä. Mutta tuo icmp ei vain blokkaudu.

Mitä en ole huomannut?

[code]
#!/bin/sh

iptables -F
iptables -X

uid=foobar

#iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p tcp --dport 6666:6670 -m connlimit --connlimit-above 3 -j DROP

iptables -A OUTPUT -o wlan0 -m multiport -m owner --uid-owner $uid -p tcp --dports 6666:6670,80 -j ACCEPT
iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p udp --dport 53 -j ACCEPT

iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p icmp --icmp-type echo-request -j DROP
iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -j DROP
[/code][/quote]

tukeekohan toi icmp protokollaa toi uid-owner, käsittääkseni toi moduuli ei ole ihan vakiokamaa.

–
Eero

3

[quote=“eero, post:2, topic:1262”][quote author=pmw link=topic=1598.msg7550#msg7550 date=1298553800]
Moi,

olen vähän ymmälläni. Tein tällaisen joskus aikasemmin jo ja kaikki toimi oikein. Eli käyttäjältä “foobar” estetään liikennettä. Muuten homma toimii hyvin, kaikki portit ovat kiinni, pelkästään ssh, webbi, dns toimii ja niitä pystyy rajotteleen connlimitillä. Mutta tuo icmp ei vain blokkaudu.

Mitä en ole huomannut?

#!/bin/sh

iptables -F
iptables -X

uid=foobar

#iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p tcp --dport 6666:6670 -m connlimit --connlimit-above 3 -j DROP 

iptables -A OUTPUT -o wlan0 -m multiport -m owner --uid-owner $uid -p tcp --dports 6666:6670,80 -j ACCEPT 
iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p udp --dport 53 -j ACCEPT 

iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -p icmp --icmp-type echo-request -j DROP 
iptables -A OUTPUT -o wlan0 -m owner --uid-owner $uid -j DROP

[/quote]

tukeekohan toi icmp protokollaa toi uid-owner, käsittääkseni toi moduuli ei ole ihan vakiokamaa.

–
Eero[/quote]

Please note that that some packets (such as ICMP ping responses) may have no owner (or suid based program), and hence never match. Also for some options, you may need to recompile kernel. On Red Hat Enterprise Linux and Debian default kernel has support for owner module.

siinä syy.

–
Eero

4

[quote=“eero, post:3, topic:1262”][quote author=eero link=topic=1598.msg7552#msg7552 date=1298574051]

tukeekohan toi icmp protokollaa toi uid-owner, käsittääkseni toi moduuli ei ole ihan vakiokamaa.

–
Eero
[/quote]

Please note that that some packets (such as ICMP ping responses) may have no owner (or suid based program), and hence never match. Also for some options, you may need to recompile kernel. On Red Hat Enterprise Linux and Debian default kernel has support for owner module.

siinä syy.

–
Eero[/quote]

eli ping on suid binääri muistaakseni eli ne lähtevät rootilla ne icmp paketit.

–
Eero

5

Mikä tässä olisi järkevin toimintamenetelmä sitten saadakseen toimimaan?

EDIT: kyseessä uusin debian vakiokernelillä, ihmetetyttää.

6

[quote=“pmw, post:5, topic:1262”]Mikä tässä olisi järkevin toimintamenetelmä sitten saadakseen toimimaan?

EDIT: kyseessä uusin debian vakiokernelillä, ihmetetyttää.[/quote]

kuten totesin, ping paketteja ei voi lähettää kuin root eli tässä tapauksessa sinun pitää blockata ne rootilta,
yksittäiseltä käyttäjältä et niitä voi estää. tai voit estää muuttamalla ping komennon käyttö-oikeuksia.

–
Eero

7

Itsellä on julkisella palvelimella GRSec kerneli, high security asetuksella, jolla kyllä voi blokata pingin.

ville@kristalli:~$ ping linux.fi
ping: icmp open socket: Operation not permitted
8

Jeps. Täytyisi ehkä tuo grsec joskus pistää, varmaan tullut vähän muutoksia siihenkin tässä vuosien saatossa.

9

[quote=“pmw, post:5, topic:1262”]Mikä tässä olisi järkevin toimintamenetelmä sitten saadakseen toimimaan?

EDIT: kyseessä uusin debian vakiokernelillä, ihmetetyttää.[/quote]

poistat ping binääriltä suid bitin?

–
Eero