FireWall pro DNS

shooter

Zdravím jak by tedy měl vypadat správný firewall pro DNS na hlavní GW

zero

Nevím, jestli správný, ale v době, když jsme používali DNS na MK, měli jsme tohle:

;;; povolit DNS pozadavky

chain=input action=accept protocol=udp in-interface=!3-WAN dst-port=53

chain=input action=accept protocol=tcp in-interface=!3-WAN dst-port=53

chain=input action=accept protocol=udp in-interface=3-WAN src-port=53

Na konci samozřejmě drop.

Za celou dobu (cca 8 let) se nic nestalo.

ppp76

Drop veskery 53 ?

shooter

jen tohle nepomuže chodí mě do sítě dotazy na portu 53 i pro IP který nemám ještě přidělený takže byc to chtělo ještě nejaky pravidla nachain forward

v conecction by bylo dobrý si dat filtr na port 53 a uvidite co tam vsechno je

zero

jen tohle nepomuže chodí mě do sítě dotazy na portu 53 i pro IP který nemám ještě přidělený takže byc to chtělo ještě nejaky pravidla nachain forward

v conecction by bylo dobrý si dat filtr na port 53 a uvidite co tam vsechno je

psal si, že chceš FW pro DNS na hlavní GW, ne? A ne blokovat 53ku při průchodu routerem.

A ve forwardu snad povoluješ jen IP, který jsou živý, ne?

zero

Drop veskery 53 ?

drop máme globálně. Tohle je jen část input FW. Máme tam VPNky, NTP, atd.

shooter

tak docela zabijacky pravidlo je

chain=forward action=log protocol=udp in-interface=(do internetu ) dst-port=53 log-prefix="co"

zkuste zadat a uvidite co vám teče na klioše za kraviny

aorat je mi divný proč zrovna na UDP

ludvik

a) DNS je většinou UDP ...

b) dost "krabiček" používá port 53 i jako odchozí. Takže je tam i spousta regulérního provozu.

shooter

co je na tomto regulerniho

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.10, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.12, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->5.14.76.13, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.15, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.193, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.20, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.217, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.233, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.237, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.241, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.242, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.245, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.4, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.6, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.65, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.7, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.8, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.9, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.97, len 51

10 firewall,info forward: in out, src-mac e8, proto UDP, 122.136.196.116->6.14.76.16, len 83

10 firewall,info forward: in out, src-mac e8, proto UDP, 122.136.196.116->6.14.76.17, len 83

10 firewall,info forward: in out, src-mac e8, proto UDP, 122.136.196.116->6.14.76.19, len 83

10 firewall,info forward: in out, src-mac e8, proto UDP, 122.136.196.116->6.14.76.24, len 83

zero

tohle je samozrejmě špatně... zaříznout na FW

dalibortoman

co je na tomto regulerniho

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.10, len 51

...

no IMHO Ti ani tohle jedno IPcko nepatri. Takze jak se asi k tobe ty requesty dostavaji? Zrejme jsou to packety odchytavany na nejaky gateway mezi zakaznikem a internetem. Packety chodi od zakaznika se zfalsovanou IP adresou (= nefiltrujes co od nich leze nebo to filtrujes az za tim logovanim). Podivej se z jake MACky to chodi a tim se dostanes o krucek blize k zakaznikovi, ktery to posila...

zero

dle našich zkušeností to bude z MAC boxu jeho poskytovatele :) Nebo logicky z boxu před jeho bránou

shooter

ta moje ip je změněná jasny že vám tady nebudu telit zbytečně IP čka

první v řadě je utočník druhy sou moje jde ale hlavně o koncové číslo jsou tam totiž i ip ktery nikdo nemá

co je na tomto regulerniho

10 firewall,info forward: in out, src-mac e8, proto UDP, 85.95.245.80->6.14.76.10, len 51

...

majklik

Jenomže pak to lehce mění pohled, co to může být. :-)

Pokud jsou tvoje ty 6...., tak jde o klasické skenování, někde zvenčí hledá, zda najde otevřený DNS server u tebe v síti.

shooter

jasny že skenuje ale tak ho nenecham že

zero

jasny že skenuje ale tak ho nenecham že

a té bráně děláš nějaký dyn. NAT? nebo PAT?

Pokud jsou tu ty vnitřní rozsahy "schovaný" za NATem, moc bych to neřešil. Popř. bych si udělal pravidlo na bráně na scan portů.

ppp76

Tak sem ji jen tak pro legraci vyjel adresy ktery se ptaj ke me na jednu verejku na 53 portu zvenku .... ze jich byly mraky to prejdu ale meli jedno spolecne Beijing- CINA : ze stovky ktery sem si vyhledal vsecko dotazy z ciny :