firewall

Здравейте
нямам много опит с ФБСД Пуснал съм една машина FBSD 5.1 с пуснати на нея apache,DNS,qmail,squirelmail.Проблема е следния.Слагам firewall след което имам проблеми с пращане на пощата за определени домайни.При преглеждане на ipfw.log ми deny-ва UDP пакети от сорс порт 53
Задал съм правило
$(fwcmd) add allow udp from any 53 to ${ip} in

но май нещо не върши работа или аз бъркам някъде.от ipfw.log-a
Sep 8 10:25:46 srv kernel: ipfw: 3100 Deny UDPxxx.xxx.64.12:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:48 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.10.90:53 xxx.xxx.xxx.6:49152 in via bge0

По долу съм дал firewall script,ipfw list i ipfw.log Благодаря предварително
#!/bin/sh

fwcmd='/sbin/ipfw -q'
ip="xxx.xxx.xxx.6"
setup_loopback

${fwcmd} add allow all from any to any via lo0
${fwcmd} add deny all from any to 127.0.0.1/8

${fwcmd} add check-state

${fwcmd} add allow tcp from any to any out setup keep-state

${fwcmd} add allow all from ${ip} to any out

${fwcmd} add allow tcp from any to any established

${fwcmd} add allow all from any to any frag

${fwcmd} add allow tcp from any to ${ip} 22 setup
${fwcmd} add allow tcp from any to ${ip} 25 setup
${fwcmd} add allow tcp from any to ${ip} 53 setup
${fwcmd} add allow tcp from any to ${ip} 80 setup
${fwcmd} add allow tcp from any to ${ip} 443 setup
${fwcmd} add allow tcp from any to ${ip} 143 setup
${fwcmd} add allow tcp from any to ${ip} 993 setup
${fwcmd} add allow tcp from any to ${ip} 110 setup
${fwcmd} add allow tcp from any to ${ip} 995 setup
${fwcmd} add allow tcp from any to ${ip} 783 setup
#${fwcmd} add allow tcp from any to ${ip} 25 setup


${fwcmd} add reset tcp from any to ${ip} 113 setup
${fwcmd} add reset tcp from any to ${ip} 139 setup
${fwcmd} add reset tcp from any to ${ip} 389 setup
${fwcmd} add reset tcp from any to ${ip} 445 setup

$(fwcmd) add allow udp from any 53 to ${ip} in
${fwcmd} add allow udp from any 123 to ${ip} in

${fwcmd} add allow udp from any to ${ip} 53

${fwcmd} add deny udp from any 137 to any
${fwcmd} add deny udp from any to any 137
${fwcmd} add deny udp from any 138 to any
${fwcmd} add deny udp from any 513 to any
${fwcmd} add deny udp from any 525 to any

${fwcmd}add allow udp from any to ${ip} 123

${fwcmd} add unreach port udp from any to ${ip} 33435-33524

${fwcmd} add allow icmp from any to any icmptypes 0,3,4,8,11

${fwcmd} add deny log all from any to any

srv# ipfw show
00100 492 51954 allow ip from any to any via lo0
00200 0 0 deny ip from any to 127.0.0.0/8
00300 0 0 check-state
00400 0 0 allow tcp from any to any out setup keep-state
00500 1629 382210 allow ip from xxx.xxx.xxx.6 to any out
00600 676 48156 allow tcp from any to any established
00700 0 0 allow ip from any to any frag
00800 3 144 allow tcp from any to xxx.xxx.xxx.6 dst-port 22 setup
00900 0 0 allow tcp from any to xxx.xxx.xxx.6 dst-port 25 setup
01000 0 0 allow tcp from any to xxx.xxx.xxx.6 dst-port 53 setup
01100 5 240 allow tcp from any to xxx.xxx.xxx.6 dst-port 80 setup
01200 0 0 allow tcp from any to xxx.xxx.xxx.6 dst-port 443 setup
01300 0 0 allow tcp from any to xxx.xxx.xxx.6 dst-port 143 setup
01400 0 0 allow tcp from any to xxx.xxx.xxx.6 dst-port 993 setup
01500 4 192 allow tcp from any to xxx.xxx.xxx.6 dst-port 110 setup
01600 0 0 allow tcp from any to xxx.xxx.xxx.6 dst-port 995 setup
01700 0 0 allow tcp from any to xxx.xxx.xxx.6 dst-port 783 setup
01800 0 0 reset tcp from any to xxx.xxx.xxx.6 dst-port 113 setup
01900 0 0 reset tcp from any to xxx.xxx.xxx.6 dst-port 139 setup
02000 0 0 reset tcp from any to xxx.xxx.xxx.6 dst-port 389 setup
02100 3 144 reset tcp from any to xxx.xxx.xxx.6 dst-port 445 setup

02200 0 0 allow udp from any 123 to xxx.xxx.xxx.6 in
02300 1 61 allow udp from any to xxx.xxx.xxx.6 dst-port 53
02400 0 0 deny udp from any 137 to any
02500 0 0 deny udp from any to any dst-port 137
02600 0 0 deny udp from any 138 to any
02700 0 0 deny udp from any 513 to any
02800 0 0 deny udp from any 525 to any
02900 0 0 unreach port udp from any to xxx.xxx.xxx.6 dst-port 33435-335
24
03000 2 120 allow icmp from any to any icmptypes 0,3,4,8,11
03100 1001 159752 deny log ip from any to any
65535 0 0 allow ip from any to any
srv#

ipfw.log
Sep 8 10:25:16 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.27.33:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:18 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.4.12:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:20 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.36.4:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:22 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.0.107:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:24 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.230.10:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:36 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.0.107:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:38 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.230.10:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:40 srv kernel: ipfw: 3100 Deny UDPxxx.xxx.5.241:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:42 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.0.4:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:44 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.148.17:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:46 srv kernel: ipfw: 3100 Deny UDPxxx.xxx.64.12:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 8 10:25:48 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.10.90:53 xxx.xxx.xxx.6:49152 in via bge0

От Скрипта:

$(fwcmd) add allow udp from any 53 to ${ip} in
${fwcmd} add allow udp from any 123 to ${ip} in

Може би ако махнеш "in" или просто го замениш със "in via interface0" ще имаш по голям успех.

// Lex Talionis.

за съжаление и със (in via bge0) и без е без промяна а би трябвало да не спира тези пакети Някакви други идеи ако имате
благодаря

Sep 10 10:43:56 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.xxx.107:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 10 10:43:56 srv last message repeated 12 times
Sep 10 10:43:59 srv kernel: ipfw: 3100 Deny UDP xxx.xxx.xxx.10:53 xxx.xxx.xxx.6:49152 in via bge0
Sep 10 10:43:59 srv last message repeated 12 times

проблемът ти се оправя с ipfw flush и стартиране на скрипта

Разум - способността на живото същество да постъпва нецелесъобразно, или неестествено

за съжаление и това не работи
изрових доста документация по случая по форуми и т.н но проблема си остава
явно някъде бъркам може би но не мога да разбера къде понеже съм още зелен с ФБСД :) търся помощ тук

Има разлика между това, което пише в скрипта и това, което пише в ipfw show и тя е от земята до небето.

С други думи проблемът ти няма нищо общо с firewall-а - пробвай да напишеш конфигурацията на ipfw правило по правило в едно файлче, като белите хора, вместо с някакви шантави скриптове, пусни го с ipfw <filename> и ще видиш, че работи.
Между другото, !/bin/sh скрипт за конфигуриране на ipfw може да му хрумне единствено на човек, който няма никаква идея какво прави. Аз лично съм потресен, тъй като с твоя случай стават достатъчно, за да установя, че това безумие се е превърнало в масова практика по българските земи.
Ще кажеш ли откъде го преписа това нещо? Виждал съм го съвсем същото и при други хора.

А къде и как се оплесква изпълнението на скрипта - не си дал достатъчно информация, че да го измислим.

ето да видиш какво се пише в един нормален файл за config на ipfw:

[dachev@gate] ~> cat /usr/local/etc/fire.conf
add 100 allow ip from any to any via lo0
add 200 allow ip from any to any via dc0
add 300 allow ip from any to 224.0.0.0/8
add 400 allow udp from any to 255.255.255.255 in recv xl0
add 600 allow ip from me to any out

add 1000 divert natd ip from any to me in recv xl0

add 1600 allow tcp from any to me established
add 1700 allow icmp from any to me
add 1710 allow tcp from any to me ssh,http,ident setup in recv xl0
add 1720 allow tcp from any to me smtp,pop3,smtps,pop3s,submission setup in recv xl0
add 1730 allow udp from any domain to me in recv xl0
add 1740 allow udp from me to any domain out xmit xl0

и т.н. ...

а в /etc/rc.conf пишеш
firewall_enable="YES"
firewall_type="/usr/local/etc/fire.conf"

Разум - способността на живото същество да постъпва нецелесъобразно, или неестествено

Струва ми се че трябва да добавиш нещо такова:
ipfw add allow udp from me to any 53 keep-state

b.t.w DNS-а ти въобще работи ли?

Не създавай объркване.
Правилата в скрипта му са наред.

Разум - способността на живото същество да постъпва нецелесъобразно, или неестествено

Без никакви претенции за познания в областта.

А firewall_script, за какво се използва? Мисля че оригиналната идея е във firewall_type да се задава типа на стената (например 'open'), а във script-а да се
описват различните типове. Така можеш да си държиш няколко firewall конфигурации и да ги превключваш лесно.
Ако съм прав, значи скрипта наистина е shell script и тененцията "!/bin/sh" не е чак толкова грешна.

Не, firewall_script е системният скрипт, който инициализира firewall-а използвайки променливите, които си настроил в rc.conf. Тази променлива е за ползване от системния скрипт, който чете rc.conf. И двата скрипта са част от world-а.
Ако искаш да си направиш нещо свое, не само може, ами става лесно и елегантно, но повечето хора изобщо не би трябвало да стигнат някога до пипане там.
Оригиналната идея е във firewall_type да посочиш някой от предефинираните типове firewall - open, closed, client, simple ако не ти се занимава да конфигурираш (практика, която горещо препоръчвам да се избягва), или да го сетнеш на име на файл, в който случай rc.firewall подава файла на ipfw да си зареди правилата от него.
Така че това, което се прави със shell скрипта е разрешено и то по-елегантно и по-просто, необходимо е само човек да прочете малко. Аз съм съвсем сигурен, че shell скрипта, който обсъждаме, е произведение на линуксчия, без да търся да обиждам линукс и хората, които работят с него - просто написването на този скрипт демонстрира определен начин на мислене, който не е най-ефективният когато работиш с FreeBSD.

Разум - способността на живото същество да постъпва нецелесъобразно, или неестествено

Само предположение.
Ама в случая ми се струва че има изходяща заявка към 53 и отговор от 53 на 4ххх или бъркам?

Това обяснение определено ми хареса. Благодаря!
Колкото до shell script-а, защо толкова си му насъбрал? Какви според тебе са недостатъците на този подход? В крайна сметка ако върши работа, и пасва на разбиранията на ползващия го, не би трябвало да е проблем.

За firewall_type, случая когато може да се задава директно файл с правила за ipfw. Сетих се че всъщност можеш да си имаш няколко файла с правила и пак можеш лесно да превключваш различните варианти, сменяйки само името на файла във firewall_type. Съгласи се обаче, че името на тази променлива с нищо не подсказва че можеш да и присвояваш файл .

Има, само че правилата в скрипта му са наред, а както може да се види, това което е във firewall-а, не е наред и щом като при flush и рестарт на скрипта нещата остават същите, значи нещо със скрипта не е наред.
Той си го е написал, че има правило за allow на трафика към 53-ти порт и се чуди защо не става, а ти му казваш да сложи такова правило.

Разум - способността на живото същество да постъпва нецелесъобразно, или неестествено

Прав си, че името на променливата не подсказва :)
Ама то трябва и да се почете малко - пише си го в /etc/defaults/rc.conf точно до самата променлива. Името й е такова, защото е останало исторически, предполагам.

За скрипта - ами и предишния път го видях, защото ме помолиха да помагам че нещо firewall-а се държи странно и не иска да върви и сега като гледам какви проблеми стават ...
Не че не върши работа - ако се направи както трябва ще я върши, но защо трябва да е сложно, като може да е просто? На простото по-малко неща може да му се развалят, да не говорим, че простото вече съществува като решение и е елементарно за усвояване - защо е необходимо да се измисля ново решение, което е многократно по-сложно? Още повече, че простото решение се поддържа от FreeBSD community-то и е част от самата система (което във FreeBSD означава страшно много), докато ако сложното решение има проблем, трябва да си го оправиш сам, в случай че изобщо го откриеш. Плюс това, простото решение в случая не ти се налага да изучаваш как работи, за да го ползваш, докато при shell скрипта не е така.
Не знам дали няма да се сетя и още някоя причина, но тези мисля, че са достатъчни :)

Разум - способността на живото същество да постъпва нецелесъобразно, или неестествено

Погрешно си ме разбрал, имах предвид не цялото правило като такова а по скоро това keep-state
Защото ми се струва че проблема му е не че не може да праща имейли а че не може да праща защото не му работи DNS-a който се свързва на 53-и порт с еди кой си но не може да получи обратния отговор от еди кой си на 4xxxx порт

Е не ми се карай де просто си разсъждаваме

Съвсем правилно те разбрах, само че не си прав по въпроса как работи keep-state, както всъщност и той - няма нужда от setup/allow established правила + keep-state/checkstate - или едното, или другото се слага, но като сложиш и двете, така или иначе пак ще работи.
Да, проблемът е в 53-ти порт, но не е в правилата в скрипта, а в правилата, които са стигнали до конфигурацията на firewall-а - в скрипта има необходимото правило за да пусне трафика - погледни листингите внимателно и ще видиш.

Разум - способността на живото същество да постъпва нецелесъобразно, или неестествено

Не знам сто пъти го прегледах и никъде в скрипта нито в конфигурацията не видях разрешение за UDP/53 изходящо, нали разбра че говоря за UDP не за TCP

Той питащия май загуби интерес, така че си чешем езиците.

${fwcmd} add allow all from ${ip} to any out

:)

абе лаф да става


Разум - способността на живото същество да постъпва нецелесъобразно, или неестествено

Абе накрая ще взема да си спретна една постановка с тоя скрипт па да видим кво ще стане. Иначе според мене спокойно може да се махне тоя firewall и да се кара на wraper, той човека малко се е престарал.

питащия не е загубил интерес
следя дискусията и се опитвам да ровя из нета и гооглето да поразуча нещата
а и в момента нямам физическата възможност да си поиграя и да тествам нещата
все пак благодаря