Brian Ipsen <Spammers@blow.me> writes:
> On Sun, 14 Oct 2001 21:11:35 +0200, Allan Olesen
> <aolesen@post3.tele.dk> wrote:
>
> >>Men jeg er i tvivl om hvordan jeg får åbnet for squid - for hvad
> >>bruger den som source adresse/port (hvis man overhovet kan bruge det).
> >
> >Hvis du sætter dine filtre til at logge alt, hvad der bliver afvist,
> >kan du jo bare kigge i loggen efter de ønskede oplysninger.
>
> Selv om jeg logger alt trafik (med allow på alt), så er der stadig
> tin, jeg ikke fatter... Når min web-browser laver en request mod
> prox'en burde der vel dukke noget op på INPUT på det interne interface
> ? Det første, jeg hat i loggen, er fra OUTPUT på den interne kort til
> min klient - det burde ikke være problemet, da alt kommunikation på
> det interne net er tilladt. Efter dette er der et DNS opslag på en
> nameserver (også output på det interne net) - jeg undrer mig så også
> over, at man ikke ser noget til svar fra DNS'en i INPUT på det interne
> net - men det logges måske ikke ?
> Efter dette laver Squid tilsyneladende en udgående request på det
> eksterne interface mod den web-host, som siden skal hentes fra.
> Source-porten ændrer sig her hver gang en ny request/session
> etableres.
Jep, det skal den ligesom... især da der kan være flere requests mod samme
webserver (eller anden server) - og derfor er det nødvendigt med mere end
_en_ port.
Jeg refererer her til at enhver forbindelse identificeres ved:
(src-ip,src-port,dest-ip,dest-port)
hvis (dest-ip,dest-port) er statisk (og dette kan ske - alt efter server)
så må src-port naturligvis være variabel.
> Hvis jeg så tolker ovenstående korrekt, så er jeg faktisk nødt til at
> åbne for alt trafik fra mit eksterne interface ud mod verden (såfremt
> det er etableret fra det eksterne interface, og sourceport > 1024) -
> dette er jo at åbne en lade-dør, det bryder jeg mig ikke om... Hvis
> squid nu i stedet for havde en fixed source-port eller lignende, så
> kunne jeg jo skære voldsomt i hvor meget jeg behøver åbne...
Nej - det er det ikke ... - du kan jo blokere alle SYN requests mod din
maskine... din Squid åbner en forbindelse _ud_ - den tillader ikke for-
bindelser _ind_ - hvis du da ikke har specificeret dette.
>
> >Men hvordan ser din filtrering ud, siden du har behov for at kende
> >source port på tcp-trafik fra dit eget net?
>
> Havde Squid nu været placeret på en seperat maskine i et DMZ netværk
> havde problemet nok ikke været så stort, da man så kunne lave mere
> seriøs filtrering på ip-adresser samt dest-port fra det interne net..
> Men med Squid placeret på samme maskine synes jeg det begynder at
> blive lidt tricky.... Jeg kunne selvfølgelig bare åbne for alt
> udgående trafik på det eksterne interface med destionation-port 80 -
> men hvad så med de skvadder-mikler som ind imellem sætter en webserver
> op på port 81 ? Så kan man vel ikke bestille andet en at rette i
> iptables hver anden dag....
>
> /Brian
>
--
Mvh. Kim Petersen /| Tlf: +4575831551 |\ Jomfru Ingefreds Vej 18
Software Engineer / | Fax: (none atm.) | \ 7100 Vejle
LSS / | Email: kim@vindinggaard.dk | \ DK - Danmark