Ubuntu 9.04, жалобы Firestarter даже позади маршрутизатора NAT
Я нахожусь позади маршрутизатора. В конфигурации маршрутизатора я заблокировался:
- все (входящий и исходящий) UDP
- входящий ICMP
Локальные iptables, настраивает с мастером Firestarter:
- блок все входящие соединения
- позвольте все исходящие соединения
- отфильтруйте ICMP кроме ping
- блок широковещательно передается от внешнего netword
Теперь, Firestarter все еще жалобы на заблокированный TCP и соединения ICMP с моим внутренним IP (192.168.0.*), на различных портах. Нет никаких жалоб UDP, но только потому, что маршрутизатор блокирует их всех. Раньше, с входящим (но не исходящий) UDP-s заблокировался, я также получал тонны заблокированных соединений UDP (особенно с запущенным Skype).
Я не добираюсь, как возможно что жалобы Firestarter на заблокированные соединения TCP. Мое понимание - то, что позади маршрутизатора я не достижим от внешнего мира (из-за трансляции NAT), и маршрутизатор передает только те входящие пакеты то соответствие исходящие пакеты. Теперь, iptables должен работать таким же образом - он должен принять входящие ответные пакеты, соответствующие прежним исходящим. Так, если пакету TCP удается добраться с моего компьютера на внешний сервер, то ответ никогда не должен блокироваться.
Кроме того, я не понимаю, как пакеты ICMP могли бы пройти через маршрутизатор и катастрофический отказ на моем iptables - они все должны быть быть заблокированными в маршрутизаторе (примечание, однако что все ICMPs, которые прибывают в мой iptables, находятся на порте 80, возможно, это - подсказка),
Мог кто-то указывать на меня в правильном направлении любой о том, как решить те проблемы (если существует кто-либо, возможно, я не информирован).
1 ответ
ICMP необходим для надлежащих операций IP, не блокируют их, хотя можно заблокировать эхо-запросы ICMP. Нет никакого порта ICMP 80, но Вы, вероятно, получаете недостижимые сообщения для различных веб-сайтов на порте 80. Сообщения ICMP не разрушат Ваш iptables.
У Вас должно быть выполнение ntp, и это потребует, чтобы порт 123 открыл на UDP. DNS на порте 53 должен также быть, открывают на UDP и TCP.
При выполнении Skype, необходимо позволить исходящий UDP и TCP на эфемерных портах (32 768 - 61 000) на Ubuntu, а также некоторых другой. Необходимо будет также позволить UPD и TCP, поступающий на порте, который использует Skype. См. мое сообщение на Firewalling Skype.
Необходимо ожидать некоторый трафик в различных портах от хостов в брандмауэре. Вы также получите пакеты от Интернета, если Вы будете на IP-адресе designtated как демилитаризованная зона на Вашем маршрутизаторе/брандмауэре. Брандмауэр маршрутизатора должен также передать пакеты на связанных портах для протоколов, таких как FTP.