IPcop udgående regel

Av det som jeg kan se av dokumentasjonen for ipcop så finnes det ikke noen slik standard option. I det hele og store så ser det ikke ut som om det inngår i Ipcop sine funksjoner å kunne dette. (Kontroll av utgående trafikk.) (Det ser ut som om ipcop ikke kan dette, mens underliggende Linux kernel ganske sikkert kan dette.)

Forutsatt at dette er rett så vil vel "det riktige" svaret være å anskaffe en annen firewall en ipcop, som kan dette.

Hvis man allikevell ønsker å "jukse det til" slik at den allikevell kan det som ipcop formodentlig ikke kan, så er vel dette mulig selv om det kanskje kan være litt "tvilsomt".

ipcop har i følge dokumentasjonen en etc/rc.d/rc.local fil som eksekveres under oppstart. Her er det rent teknisk sett mulig å legge inn et par ekstra firewall rules.

Filtreringen skjer gjennom forward chain og her kunne man rent teknisk legge til et par ekstra firewall rules på toppen av eksisterende rule stack som gir den ønskede effekt, for eksempel:

1. For tcp, port 25 og trafikkretning lan-wan åpne for alle pakker med sorce mailserver. La disse passere ut.
2. For alle andre tilsvarende pakker med source fra andre maskiner, blokker forbindelsen.
3. og videre ut over, den eksisterende rulstack.

Kanskje noe i denne retning editert inn i etc/rc.d/rc.local :

iptables -I FORWARD -i eth0 -o eth1 -s 10.0.0.99 -p tcp --dport 25 -j ACCEPT
iptables -I FORWARD -i eth0 -o eth1 -p tcp --dport 25 -j DROP

Her forutsettes det at oth0 vender inn mot lan og eth1 vender ut mot internett.
10.0.0.99 er mailserver.

Det skal ellers sies nok en gang at det er kanskje ikke helt bra å lage endringer i en eksisterende rulestack som man ikke kjenner egenskapenene til, men rent teknisk så kan det fungere.

Rekkefølgen på de to rules er kritisk. Når to append rules kommer etterhverandre så ser det faktisk ut at rekkefølgen må editeres motsatt av det vanlige. Det ser faktisk ut til å bli slik:

iptables -I FORWARD -i eth0 -o eth1 -p tcp --dport 25 -j DROP
iptables -I FORWARD -i eth0 -o eth1 -s 10.0.0.99 -p tcp --dport 25 -j ACCEPT

Dette skulle så virke slik:

Rule 1 blir satt inn på topp i rule stack.
Rule 2 blir satt inn på topp av denne igjen.

Det ser faktisk ut som om rekkefølgen blir snudd i forhold til det som man editerer.

Sjekket syntaks, ser ut til å fungere:

Chain FORWARD (policy ACCEPT)
target    prot opt source              destination
ACCEPT    tcp  --  10.0.0.99            anywhere            tcp dpt:smtp
DROP      tcp  --  anywhere            anywhere            tcp dpt:smtp

Det er ellers også kanskje mer fornuftig å editere de to linjene inn i en vanlig tekstfil først for testing og så lage en "prøveeksekvering" ("bash tekstfilensnavn")

Sjekket syntaks med "iptables -L".

Legger du eventuelt en kommentar om det virket eller ikke virket (eller om du fant en annen måte) ?

Her kan man vel få status for firewallen som helhet:

iptables -n -L -v

Rettelse tul setning over:

"Rekkefølgen på de to rules er kritisk. Når to append rules kommer etterhverandre så ser det faktisk ut at rekkefølgen må editeres motsatt av det vanlige. Det ser faktisk ut til å bli slik:"

Det skulle være:  Når to insert (-I) rules kommer etterhverandre ...

(For append (-A) rules, så blir det motsatt av dette igjen, altså tilbake til "det normale")

Undskyld, jeg ikke fik svaret. Jeg har ikke lige tjekket min mailbox og har slet ikke fået set at du havde skrevet. Men i mellemtiden har jeg fundet noget til IPcop som kan filtrere udgående trafik. Det er en MOD som hedder BlockOutList. Umiddelbart ser den ud til at være nem at gå til, men lad os nu se, det har været uhyggeligt nok at skulle installere det hele når man stort set aldrig har prøvet et linux-system og er vant til en brugerflade:)
Det du har foreslået ser fint ud, men da jeg stadig nemmest kan hitte ud af brugerfladen testes BOT først:)
Jeg skal nok huske at give en opdatering, når jeg er nået frem til en løsning.

Jo, det hadde vært interessant med en tilbakemelding vedrørende hva som kom opp til å kjøre mht utgående filtrering. I det hele og store så er det vel ikke så mange av "de halvt ferdigkonfigurerte standardfirewalls" som støtter dette.

Nu er vores Sober-problem løst da den ikke blev opdateret, men umiddelbart regner vi med at bruge BOT. Den ser ikke helt besværlig ud. Men du får nu alligevel point for svar.