Dubbi con delle porte

[shuttle00]

Salve raga sono nuovo qui complimenti per questo meraviglioso forum!!!

Mi ritrovo con un dubbio col mio firewall (iptables)
ecco il mio esempio:
91.121.xxx.xxx:4009 => 79.56.xxx.xxx:4626 (scarico nel mio pc un file da un server)

4009 è la porta in uscita e la 4626 dovrebbe essere in ingresso cioè quella in ascolto dove io sto ricevendo.

Ora vi chiedo come faccio ad usare la 4626 se sul mio firewall in ingresso ho tutto chiuso?
Mi hanno parlato di un'influenza che può avere il TCP ad autorizzare dei programmi sulla base del loro nome...
Vorrei delle delucidazioni a riguardo.
Grazie anticipatamente

[andrewp]

Non ho capito bene cosa vuoi fare e la situazione attuale, il firewall puó fare NAT o PAT, ad esempio se hai un indirizzo internet 80.x.x.x ed uno interno 192.x.x.x puoi fare ad esempio:

NAT - tutto quello che arriva sulla 80.x.x.x porta 80 giralo su 192.x.x.5 porta 80

PAT - tutto quello che arriva sulla 80.x.x.x porta 80 giralo su 192.x.x.5 porta 10000

quando configuri questo in realtá stai agendo sulle regole e sul routing del firewall, quindi "apri" le relative porte.

[shuttle00]

Grazie Andrea per la risposta.
Quello che sto cercando di capire è come mai riesco a scaricare
nonostante il mio firewall abbia tutto chiuso in ingresso.
Forse perchè i firewall solitamente bloccano connessioni verso l'esterno e non dall'interno?
Nel mio esempio mi ritrovo in ingresso questa porta aperta la 4626.

91.121.xxx.xxx:4009 => 79.56.xxx.xxx:4626


ecco il mio iptables che di default si blocca il traffico in ingresso
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
COMMIT

[ep]

È una domanda più "Linux" che "Networking" (in caso spero che un mod ci sposti di topic…)

iptables, come tutti gli firewall "stateful" (cioè che non guardano ogni pacchetto come entità autonoma, ma tengono traccia della connessione a cui appartiene), quando tu inizi una connessione in uscita (cosa che puoi fare perché hai ACCEPT), se lo segna in una apposita tabella.

Se sei curioso, la tabella viene gestita dal modulo "conntrack" e puoi osservarla con un bel

Codice: Seleziona tutto

cat /proc/net/ip_conntrack

.

La riga

Codice: Seleziona tutto

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

che hai copiato dice ad iptables che se un pacchetto in ingresso viene identificato come appartenente ad una connessione già stabilita, allora viene accettato. Ecco come mai funziona

Ci sono anche regole per autorizzare il traffico su altre basi più esotiche (ad es. quale utente ha eseguito il programma che ha generato il pacchetto), ma in questo caso non c'entrano.

Ciao!

[shuttle00]

...e quindi, considerato che ho anche un router cisco con le acl in deny sul tutto il traffico in ingresso si può dedurre che
anch'esso adotta lo stesso criterio.(eccetto casi particolari).
Per esempio un client crea una connessione iniziale con un server (il firewall autorizza una porta locale interna random o stabilita dal pat.)

Ditemi se ho capito il concetto gh
grazie

[k4mik4ze]

Confermo che applica lo stesso criterio [Ma, se non erro, solo da porte con una security maggiore verso porte con sec. inferiore].
Sotto i router con la ios-firewall invece va applicato e configurato a mano, ma poi va da solo.