blokeer scan en ping voor locale "mail" server

[timmy]

hi,

In de volgende situatie waarin ik thuis een localserver (vnl. voor email)
aan mijn router heb hangen. De dns wordt beheerd door cloudflare.
Daar heb ik een subdomein + mx_records verwezen naar mijn thuis ip-adres.

Dit alles loopt prima. Echter kan men nu nog een ping en scan (nmap) uitvoeren.
Dat heb ik liever niet dus hoe kan ik dit voorkomen?

Op de thuis server draait debian wheezy. En ik heb iptables zo geconfigueerd:

-A INPUT -i lo -j ACCEPT
-A INPUT -d 127.0.0.0/8 ! -i lo -j REJECT --reject-with icmp-port-unreachable
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 873 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
-A INPUT -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -j ACCEPT

Ondanks dit kan er nog steeds een scan en ping op mijn ip uitgevoerd worden met een positief resulaat.
Of moet ik toch in de router instellingen zijn?

[asusk7m550]

Dit ligt eraan.

Gebruik je NAT (en poortforwarding) of hangt de localserver rechtstreeks aan het internet?

Bij NAT zul je dit op de router moeten doen. Als hij rechtstreeks aan het internet hangt, moet je dit op de server doen (tenzij je een router er tussen hebt zitten die ook firewal doet/kan).

Waarom check je trouwens bij SSH en poort 873 of de state new is? bij poort HTTP, HTTPS en SMTP doet je dat niet. Ik zou het allebei doen of juist allebei niet. Maak een goede keuze en richt alles uniform in. Dit scheeld je problemen op een later tijstip.

[visser]

hi,

In de volgende situatie waarin ik thuis een localserver (vnl. voor email)
aan mijn router heb hangen. De dns wordt beheerd door cloudflare.
Daar heb ik een subdomein + mx_records verwezen naar mijn thuis ip-adres.

Dit alles loopt prima. Echter kan men nu nog een ping en scan (nmap) uitvoeren.
Dat heb ik liever niet dus hoe kan ik dit voorkomen?

Op de thuis server draait debian wheezy. En ik heb iptables zo geconfigueerd:

-A INPUT -i lo -j ACCEPT
-A INPUT -d 127.0.0.0/8 ! -i lo -j REJECT --reject-with icmp-port-unreachable
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 873 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
-A INPUT -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -j ACCEPT

Ondanks dit kan er nog steeds een scan en ping op mijn ip uitgevoerd worden met een positief resulaat.
Of moet ik toch in de router instellingen zijn?

Ondanks ?
Wat wil je nou bereiken ?

Je hebt een server, er zijn een aantal services (http, https, ssh, rsync ) open in je firewall en je klaagt nu dat een poort scan dat ook ziet ?

[timmy]

hij hangt aan de router en dus indirect aan het internet en dus verbonden met een local ip adres, zo iets als: 192.168.0.5

[timmy]

Ondanks ?
Wat wil je nou bereiken ?

Je hebt een server, er zijn een aantal services (http, https, ssh, rsync ) open in je firewall en je klaagt nu dat een poort scan dat ook ziet ?

is niet hetzelfde, zie iptables

[visser]

is niet hetzelfde, zie iptables

Ik zie de iptables.
En ik zie dat die gewoon antwoorden moeten geven op een serie poorten omdat je daar blijkbaar services draait.

Dus nogmaals : Wat wil je bereiken ? - Waar tegen doe je die poortscan (je domein naam, en dus cloudflare, of je externe thuis IP , wat voor antwoorden komen eruit, en waarom verwacht je iets anders dan wat je krijgt.

[Patrick_st]

Services die in gebruik zijn, moeten open staan en zijn dus te scannen. Dit kan niet anders, anders zou je de service niet kunnen gebruiken.

Ping zal je waarschijnlijk op de router zelf moeten uitschakelen of het icmp protocol doorsturen naar je Linux bak en het daar blokkeren. (volgens mij hebben de meeste thuis routers deze opties niet). Zelf ben ik geen voorstander van het blokkeren van ping/icmp, het is juist erg handig om je server te kunnen pingen als je het vermoeden hebt dat er iets niet werkt. Poortscanners als NMap proberen toch wel andere dingen als ze geen ping antwoord krijgen dus daar hoef je het niet voor uit te schakelen.

Wat we zelf veel doen is de router in half bridge mode zetten, zodat het publieke IP adres op de Linux machine terecht komt.
Op dat moment heb je met IPTables de volledige controle.

Op het moment dat je alle poorten op de Linux machine binnen krijgt, is het wel mogelijk om een poortscan te detecteren en dan het IP adres te blokkeren.