Welke poorten moeten openstaan vanaf dest 80 naar srcp uit

[justreading]

Middag allemaal,

Ik heb apf firewall op 1 van me servers geïnstalleerd en vraag me iets af.
Welke uitgaande poorten moet ik openzetten vanaf poort 80 naar xxx

om een voorbeeld te geven waarom ik twijfel aan me settings heb ik hier een aantal drops neergezet waar ik zo me twijfels bij heb of die wel geblokt moeten worden.

ik heb de src ipnummer gemask met een xxx.xxx = mijn server

Jul  5 13:05:37 dual1 kernel: ** OUT_TCP DROP ** IN= OUT=eth0 SRC=xxx.xxx DST=193.173.109.55 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=TCP SPT=80 DPT=36145 WINDOW=0 RES=0x00 RST URGP=0
Jul  5 13:18:01 dual1 kernel: ** IN_TCP DROP ** IN=eth0 OUT= MAC=00:30:48:c7:16:d2:00:30:48:c3:aa:a3:08:00 SRC=124.128.39.25 DST=xxx.xxx LEN=44 TOS=0x08 PREC=0x00 TTL=114 ID=21058 PROTO=TCP SPT=80 DPT=30460 WINDOW=16384 RES=0x00 ACK SYN URGP=0

Deze drop zie ik vaker met destport 50000+ en 30000+

mijn apf config ziet er zo uit:

# OUTBOUND
# Outbound (egress) filtering
EGF="1"

# Common outbound (egress) TCP ports
EG_TCP_CPORTS="21,25,80,161,443,43,2222,8080,3306"

# Common outbound (egress) UDP ports
EG_UDP_CPORTS="20,21,53,2222,161,80,8080,3306"

# Common ICMP outbound (egress) types
# 'internals/icmp.types' for type definition; 'all' is wildcard for any
EG_ICMP_TYPES="all"

#INBOUND
# Common inbound (ingress) TCP ports
IG_TCP_CPORTS="535,21,25,53,80,110,161,111,143,587,872,993,995,2222,3306"

# Common inbound (ingress) UDP ports
IG_UDP_CPORTS="535,21,53,111,161,866,869,5353,2222,16415,43374,80"

# Common ICMP inbound (ingress) types
# 'internals/icmp.types' for type definition; 'all' is wildcard for any
IG_ICMP_TYPES="0,3,5,8,11,30"

Deze server draaid op directadmin: sql,ftp,httpd,mrtg,ssl disabled

klopt dit een beetje? als ik zelf test krijg ik de pagina's netjes tezien.
ftp,sql,mrtg werkt goed.

[bbytes]

Als je het volgende uitvoert: iptables -L -n -v
zie je dan onderstaande regels er tussen staan?

tcp -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

udp -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

Je zegt echter dat je de pagina's prima kan zien, dus ik verwacht dat deze erin staan. Source poort 80 komt eigenlijk niet voor. Een source poort is meestal dynamisch in de high-port range. (1024 - 65535).

Voorbeeld: client maakt connectie met server. De client gebruikt poort 38112 en connect naar de server op poort 80. De connectie komt tot stand en de server geeft een reply. De server gebruikt dan poort 80 en stuurt data naar poort 38112 richting de client. De client weet wat voor een data dit is en welke applicatie deze connectie heeft gemaakt.

[ame]http://en.wikipedia.org/wiki/Stateful_firewall[/ame]


In de logging staat dat de initiele connectie van de client met source poort 80 naar een dynamische high poort wordt uitgevoerd. Ik zie het dus als een mogelijk hack. Een client maakt nooit een connectie met SPT 80. Je firewall werkt volgens mj goed.