apf – SMsoft – informatica e dintorni

Debian buster e apf-firewall: could not verify that interface ens192 is routed to a network, aborting

admin — Tue, 03 Nov 2020 09:30:00 +0000

Se su Debian 10 (buster) installate iptables al posto di netfilter, potete continuare ad usare apf-firewall. Provandolo ad avviare, ci sono un paio di cose da tener presente:
– intanto va attivato in /etc/default/apf-firewall
– va poi modificata l’interfaccia di ingresso/uscita nel file /etc/apf-firewall/conf.apf, probabilmente sarà qualcosa del tipo ens192
– infine va modificato il file /etc/apf-firewall/firewall alla riga 46, sostituendo:

VAL_IF=`/sbin/route | grep -w $i`

con

VAL_IF=`/sbin/ip route | grep -w $i`

Provate ad eseguire apf -s e se tutto a posto, vedrete la conferma a video della creazione delle varie chain in iptables.

enjoy!

Debian stretch e apf-firewall: could not verify that interface ens192 is routed to a network, aborting

admin — Tue, 13 Nov 2018 08:30:28 +0000

Se su Debian 9 (stretch) installate iptables al posto di netfilter, potete continuare ad usare apf-firewall. Provandolo ad avviare, ci sono un paio di cose da tener presente:
– intanto va attivato in /etc/default/apf-firewall
– va poi modificata l’interfaccia di ingresso/uscita nel file /etc/apf-firewall/conf.apf, probabilmente sarà qualcosa del tipo ens192
– infine va modificato il file /etc/apf-firewall/firewall alla riga 46, sostituendo:

VAL_IF=/sbin/route -n | grep -w $i

con

VAL_IF=/sbin/ip route | grep -w $i

Provate ad eseguire apf -s e se tutto a posto, vedrete la conferma a video della creazione delle varie chain in iptables.

enjoy!

Linux: Port forwarding

admin — Tue, 15 Apr 2014 09:31:16 +0000

Il port forwarding è il sistema con cui si effettua la redirezione delle richieste alla porta di un host verso un altro host.

Prendiamo ad esempio una Linux Box che funge da firewall con IP pubblico (eth0 sulla rete esterna ed eth1 su quella interna) e tramite cui vorremmo permettere dall’esterno di raggiungere i servizi di un host interno alla rete.

internet –> firewall:1080 –> Host interno:80
x.x.x.x –> 212.30.30.30 –> 10.109.10.10

Ad esempio all’interno della rete c’è un host che gestisce un servizio web sulla classica 80 e vogliamo rendere raggiungibile il servizio anche all’esterno. Potremmo configurare il firewall per inoltrare le richieste alla porta 1080 verso la porta 80 dell’host interno.

Innanzitutto bisogna decommentare nel file /etc/sysctl.conf la riga:

net.ipv4.ip_forward=1

e ricaricare le impostazioni:

sysctl -p

Successivamente, se utilizziamo il nostro fidato apf-firewall, possiamo aggiungere nel file postroute.rules la direttiva:

$IPT -t nat -A POSTROUTING -o eth1 -j MASQUERADE

e poi nel file preroute.rules la direttiva:

$IPT -t nat -A PREROUTING -p tcp --dport 1080 -i eth0 -j DNAT --to-destination 10.109.10.10:80

e riavviare:

/etc/init.d/apf

In alternativa, se vogliamo farlo manualmente, possiamo inserire in un nostro script da avviare al boot, le seguenti righe:

/sbin/iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 1080 -i eth0 -j DNAT --to-destination 10.109.10.10:80

enjoy!

apf-firewall: permettere la connessione da un solo ip

admin — Tue, 31 Dec 2013 09:23:13 +0000

Con apf-firewall è semplice permettere la connessione da un solo IP, bloccando tutti gli altri.

Basta aggiungere l’IP da cui accettare le connessioni nel file allow_hosts.rules, es:

10.20.36.65

e poi bloccare tutti gli altri dal file deny_hosts.rules:

0/0

enjoy!

apf-firewall su Wheezy

admin — Thu, 07 Nov 2013 09:47:32 +0000

L’installazione del firewall apf su Debian Wheezy può essere fatta con il classico:

apt-get install apf-firewall

C’è però una piccola accortezza da prendere, perché apf attualmente non si avvia se la versione di kernel non è della serie 2.4 o 2.6.

Dato che Wheezy monta un kernel della serie 3.2, bisogna modificare il file /etc/apf-firewall/internals/functions.apf intorno alla riga 72, modificando da:

elif [ "$KREL" == "2.6" ]; then
  MEXT="ko"
elif [ ! "$KREL" == "2.4" ] && [ ! "$KREL" == "2.6" ]; then

elif [ "$KREL" == "2.6" ]; then
  MEXT="ko"
elif [ "$KREL" == "3.2" ]; then
  MEXT="ko"
elif [ ! "$KREL" == "2.4" ] && [ ! "$KREL" == "2.6" ] && [ ! "$KREL" == "3.2" ]; then

Fatto questo, apf si avvierà regolarmente anche su Debian Wheezy.

enjoy!

Abilitare il protocollo GRE su apf-firewall

admin — Tue, 10 Jul 2012 09:12:29 +0000

Apf-firewall, di cui ho parlato diverse volte, è un comodo tool (ormai presente nei repository Debian) per configurare il firewall iptables sulla propria linux-box.

La configurazione è abbastanza semplice (dal file /etc/apf/conf.apf ) ed anche l’aggiunta di regole personalizzate è abbastanza semplice (dal file /etc/apf/postroute.rules). Ad esempio, per abilitare il protocollo GRE (47), necessario per consentire una connessione VPN pptpd, si può inserire come ultima riga del file /etc/apf/postroute.rules la seguente direttiva:

$IPT -A INPUT -p 47 -j ACCEPT

e poi riavviare il firewall:

/etc/init.d/apf restart

enjoy!

Aggiungere una regola di PREROUTING o POSTROUTING al firewall apf

admin — Tue, 24 Aug 2010 07:53:36 +0000

Leggendo il mio blog avrete notato che utilizzo spesso apf per la gestione del firewall su macchine GNU/Linux. Lo trovo molto comodo e ben fatto ed è possibile personalizzarlo con poco sforzo. Oggi voglio parlarvi di come impostare una regola personalizzata di PREROUTING (la stessa cosa si può fare con le regole di POSTROUTING).
Nella cartella dove lo script è installato /etc/apf si trovano due files denominati preroute.rules e postroute.rules che chiaramente servono per le regole di prerouting e postrouting. Se ad esempio volessimo aggiungere la regola di prerouting:

iptables -t nat -A PREROUTING -p tcp -d 10.109.7.100 -j REDIRECT

basterà aprire il file /etc/apf/preroute.rules e scrivere come ultima riga:

$IPT -t nat -A PREROUTING -p tcp -d 10.109.7.100 -j REDIRECT

Ora riavviate il apf e controllate che la nuova regola sia stata caricata con:

/etc/init.d/apf restart
iptables -L -t nat