[gelöst] TCP Wrapper für freetz1.0.1 integrieren + aktivieren

[sf3978]

Die "hosts.deny" sollte man nicht mehr verwenden. D. h. nicht, dass man sie nicht verwenden kann. "allow" und "deny" kannst Du über die Datei "hosts.allow" machen (siehe Beispiel oben). Hast Du vsftpd mit tcp_wrapper-Unterstützung kompiliert?

 

[it-fisi]

ja das ist meine Frage, wie kompiliere ich vsftpd das es mit TCP Wrapper korrekt zusammen arbeitet ?

Ein Apache läuft auch noch bei mir, der muß dann auch gleich mit TCP Wrapper Unterstützung kompiliert werden ?

 

[sf3978]

Wie Du den apache mit tcp_wrapper kompilierst weiss ich nicht, weil ich den nicht benutze. Da muss dir evtl. ein Experte helfen.
Um den vsftpd mit tcp_wrapper-Unterstützung zu kompilieren, musst Du die Patches (Achtung txt-Datein ändern) aus dem Anhang nach dem Auschecken und vor dem Kompilieren, in das Verzeichnis ".../make/vsftpd/patches" kopieren (überschreiben!).
Bitte beachte bei der Verwendung von "hosts.deny":
Zunächst wird den in "hosts.allow" aufgeführten IP-Adressen Zugriff gestattet, anschließend wird die Datei "hosts.deny"ausgewertet.

EDIT:
Die Patches sind für den vsftpd aus dem trunk. Welche Version des vsftpd Du im Freetz-1.0.1 hast, weiss ich nicht. D. h. Du solltest den vsftpd aus dem trunk mit dem vsftpd aus Freetz-1.0.1 vergleichen.

EDIT 2:
Habe gerade gesehen, dass im Freetz-1.0.1 die Version 2.0.6 des vsftpd ist:

config FREETZ_PACKAGE_VSFTPD
	bool "Vsftpd [B]2.0.6[/B]"

Das kann jetzt sein, dass Du die Patches evtl. anpassen musst.

EDIT 3:
Den vsftpd-2.2.2 (aus dem trunk) kannst Du auch mit Freetz-1.0.1 kompilieren. Habe es gerade gemacht und geht ohne Probleme (auch mit ssl und static-ssl, auf ausreichend Speicher bitte achten, denn ich weiss nicht ob Du bei Freetz-1.0.1 externalisieren kannst).

 

[it-fisi]

vielen Dank für die Info´s.
Werde das ganze mit meinem Linux Kumpel testen und gebe dir dann Bescheid wie weit alles geht oder nicht.

Nochmal zu den .allow und .deny Dateien:

Ich möchte nicht erst alles sperren und dann wieder entsprechen erlauben,
ich möchte nur einige IPs sperren, weil ich immer wieder von den gleichen IPs Angriffe bekomme und die kommen aus dem Land der mitte - grrrr
die haben nur wirklich nichts zu suchen bei mir

Ist das so möglich wie ich mir das vorstelle und schreibe ich dann in die .deny Datei z.B 60.191. um den Zugriff zu unterbinden ? oder muß ich noch mehr tun .....

Dank eurer Hilfe sind wir schon ein ganz Stück weiter gekommen, ist wirklich ein sehr hilfreiches Forum - Danke

Peter

 

[sf3978]

[...]
Nochmal zu den .allow und .deny Dateien:

Ich möchte nicht erst alles sperren und dann wieder entsprechen erlauben,
ich möchte nur einige IPs sperren, weil ich immer wieder von den gleichen IPs Angriffe bekomme und die kommen aus dem Land der mitte - grrrr
die haben nur wirklich nichts zu suchen bei mir

Ist das so möglich wie ich mir das vorstelle und schreibe ich dann in die .deny Datei z.B 60.191. um den Zugriff zu unterbinden ? oder muß ich noch mehr tun .....
[...]

Von mir noch nicht getestet, aber versuche mal Folgendes als 1. Zeile in der "hosts.allow":

vsftpd : ALL EXCEPT vsftpd: 60.191.

oder evtl. auch mal so als 1. Zeile (ACHTUNG: auf Speicherverbrauch achten, evtl. auslagern!):

vsftpd : 60.191. \
: spawn /bin/echo `/bin/date` access denied >> /var/tmp/tcpwrappers.log \
: deny

und dann als 2. Zeile:

vsftpd : ALL EXCEPT vsftpd: 60.191.

Evtl. musst Du die Datei "/var/tmp/tcpwrappers.log" vorher anlegen.

 

[Fishi]

firewall & tcp-wrapper u. company

hi,

hier steht alles zum Thema TCP-wrapper. Vom compielieren bis zum
starten:
http://www.ip-phone-forum.de/showthread.php?t=186546&highlight=tcp +wrapper
Der einzige vorteil vom TCP-wrapper ist das man eine "Firewall" nur für
bestimmte Anwendungen (z.B. vsftpd) erstellen kann. Aber das möchtest du
ja nicht unbedingt.



hier steht alles zum Thema iptables und AVM Firewall:
http://trac.freetz.org/wiki/packages/iptables

Hier siehst du deutlich das die AVM Firewall direkt am DSL eingang
arbeitet und die iptables Firewall danach kommt, dann erst die Fritzbox,
und dann nochmal die iptables für das locale Netzwerk.

Verkehr von und zur FritzBox:
DSL < — > AVM Firewall (NAT) < — > iptables Firewall < — > (FritzBox) <
— > iptables Firewall < — > LAN / WLAN

Verkehr zwischen Internet und LAN Interfaces:
DSL < — > AVM Firewall (NAT) < — > iptables Firewall < — > LAN / WLAN

Verkehr in einer DMZ oder VPN Tunnel zum LAN/WLAN :
DMZ / Tunnel Interfaces < — > iptables Firewall < — > LAN / WLAN

Mein Vorschlag vorschlag ist die AVM Firewall cgi:
deny ip host 60.191.159.180 any connection incoming-related

damit ist natürlich nur ein host gesperrt.
Vielleicht kennt jamand die Syntax um "60.191." zu sperren ???
oder ist das nicht möglich ???

habe dies gefunden:
http://www.realriot.de/2007/05/30/die-interne-fritzbox-stateful-firewall/

Dieser eintrag müsste funktionieren:
deny ip 60.191.0.0 255.255.0.0 any connection incoming-related

by Fishi

 

[sf3978]

[...]
Der einzige vorteil vom TCP-wrapper ist das man eine "Firewall" nur für
bestimmte Anwendungen (z.B. vsftpd) erstellen kann.
[...]

Das geht auch mit iptables.
Der TCP-Wrapper kann auch Verbindungen protokollieren und kann Nachrichten zurück senden (... was nicht immer zu empfehlen ist). Der TCP-Wrapper hat Funktionen zur Steuerung von Verbindungen. Er ist kein Firewall-Ersatz, sondern eine Ergänzung zur Firewall.

 

[Fishi]

Ich denke für it-fisi ist es wichtig ,möglichst einfach, bestimmte IP kreise zu verbannen.

Deine Anleitung zum tcp wrapper und vsftpd ist gut . Ich habe jetzt den tcp wrapper integriert.

Soweit ich testen konnte funktioniert dein Code und Zugriffe werden geloggt.

vsftpd : 87.177.  \
: spawn /bin/echo `/bin/date` access denied >> /var/tmp/tcpwrappers.log \
: deny

wenn ich jedoch die zweite Zeile hinzufüge:

 vsftpd : ALL EXCEPT vsftpd: 87.177.

wird jeder Zugriff abgewiesen.

Ist die zweite also nicht notwendig ?

danke Fishi

 

[sf3978]

OK. Dann ist die 2. Regel nicht erforderlich.

 

[it-fisi]

Hallo sf3978,

hat zwar einige Zeit gedauert bis wir alles integriert hatten, aber jetzt funktioniert alles.
Vielen Dank für deine Unterstützung - echt supi :groesste:

Gruß Peter