Marco's Informatik Blog » IPCop http://www.ciacci.biz Version : 0.79 Build 2904 Thu, 22 Jul 2010 13:57:29 +0000 http://wordpress.org/?v=2.8.6 en hourly 1 IPCop+OpenVPN+BOT http://www.ciacci.biz/2007/04/16/ipcopopenvpnbot/ http://www.ciacci.biz/2007/04/16/ipcopopenvpnbot/#comments Mon, 16 Apr 2007 14:25:40 +0000 marco http://www.ciacci.biz/2007/04/16/ipcopopenvpnbot/ Una possibiilità molto interessante per creare un server OpenVPN è quello di utilizzare IPCop con l’addon Zerina.
Anche se però un firewall che si rispetti deve avere la possibilità di filtrare anche le connessioni in uscita e tra varie interfacce del firewall (DMZ e/o Wifi), cosa di cui si occupa il modulo BOT.
Vi risparmio l’installazione dei vari moduli che comunque è ben descritta sui rispettivi siti, ma vediamo come configurarli per poter interagire.
Una volta creato il server OpenVPN e creato i vari utenti, certificati ed altro, configureremo BOT per l’accesso remoto al server e per permettere ai roadrunner di raggiungere alcuni server in LAN, o tutta la LAN.

Andiamo a crearci un servizio in ADVANCED BOT Config, la porta usata dal nostro server ed il protocollo (non dimentichiamoci che OpenVPN funziona sia su tcp che udp)

Adesso sarà necessario ovviamente permettere l’accesso dall’esterno a questa porta, nell’apposita sezione External Access del firewall.

Adesso sarà necessario “creare un interfaccia” in modo che BOT gestisca la tun/tap.

Ancora in ADVANCED BOT Config, creeremo stavolta una interfaccia custom, che sarà o tun0 o tap0

Finita la parte difficile :-)
Adesso dovremmo solo decidere cosa e dove i road-warrior potranno andare, mettiamo come esempio che dovranno accedere ad un server Dominio nella lan e solo a quello.
Quindi semplicemente imposteremo una regola DROP che avrà come sorgente l’interfaccia custom appena creata, e come destinazione l’interfaccia green e la green network.
Poi un altra regola ACCEPT che avrà come destinazione l’interfaccia green e come host l’ip del server Dominio.
IMPORTANTE : L’ordine delle regole è fondamentale, quindi la regola ACCEPT dovrà precedere la regola DROP. (questo è necessario solo se la politica predefinita è ACCEPT, mentre se è DROP, quest’ultima regola non è necessaria impostarla.)
E questo è tutto!!!

]]> http://www.ciacci.biz/2007/04/16/ipcopopenvpnbot/feed/ 0 Gruppi Dansguardian http://www.ciacci.biz/2007/02/16/gruppi-dansguardian/ http://www.ciacci.biz/2007/02/16/gruppi-dansguardian/#comments Thu, 15 Feb 2007 23:11:35 +0000 marco http://www.ciacci.biz/2007/02/16/gruppi-dansguardian/ In un sistema content-filter, può essere necessario permettere a determinati utenti di visitare certi siti, ed impedire ad altri di visitare gli stessi oppure scaricare file eseguibili o altro..
Per fare ciò è possibile creare diversi gruppi, ognuno con determinate caratteristiche.
Prima di tutto editate il file dansguardian.conf ed alla voce filtergroups = 1 mettete il numero di gruppi che alla fine utilizzerete e salvate il file.
A questo punto copiate il file dansguardianf1.conf in dansguardianf2.conf e così via, dansguardianf(X).conf
A questo punto editate questi file settando al loro interno le liste opportune, per esempio possono avere gli stessi file come riferimento e differire solo nella voce bannedsitelist.
L’uso tipico è quello che alcune utenti possono navigare tranquillamente, mentre altri andare solo nei siti presenti in exceptionsitelist, in quanto in bannedsitelist avremo tolto il commento davanti ad una linea composta dai soli caratteri ** ed un altra dai caratteri **ip.
Questi impediranno la navigazione totale verso qualsiasi sito e ip.
A questo punto nel file filtergrouplist setteremo a quale utente o ip applicare un determinato filtro; il filtro 1 è quello di default.
Ad esempio specifichiamo pippo=filter2 oppure 192.168.0.32=filter2, dove filter2 impedisce la totale navigazione tramite una bannedsitelist apposista, configurata in dansguardianf2.conf
Ovviamente più gruppi avremo, più la nostra macchina dovrà essere prestazionale.
Questa metodologia è tranquillamente applicabile in IPCop con l’addon COP+

]]> http://www.ciacci.biz/2007/02/16/gruppi-dansguardian/feed/ 1 COP+ bug http://www.ciacci.biz/2007/02/11/cop-bug/ http://www.ciacci.biz/2007/02/11/cop-bug/#comments Sun, 11 Feb 2007 22:01:43 +0000 marco http://www.ciacci.biz/2007/02/11/cop-bug/ C’è un piccolo bug nell’addon COP+ per IPCop.
Infatti inserendo ip ed user in bannediplist e banneduserlist, salvando e poi premendo il tasto restart…bhe non succede nulla!
Ma c’è un piccolo workaround per risolvere il problema, basta premere il tasto salva nel campo Naughtyness e poi di nuovo restart.
Adesso impedirete la navigazione a questi ip e user!

ps.

Ho scoperto che poi questo problema era noto e trovate questa soluzione qui.

]]> http://www.ciacci.biz/2007/02/11/cop-bug/feed/ 0 IPCop, come ti fermo i pacchetti cattivi! http://www.ciacci.biz/2007/02/02/ipcop-come-ti-fermo-i-pacchetti-cattivi/ http://www.ciacci.biz/2007/02/02/ipcop-come-ti-fermo-i-pacchetti-cattivi/#comments Fri, 02 Feb 2007 22:29:42 +0000 marco http://www.ciacci.biz/2007/02/02/ipcop-come-ti-fermo-i-pacchetti-cattivi/ The bad packets stop here, come recita il sito ufficiale.
IPCop è una delle prime e meglio riuscite distruzioni linux dedicate al firewalling.
Piccola, veloce ed immediata, è l’ideale per creare firewall con semplicità, ma può essere dotata di decine e decine di addons, quali content filtering (SquidGuard o Dansguardian), antivirus, monitoraggio reti, server OpenVPN e così via.
Inoltre da svariati test effettuati è molto più performante, sia in termini di ritardo di rete che di semplice reboot rispetto al suo fork italiano, Endian.
Personalemente ho usato entrambi, ma tropo IPCop meno “legata” e molto più customizzabile, specialemente per quanto riguarda il Content Filtering e controllo sulle connessioni in uscita.
A dire il vero questi sono moduli di IPCop, chiamati BOT e COP+.
Infatti per fare un firewall completo consiglio di installare oltre ai componenti sopracitati anche Net-Traffic, un comodo “riepilogo” del traffico, giornaliero, settimanale, mensile etc..etc..
Il sito maggiore per gli addons è http://firewalladdons.sourceforge.net oltre a http://www.ipcop.org/modules.php?op=modload&name=phpWiki&file=index&pagename=IPCopAddons .
Ah ovviamente IPCop supporta l’IDS Snort, utilissimo anche per individuare attività come la replicazione dei worms.
Tempo permettendo posterò via via configurazioni e “trucchetti” su vari moduli :-)
Per finire, cosa molto interessante, dal road map della distribuzione è previsto il passaggio al kernel 2.6 nella versione 1.5 e all’utilizzo di Shorewall per la creazione delle regole dalla versione 1.6  

]]> http://www.ciacci.biz/2007/02/02/ipcop-come-ti-fermo-i-pacchetti-cattivi/feed/ 0