Firewall & udp-Ports

[k-pl]

Hallo zusammen,

ich hab jetzt ein wenig mit der Firewall rumgespielt. Mit den TCP-Ports funktioniert es schon bestens. Ich hab dir Firewall auf meiner Workstation, d.h. mir geht es im Moment nur um Verbindungen von und zur Workstation

Wenn die Firewall aus ist, funktioniert kein nmap von einem anderen Rechner. iptables -l schaut so aus:

Code: Alles auswählen

# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination     

Sobald ich aber die Firewall starte, werden plötzlich ewig viele Ports als offen angezeigt:

Code: Alles auswählen

# nmap -sU cygnus
WARNING:  -sU is now UDP scan -- for TCP FIN scan use -sF

Starting nmap V. 2.12 by Fyodor (fyodor@dhp.com, www.insecure.org/nmap/)
Interesting ports on cygnus.intern.ff-muenchen.de (192.168.205.39):
Port    State       Protocol  Service
1       open        udp        tcpmux          
2       open        udp        compressnet     
3       open        udp        compressnet     
4       open        udp        unknown         
5       open        udp        rje             
6       open        udp        unknown         
7       open        udp        echo            
8       open        udp        unknown         
9       open        udp        discard         
10      open        udp        unknown         
11      open        udp        systat          
12      open        udp        unknown         
13      open        udp        daytime         
14      open        udp        unknown         
15      open        udp        unknown         
16      open        udp        unknown         
17      open        udp        qotd            
18      open        udp        msp             
19      open        udp        chargen         
.
.
.
32776   open        udp        sometimes-rpc16 
32777   open        udp        sometimes-rpc18 
32778   open        udp        sometimes-rpc20 
32779   open        udp        sometimes-rpc22 
32780   open        udp        sometimes-rpc24 
47557   open        udp        dbbrowse        

Nmap run completed -- 1 IP address (1 host up) scanned in 156 seconds

iptabels -l ist diesmal so aus:

Code: Alles auswählen

# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere           state RELATED,ESTABLISHED 
ACCEPT     tcp  --  anywhere             anywhere           multiport dports ssh,www 

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere           state RELATED,ESTABLISHED 
ACCEPT     tcp  --  anywhere             anywhere           multiport dports ssh,3128 

Woran kann das liegen?

k-pl

[glatzor]

Ein Blick in die manpage von nmap verrät da einiges:

If we receive an ICMP port unreachable message, then the port is closed. Otherwise we assume it is open.

Und Deine Firewall kehrt all Deine ausgehenden ICMP-Pakete unter den Tisch.

[k-pl]

Mir geht es eher darum, dass wenn die Firewall an ist, alle udp-Ports als offen angezeigt werden.

k-pl

[glatzor]

Genau dieses Problem habe ich auch beantwortet. Die Meldung, ob ein Port offen ist oder nicht wird mit Hilfe des zurückkommmenden ICMP Pakets ermittelt. Kommt keins wird der (hier UDP-)Port als offen verbucht.
Da Du aber alle ausegehenden ICMP-pakete von Deiner Workstation blockierst, erhält der Rechnmer, welcher den nmap ausführt nie ein "unreachable" ICMP-Pakete. Und darum nimmt er an, dass alle Ports offen sind.
Wenn Du in Deiner OUPUT Chain "iptables -A OUTPUT -p ICMP -j ACCEPT" einfügst wirst du ein "wahrheitsgemässeres" Ergebnis bekommen.