Problem mit iptables -> Experte gesucht

Portscan auf welche Adresse? localhost? ipv4? ipv6? Welche Ports?

Von extern auf alle Ports.

Nur kurz überflogen, aber ich schätze du willst DROP anstatt REJECT.

Drop ist aber böse für harmlose Clients, also wenn das Ding nicht direkt 
am Internet hängt (alle Ports von aussen erreichbar), dann solltest du 
bei reject bleiben.

Habe es jetzt so probiert:

# reject incomming connections if ports are not opened
iptables -A INPUT -p udp -m recent --set --rsource --name UDP-PORTSCAN 
-j DROP --reject-with icmp-port-unreachable
iptables -A INPUT -p udp -j DROP --reject-with icmp-port-unreachable
iptables -A INPUT -p tcp -j DROP --reject-with tcp-reset
ip6tables -A INPUT -p udp -j DROP --reject-with icmp6-port-unreachable
ip6tables -A INPUT -p tcp -j DROP --reject-with tcp-reset
iptables -A INPUT -j DROP --reject-with icmp-proto-unreachable
ip6tables -A INPUT -j DROP


Aber auch nicht erfolgreich :-O

1

-j DROP --reject-with tcp-reset

Das passt auch nicht zusammen. Entweder du DROPst Pakete, oder du 
antwortest dem Client mit einem reject+reset.

Wie gesagt.
Habe ich abgetippselt und wollte es um eine PortScan Option erweitern.
Leider bin ich dafür zu schwach auf der Brust :-/

Wer kann mir sagen, was ich ändern/ergänzen muss

Wie hängt denn dein RPi im Netz?
* Direkt? Wohl eher nicht.
* Über einen Router? Dann hat der sehr wahrscheinlich eine Firewall die 
dazwischen funkt.

Starte mal auf dem RPi "sudo tcpdump", starte dann den Portscan und 
schau ob überhaupt irgendwas ankommt.

Er sagt doch, das alles durchkommt..

devzero schrieb:
> Er sagt doch, das alles durchkommt..

Nein.

Siehe →

iptabler schrieb:
> Mache ich einen Portscan, werden noch alle Ports angezeigt :-O

Das kann so gut wie alles bedeuten. Weder weiß man, mit welchem Programm 
scannt, noch was hier beim Scan wirklich antwortet.

Sven L. schrieb:
> Eher eine NAT-Instanz?

Gut möglich. Der RPi hängt sicher bei ihm im Heimnetz mit einem 
0815-Router als Internetzugang.

Wie er scannt wurde ja nicht vernuenftig beantwortet - Antwort von 
extern auf alle Ports. Was auch immer das genau bedeutet.


Oder von einem Rechner aus dem LAN auf den LAN Port? Da sollten die 
Regeln ziehen und die Fritzbox oder was auch sonst noch so gibt keinen 
Einfluss haben.

T.roll schrieb:
> devzero schrieb:
>> Er sagt doch, das alles durchkommt..
>
> Nein.
>
> Siehe →
>
> iptabler schrieb:
>> Mache ich einen Portscan, werden noch alle Ports angezeigt :-O
>
> Das kann so gut wie alles bedeuten. Weder weiß man, mit welchem Programm
> scannt, noch was hier beim Scan wirklich antwortet.

Hae? Er schreibt die Ports sind noch zu sehen und Du empfiehlst tcpdump 
mit den Worten ob ueberhaupt was durchkommt..

Bitteschön.

Anbei ein Screenshot meines Portscanns.
RPI hängt per Eth0 am Router.

Ich hänge mim Läppi im Wlan vom Router.

Ich meine "extern" vom RPI aus gesehen.

Habe nochmals geportscannt.
Und siehe da: Port 5020 wird auch angezeigt.
Das Port 5020 ist definitiv mein SSH Port. (JA, ich habe es geändert!)