Вопрос по iptables

fossil · Конфигурация компьютера

По мне так правила очень запутанные, и много ненужных. Все можно сделай намного короче и понятнее.

Цитата:

Сервер пускает ip 192.168.0.1 в инет, но почемуто не пускает в локальную сеть 192,168,0,0 (((

А где находится локальная сеть? Как должен осуществляться доступ в локалку, через маскарадинг?
Или с сервер должен осуществляться доступ?
Ничего непонятно. Скажи лучше что должен делать фаервол, я тебе напишу правила.

Non-Stop · Отправлено: **21:12, 28-11-2006** | #3

Благодарю за содействие!
Значится так...
Собссна пытаюсь настроить iptables для раздачи инета для локалки. 192.168.0.0
По умолчанию - всё запрещено.
- открыть для ЛС UDP-порт 7723 - этот порт "слушает" серверная часть моего биллинга , для того чтоб осуществлять авторизацию клиентов.
- Разрешить пинги
- Разрешить dns
Можно также разрешить доступ из ЛС к внутреннему веб-серверу, к внутреннему почтовому серверу без авторизации но необязательно, лутше бы конечно чтоб при авторизации просто разрешал данному ip ходить везде
Из необходиміх вроди всё, но может ещё чтото посоветуешь?

Далее клиент авторизируется с помощью автоизатора и срабатівает скрипт, который поидее добавляет в iptables цепочкую разрешающую данному ip ходить в инет и по локалке
вот сам скрипт

#!/usr/bin/perl
#===========================================================================
# &Allow - Разрешение доступа

sub Allow
{
my ($num,$ip,$gorod,$paket,$adm,$dop,$detail) = @_;
unless ($gorod)
{
system ("/sbin/iptables -t filter -A INPUT -s $ip -j ACCEPT");
system ("/sbin/iptables -t filter -A FORWARD -s $ip -j ACCEPT");
system ("/sbin/iptables -t filter -A FORWARD -d $ip -j ACCEPT");
system ("/sbin/iptables -t filter -A OUTPUT -d $ip -j ACCEPT");
}
}
sub Deny
{
my ($num,$ip) = @_;
system("/sbin/iptables -t filter -D INPUT -s $ip -j ACCEPT ");
system("/sbin/iptables -t filter -D FORWARD -s $ip -j ACCEPT ");
system("/sbin/iptables -t filter -D FORWARD -d $ip -j ACCEPT ");
system("/sbin/iptables -t filter -D OUTPUT -d $ip -j ACCEPT ");

}
1;
У меня он почемуто при авторизации пользователя пускал только в интет, в локалку никак (((
команду iptables -L -n описывал выше

fossil · Конфигурация компьютера

Я так понял пускать он должен в другую локалку? Если же нет, то удали последнее правило.

Код:

IPTABLES -F
IPTABLES -t nat -F
IPTABLES -X

IPTABLES -P INPUT DROP
IPTABLES -P OUTPUT ACCEPT
IPTABLES -P FORWARD DROP

IPTABLES -A INPUT -i lo -j ACCEPT
IPTABLES -A INPUT -p UDP -m multiport --dport 53,7723 -j ACCEPT
IPTABLES -A INPUT -p ICMP --icmp-type 8 -j ACCEPT

IPTABLES -A INPUT --source 192.168.0.0/24 -j ACCEPT
IPTABLES -A FORWARD --source 192.168.0.0/24 -j ACCEPT

IPTABLES -t nat  -A POSTROUTING -o eth1 -j SNAT --to-source 10.10.10.10

Non-Stop · Отправлено: **15:51, 29-11-2006** | #5

Благодарю, вроди работает )))
Ещё такой вопрос...
при такой схеме почемуто принимается и отправляется почта через бат , а также работает icq и jabber
можно ли это какимто правилом запретить?

fossil · Конфигурация компьютера

Попробуй так IPTABLES -A FORWARD --source 192.168.0.0/24 --dport 80 -j ACCEPT
Таким образом мы разрешаем форвард пакетов только на 80 порт.

Non-Stop · Отправлено: **17:46, 29-11-2006** | #7

меня получился такой набор правил
##########################
IPTABLES -F
IPTABLES -t nat -F
IPTABLES -X

IPTABLES -P INPUT DROP
IPTABLES -P OUTPUT ACCEPT
IPTABLES -P FORWARD DROP

IPTABLES -A INPUT -i lo -j ACCEPT
IPTABLES -A INPUT -p UDP -m multiport --dport 53,7723 -j ACCEPT
IPTABLES -A INPUT -p ICMP --icmp-type 8 -j ACCEPT

IPTABLES -A INPUT -i $EXTIF_LIST -j ACCEPT
IPTABLES -A OUTPUT -i $EXTIF_LIST -j ACCEPT
##################################
EXTIF_LIST - это внешний интерфейс, без него непускал в инет
насколько я понимаю - он разрешает общаться серверу с внешним миром...

fossil · Конфигурация компьютера

Цитата:

PTABLES -A OUTPUT -i $EXTIF_LIST -j ACCEPT

OUTPUT у тебя и так открыт по дефолту, это пакеты с сервера.

Non-Stop · Отправлено: **18:20, 29-11-2006** | #9

ясно,,,, а какже запретить приём и отправку почты и icq

fossil · Конфигурация компьютера

Цитата:

IPTABLES -A INPUT -i $EXTIF_LIST -j ACCEPT

Тебе нужно указать помимо интерфейса источника. Допустим --source 192.168.0.0/24. Определенную подсеть в которую юзеры попадают после авторизации. Иначе при таком правиле у тебя все будут получать интернет.
Параметр --dport указывает на какой порт придет пакет.
Вобщем почитай на досуге, полезно http://www.opennet.ru/docs/RUS/iptables/