Правило iptables
 

Есть CentOS, на нем виртуалки.
Есть интерфейсы eth2 lo virbr1 vnet0
Задача не дать виртуалкам использовать любые порты кроме 8888 и 8080.

Пробовал так, бестолку...
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 0:8079 -j DROP
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 8081:8879 -j DROP
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 8881:65534 -j DROP

Есть мысли у кого-то?

В iptables правила

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT

#Block traffic
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 0:8079 -j DROP
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 8081:8879 -j DROP
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 8881:65534 -j DROP

#SSH
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

#FTP
-A INPUT -m state --state NEW -m tcp -p tcp --dport 20 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

#Apache
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

#Samba
-A INPUT -i eth2 -p udp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
-A OUTPUT -o eth2 -p udp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
-A INPUT -i eth2 -p tcp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
-A OUTPUT -o eth2 -p tcp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT

#VNC
-A INPUT -m state --state NEW -m tcp -p tcp --dport 5900:6000 -j ACCEPT

#WebVirtMgr
-I INPUT -m state --state NEW -m tcp -p tcp --dport 16509 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

COMMIT

Проблема кроеться в том что libvirt добавляет свои правила в iptables.
И когда я делал DROP он делал ACCEPT...

Как это побороть?

У вас виртуальная сетка для виртуалок мост или нат?

vadblm, мост

http://habrahabr.ru/qa/29447/

Ну и ещё хинт, почему бы не фильтровать трафик на шлюзе.

vadblm, Спасибо за ссылку.
Уже пробовал сделать виртуальную машину для работы в качестве шлюза... Не вышло.
Или Вы о вышестоящим после сервера оборудовании? Если да то у меня доступа к нему нету.

Да. Пичаль.