IPTABLES!!! RULES, Разгавор о iptables

sergleo · Отправлено: **11:56, 24-02-2006** | #11

Код:

#------------------------------------------------------------
# ICMP Control and Status Messages
# Log and drop initial ICMP fragments
-A INPUT   -i eth1 --fragment -p icmp -j LOG --log-prefix "Fragmented incoming ICMP: " 
-A INPUT   -i eth1 --fragment -p icmp -j DROP
-A OUTPUT  -o eth1 --fragment -p icmp -j LOG  --log-prefix "Fragmented outgoing ICMP: " 
-A OUTPUT  -o eth1 --fragment -p icmp -j DROP
-A FORWARD -o eth1 --fragment -p icmp -j LOG --log-prefix "Fragmented forwarded ICMP: "
-A FORWARD -o eth1 --fragment -p icmp -j DROP

-A INPUT   -i eth1 -p icmp --icmp-type source-quench -d x.x.x.x -j ACCEPT
-A OUTPUT  -o eth1 -p icmp --icmp-type source-quench -j ACCEPT
-A FORWARD -o eth1 -p icmp --icmp-type source-quench -j ACCEPT

-A INPUT   -i eth1 -p icmp --icmp-type parameter-problem -d x.x.x.x -j ACCEPT
-A OUTPUT  -o eth1 -p icmp --icmp-type parameter-problem -j ACCEPT
-A FORWARD -o eth1 -p icmp --icmp-type parameter-problem -j ACCEPT

-A INPUT  -i eth1 -p icmp --icmp-type destination-unreachable -j ACCEPT

#Use $LAN_INTERFACE = eth0 $LAN_ADDRESSES = 10.10.10.0/25
-A OUTPUT  -o eth0 -p icmp --icmp-type destination-unreachable -d 10.10.10.0/25 -j ACCEPT
-A FORWARD -o eth0 -p icmp --icmp-type destination-unreachable -d 10.10.10.0/25 -j ACCEPT

-A OUTPUT  -o eth1 -p icmp --icmp-type fragmentation-needed -j ACCEPT
-A FORWARD -o eth1 -p icmp --icmp-type fragmentation-needed -j ACCEPT

# Dont log dropped outgoing ICMP error messages
-A OUTPUT  -o eth1 -p icmp --icmp-type destination-unreachable -j DROP
-A FORWARD -o eth1 -p icmp --icmp-type destination-unreachable -j DROP

# Intermediate traceroute responses
-A INPUT   -i eth1 -p icmp --icmp-type time-exceeded -d x.x.x.x -j ACCEPT

#Use $LAN_INTERFACE = eth0 $LAN_ADDRESSES = 10.10.10.0/25
-A OUTPUT  -o eth0 -p icmp --icmp-type time-exceeded -d 10.10.10.0/25 -j ACCEPT
-A FORWARD -o eth0 -p icmp --icmp-type time-exceeded -d 10.10.10.0/25 -j ACCEPT

# allow outgoing pings to anywhere
-A OUTPUT -o eth1 -p icmp --icmp-type echo-request -j ACCEPT
-A INPUT  -i eth1 -p icmp --icmp-type echo-reply -j ACCEPT

#-A FORWARD -o $DMZ_INTERFACE -p icmp --icmp-type echo-request -s $LAN_ADDRESSES -j ACCEPT

# allow incoming pings from trusted hosts
# Use $MY_ISP = any/0
-A INPUT  -i eth1 -p icmp -s any/0 --icmp-type echo-request -d x.x.x.x -j ACCEPT
-A OUTPUT -o eth1 -p icmp -s x.x.x.x --icmp-type echo-reply -d any/0 -j ACCEPT

#-A INPUT  -i $LAN_INTERFACE -p icmp -s $LAN_ADDRESSES --icmp-type echo-request -d $LAN_IPADDR -j ACCEPT

#------------------------------------------------------------
# Logging Dropped Packets

# Don't log dropped incoming echo-requests
-A INPUT -i eth1 -p icmp --icmp-type ! 8 -d x.x.x.x -j LOG
#
-A INPUT -i eth1 -p tcp -d x.x.x.x -j LOG
#
-A OUTPUT -o eth1 -j LOG

sergleo · Отправлено: **11:58, 24-02-2006** | #12

Код:

#------------------------------------------------------------------
# Workstation:
#
# admin
-A admin-in -s 10.10.10.2 -i eth0 -j ACCEPT
-A admin-in -s 10.10.10.3 -i eth0 -j ACCEPT
-A admin-in -s 10.10.10.4 -i eth0 -j ACCEPT
-A admin-in -s 10.10.10.5 -i eth0 -j ACCEPT
-A admin-in -s 10.10.10.6 -i eth0 -j ACCEPT
# departments
-A dep-in -s 10.10.10.7 -i eth0 -j DROP
-A dep-in -s 10.10.10.8 -i eth0 -j DROP
-A dep-in -s 10.10.10.9 -i eth0 -j DROP
-A dep-in -s 10.10.10.10 -i eth0 -j DROP
-A dep-in -s 10.10.10.11 -i eth0 -j DROP
# wifi
-A wifi-in -s 10.10.10.12 -i eth0 -j DROP
-A wifi-in -s 10.10.10.13 -i eth0 -j DROP
-A wifi-in -s 10.10.10.14 -i eth0 -j DROP
-A wifi-in -s 10.10.10.15 -i eth0 -j DROP
-A wifi-in -s 10.10.10.16 -i eth0 -j DROP
-A wifi-in -s 10.10.10.17 -i eth0 -j DROP
#other

# end ip adress list

#------------------------------------------------------------------
# Traffic within the local network:
# admin
-A INPUT   -i eth0 -p ALL -d any/0 -j admin-in
-A OUTPUT  -o eth0 -p ALL -d any/0 -j admin-in
-A FORWARD -i eth0 -p ALL -d any/0 -j admin-in
# dep
-A INPUT   -i eth0 -p ALL -d any/0 -j dep-in
-A OUTPUT  -o eth0 -p ALL -d any/0 -j dep-in
-A FORWARD -i eth0 -p ALL -d any/0 -j dep-in
# wifi workstation
-A INPUT   -i eth0 -p ALL -d any/0 -j wifi-in
-A OUTPUT  -o eth0 -p ALL -d any/0 -j wifi-in
-A FORWARD -i eth0 -p ALL -d any/0 -j wifi-in

COMMIT

sergleo · Отправлено: **12:03, 24-02-2006** | #13

Код:

#------------------------------------------------------------------
# NAT
*nat

:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

#------------------------------------------------------------------
# Forward all trafic www to Squid.
# Port 80
-A PREROUTING -i eth0 -p tcp -s 10.10.10.0/25 --dport 80 -j REDIRECT --to-port 8080
-A PREROUTING -i eth0 -p udp -s 10.10.10.0/25 --dport 80 -j REDIRECT --to-port 8080

-A PREROUTING -i eth0 -p tcp -s 10.10.10.0/25 --dport 3128 -j REDIRECT --to-port 8080
-A PREROUTING -i eth0 -p udp -s 10.10.10.0/25 --dport 3128 -j REDIRECT --to-port 8080

#------------------------------------------------------------------
# Masquerade internal traffic.
-A POSTROUTING -o eth1 -j MASQUERADE

COMMIT

sergleo · Отправлено: **12:07, 24-02-2006** | #14

Маленькое пояснение

Код:

#------------------------------------------------------------------
# Forward all trafic www to Squid.
# Port 80
-A PREROUTING -i eth0 -p tcp -s 10.10.10.0/25 --dport 80 -j REDIRECT --to-port 8080
-A PREROUTING -i eth0 -p udp -s 10.10.10.0/25 --dport 80 -j REDIRECT --to-port 8080

-A PREROUTING -i eth0 -p tcp -s 10.10.10.0/25 --dport 3128 -j REDIRECT --to-port 8080
-A PREROUTING -i eth0 -p udp -s 10.10.10.0/25 --dport 3128 -j REDIRECT --to-port 8080

Я перенаправляю весь трафик с 80-го и 3128-го (www squid) портов на систему управления контентом DansGuardian.

sergleo · Отправлено: **12:23, 24-02-2006** | #15

Теперь по моим цепочкам

Код:

:admin-in - [0:0]
:dep-in - [0:0]
:wifi-in - [0:0]

запись в /etc/crontab

Код:

# Work Station
# Accept scripts
52 8 * * * root /opt/script/ip-a-dep.sh
54 8 * * * root /opt/script/ip-a-wf.sh
# Deny scripts
52 20 * * * root /opt/script/ip-d-dep.sh
54 20 * * * root /opt/script/ip-d-wf.sh

И сами скрипты

Код:

#!/bin/sh
echo "Starting firewalling... Accept Departmets..."
/sbin/iptables -R dep-in 1 -s 10.10.10.7 -i eth0 -j ACCEPT
/sbin/iptables -R dep-in 2 -s 10.10.10.8 -i eth0 -j ACCEPT
/sbin/iptables -R dep-in 3 -s 10.10.10.9 -i eth0 -j ACCEPT
/sbin/iptables -R dep-in 4 -s 10.10.10.10 -i eth0 -j ACCEPT
/sbin/iptables -R dep-in 5 -s 10.10.10.11 -i eth0 -j ACCEPT
echo "Done........"

Код:

#!/bin/sh
echo "Starting firewalling... Accept Wifi Clients..."
/sbin/iptables -R wifi-in 1 -s 10.10.10.12 -i eth0 -j ACCEPT
/sbin/iptables -R wifi-in 2 -s 10.10.10.13 -i eth0 -j ACCEPT
/sbin/iptables -R wifi-in 3 -s 10.10.10.14 -i eth0 -j ACCEPT
/sbin/iptables -R wifi-in 4 -s 10.10.10.15 -i eth0 -j ACCEPT
/sbin/iptables -R wifi-in 5 -s 10.10.10.16 -i eth0 -j ACCEPT
/sbin/iptables -R wifi-in 6 -s 10.10.10.17 -i eth0 -j ACCEPT
echo "Done........"

Аналогично удаляем

Код:

#!/bin/sh
echo "Starting firewalling... DROP Departmets..."
/sbin/iptables -R dep-in 1 -s 10.10.10.7 -i eth0 -j DROP
/sbin/iptables -R dep-in 2 -s 10.10.10.8 -i eth0 -j DROP
/sbin/iptables -R dep-in 3 -s 10.10.10.9 -i eth0 -j DROP
/sbin/iptables -R dep-in 4 -s 10.10.10.10 -i eth0 -j DROP
/sbin/iptables -R dep-in 5 -s 10.10.10.11 -i eth0 -j DROP
echo "Done........"

Код:

#!/bin/sh
echo "Starting firewalling... DROP Wifi Clients..."
/sbin/iptables -R wifi-in 1 -s 10.10.10.12 -i eth0 -j DROP
/sbin/iptables -R wifi-in 2 -s 10.10.10.13 -i eth0 -j DROP
/sbin/iptables -R wifi-in 3 -s 10.10.10.14 -i eth0 -j DROP
/sbin/iptables -R wifi-in 4 -s 10.10.10.15 -i eth0 -j DROP
/sbin/iptables -R wifi-in 5 -s 10.10.10.16 -i eth0 -j DROP
/sbin/iptables -R wifi-in 6 -s 10.10.10.17 -i eth0 -j DROP
echo "Done........"

sergleo · Отправлено: **12:39, 24-02-2006** | #16

СМ. пост 12 и 15 пояснения
Это сделано чтоб был минимаальный контроль(например ночью не качали.) Т.Е админы(руководство) постоянный доступ в нет а вот для остальных только по рассписанию с 8-50 до 20-50.

Ну вот и все удачи.
Напишите кто нить статью..., до скорого SergLeo.

BuuG · Отправлено: **12:06, 03-03-2006** | #17

А если расмотреть политику поумолчанию которая все запрещяет, просто надо прикрутить еще старгазера.

sergleo · Отправлено: **16:00, 03-03-2006** | #18

Цитата:

просто надо прикрутить еще старгазера

- Что Это?

Цитата:

А если расмотреть политику поумолчанию которая все запрещяет

Вы можете все запретить по умолчанию... Что и рекомендуется всевозможными FAQ и Howto. Просто в моей старой версии RH9 это не работало - появлялись огромные задержки и внутренний прокси просто отваливался... по таймауту.