|
Компьютерный форум OSzone.net » Linux и FreeBSD » Общий по Linux » Прочее - CentOS и iptables |
|
Прочее - CentOS и iptables
|
Новый участник Сообщения: 3 |
Мне нужно заблокировать SMB трафик с интерфейса Virbr1 на eth2, что бы заблокировать доступ к внешним серверам.
Как это решить? Я уже перепробовал все что мог ![]() Сегодня даже решил закомментировать все правила но после их применения пропал инет, пришлось подключаться по IMM. Мои правила iptables *filter #Block all traffic :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT DROP [22:6624] #ICMP and lo traffic -A INPUT -j REJECT --reject-with icmp-host-prohibited -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT #Allow inbound traffic -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 20 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 3306 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 5900:6000 -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 16509 -j ACCEPT #Allow outbound traffic -A OUTPUT -o eth2 -p udp -m multiport --ports 20,21,22,80,8888,5900:6000,16509 -j ACCEPT -A OUTPUT -o eth2 -p tcp -m multiport --ports 20,21,22,80,8888,5900:6000,16509 -j ACCEPT #allow traffic to virbr0 -A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT -A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT -A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT -A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT #allow traffic to virbr1 -A INPUT -i virbr1 -p udp -m udp --dport 53 -j ACCEPT -A INPUT -i virbr1 -p tcp -m tcp --dport 53 -j ACCEPT -A INPUT -i virbr1 -p udp -m udp --dport 67 -j ACCEPT -A INPUT -i virbr1 -p tcp -m tcp --dport 67 -j ACCEPT #disabled rules #-A INPUT -i eth2 -p udp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT #-A INPUT -i eth2 -p tcp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT #-A OUTPUT -o eth2 -p udp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT #-A OUTPUT -o eth2 -p tcp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT #-A INPUT -i virbr1 -p tcp -m multiport --ports 135,136,137,138,139,445 -j DROP #-A INPUT -i virbr0 -p tcp -m multiport --ports 135,136,137,138,139,445 -j DROP #-A OUTPUT -o virbr1 -p udp -m multiport --ports 0:65534 -j ACCEPT #-A OUTPUT -o virbr1 -p tcp -m multiport --ports 0:65534 -j ACCEPT #Forward traffic -A FORWARD -d 192.168.100.0/24 -i eth2 -o virbr1 -m state --state RELATED,ESTABLISHED -j ACCEPT -A FORWARD -s 192.168.100.0/24 -i virbr1 -o eth2 -j ACCEPT -A FORWARD -i virbr1 -o virbr1 -j ACCEPT -A FORWARD -o virbr1 -j REJECT --reject-with icmp-port-unreachable -A FORWARD -i virbr1 -j REJECT --reject-with icmp-port-unreachable -A FORWARD -d 192.168.122.0/24 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT -A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT -A FORWARD -i virbr0 -o virbr0 -j ACCEPT -A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable -A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable -A FORWARD -j REJECT --reject-with icmp-host-prohibited COMMIT *nat :PREROUTING ACCEPT [55:11142] :POSTROUTING ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -A POSTROUTING -s 192.168.100.0/24 ! -d 192.168.100.0/24 -o eth2 -p tcp -j MASQUERADE --to-ports 446-65535 -A POSTROUTING -s 192.168.100.0/24 ! -d 192.168.100.0/24 -o eth2 -p udp -j MASQUERADE --to-ports 446-65535 -A POSTROUTING -s 192.168.100.0/24 ! -d 192.168.100.0/24 -o eth2 -j MASQUERADE -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535 -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535 -A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE COMMIT *mangle :PREROUTING ACCEPT [166:19873] :INPUT ACCEPT [163:19639] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [22:6224] :POSTROUTING ACCEPT [22:6224] -A POSTROUTING -o virbr1 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill -A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill COMMIT |
|
Отправлено: 14:22, 28-08-2013 |
![]() |
Участник сейчас на форуме |
![]() |
Участник вне форума |
![]() |
Автор темы |
![]() |
Сообщение прикреплено |
| |||||
Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
Redhat/Fedora - Centos начало | ~user~ | Общий по Linux | 2 | 13-09-2012 22:37 | |
Redhat/Fedora - centOS gateway | Proflex | Общий по Linux | 2 | 27-02-2012 15:45 | |
Redhat/Fedora - centos интернет шлюз | maria7000smile | Общий по Linux | 1 | 30-05-2011 08:20 | |
Музыка в Centos | 988essence | Программное обеспечение Linux и FreeBSD | 8 | 12-03-2010 18:06 | |
IPTABLES!!! RULES, Разгавор о iptables | BuuG | Общий по Linux | 17 | 03-03-2006 16:00 |
|