From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <xacan1@ukr.net>
Message-ID: <47052083.6040407@ukr.net>
Date: Thu, 04 Oct 2007 20:18:59 +0300
From: "Valery V. Rusnak" <xacan1@ukr.net>
User-Agent: Thunderbird 2.0.0.6 (Windows/20070728)
MIME-Version: 1.0
To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
References: <47039F45.30500@ukr.net>	<b966c1e40710040225m1a296422x1a162dfe8e472860@mail.gmail.com>	<4704DE99.5090109@ukr.net>	<200710041543.03503.serge.polkovnikov@gmail.com>	<4704E24D.3080200@iop.kiev.ua>
	<4704EB76.7030404@ukr.net>	<4704F6FC.6090704@ukr.net>
	<5610597868.20071004203721@mail.ru>
In-Reply-To: <5610597868.20071004203721@mail.ru>
Content-Type: text/plain; charset=KOI8-R; format=flowed
Content-Transfer-Encoding: 8bit
X-R19-Sender-IP: 192.168.1.51
Subject: Re: [Sysadmins] iptables
X-BeenThere: sysadmins@lists.altlinux.org
X-Mailman-Version: 2.1.9
Precedence: list
Reply-To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
List-Id: ALT Linux sysadmin discuss <sysadmins.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/sysadmins>
List-Post: <mailto:sysadmins@lists.altlinux.org>
List-Help: <mailto:sysadmins-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Thu, 04 Oct 2007 17:18:59 -0000
Archived-At: <http://lore.altlinux.org/sysadmins/47052083.6040407@ukr.net/>
List-Archive: <http://lore.altlinux.org/sysadmins/>



LIO пишет:
> Здравствуйте.
>
> 4.10.2007 18:21 Valery wrote:
>
>   
>>>> Любыми генераторами правил можно пользоваться только когда Вы
>>>> способны осознанно проэкзаменовать результат их работы, ИМХО.
>>>>         
> ИМХО тоже. Абсолютно согласен.
>
>   
>>> Вот во вложении, то что у меня получилось, переделав один конфиг.
>>> Там есть строка доступ по SSH закрывает 192.168.0.0/16. А как перекрыть 
>>> отовсюду? Это и 80го порта касается.
>>>       
>
> там есть много строчек, и для http:
> # С─азС─Р╣С┬РёС┌С▄ Р╢Р╬С│С┌С┐Р© Р╪Р╫Р╣ Р©Р╬ 80 Р©Р╬С─С┌С┐, С│Р╩Р╣Р╢С┐С▌С┴Р╣Р╣ заЩС─Р╣С┌РёС┌ Р╡С│Р╣Р╪.
> iptables -t filter -A INPUT -s 192.168.1.51 -p tcp --dport 80 -j ACCEPT
> #заЩС─Р╣С┌РёС┌С▄ Р╡С│Р╣Р╪ Р╢Р╬С│С┌С┐Р© Р©Р╬ 80 Р©Р╬С─С┌С┐
> iptables -t filter -A INPUT -s 192.168.0.0/16 -p tcp --dport 80 -j DROP
>
> и для SSH тоже
> # iptables -t filter -A INPUT -s 192.168.1.111 -p tcp --dport 22 -j ACCEPT
> iptables -t filter -A INPUT -s 192.168.1.51 -p tcp --dport 22 -j ACCEPT
> # Р·Р°Р╨С─С▀С┌С▄ Р©Р╬ SSH
> iptables -t filter -A INPUT -s 192.168.0.0/16 -p tcp --dport 22 -j DROP
>
> напиши вместо этого (на худой конец до этого)
> # С─азС─Р╣С┬РёС┌С▄ Р╢Р╬С│С┌С┐Р© Р╪Р╫Р╣ Р©Р╬ 80 Р©Р╬С─С┌С┐, С│Р╩Р╣Р╢С┐С▌С┴Р╣Р╣ заЩС─Р╣С┌РёС┌ Р╡С│Р╣Р╪.
> iptables -t filter -A INPUT -s 192.168.1.51 -j ACCEPT
> iptables -t filter -A INPUT -s 192.168.0.0/16 -j DROP
> чтобы запретить доступ всем из подсети 192.168.0.0/16 кроме
> 192.168.1.51. Вот только пролистав ниже можно увидеть что
> # РазС─Р╣С┬РёС┌С▄ С│Р╣С─Р╡Р╣С─С┐ Р╬Р╠С┴Р°С┌С▄С│С▐ С│ Р╡Р╫Р╣С┬Р╫РёР╪ Р╪РёС─Р╬Р╪
> iptables -t filter -A INPUT -i $iface_world -j ACCEPT
> iptables -t filter -A OUTPUT -o $iface_world -j ACCEPT
> для "внешнего мира" (eth0) входной то и двери нет (дыра размером с
> пару окон). Поэтому это стоит подправить на следующее
> iptables -t filter -A INPUT -s 192.168.1.51 -j ACCEPT
> iptables -t filter -A INPUT -j DROP
> Тогда доступ будет закрыт вообще всем кроме 192.168.1.15
>
> А если вспомнить первое Ваше письмо где вы говорили что доступ надо
> закрыть только 192.168.1.15 (сделать с точностью до наоборот), то
> iptables -t filter -A INPUT -s !192.168.1.51 -j ACCEPT
>
> Надеюсь, данные "примеры" помогут Вам.
>
>   
Спасибо!! Буду тестить и эксперементировать :)
> ЗЫЖ Чего-то с кодировочкой намудрили...
>   
то вложенный файл, в putty читаю корректно.