From: "Valery V. Rusnak" <xacan1@ukr.net>
To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
Subject: Re: [Sysadmins] iptables
Date: Sat, 06 Oct 2007 15:00:37 +0300
Message-ID: <470778E5.7020302@ukr.net> (raw)
In-Reply-To: <47052083.6040407@ukr.net>
Valery V. Rusnak пишет:
> LIO пишет:
>
>> Здравствуйте.
>>
>> 4.10.2007 18:21 Valery wrote:
>>
>>
>>
>>>>> Любыми генераторами правил можно пользоваться только когда Вы
>>>>> способны осознанно проэкзаменовать результат их работы, ИМХО.
>>>>>
>>>>>
>> ИМХО тоже. Абсолютно согласен.
>>
>>
>>
>>>> Вот во вложении, то что у меня получилось, переделав один конфиг.
>>>> Там есть строка доступ по SSH закрывает 192.168.0.0/16. А как перекрыть
>>>> отовсюду? Это и 80го порта касается.
>>>>
>>>>
>> там есть много строчек, и для http:
>> # С─азС─Р╣С┬РёС┌С▄ Р╢Р╬С│С┌С┐Р© Р╪Р╫Р╣ Р©Р╬ 80 Р©Р╬С─С┌С┐, С│Р╩Р╣Р╢С┐С▌С┴Р╣Р╣ заЩС─Р╣С┌РёС┌ Р╡С│Р╣Р╪.
>> iptables -t filter -A INPUT -s 192.168.1.51 -p tcp --dport 80 -j ACCEPT
>> #заЩС─Р╣С┌РёС┌С▄ Р╡С│Р╣Р╪ Р╢Р╬С│С┌С┐Р© Р©Р╬ 80 Р©Р╬С─С┌С┐
>> iptables -t filter -A INPUT -s 192.168.0.0/16 -p tcp --dport 80 -j DROP
>>
>> и для SSH тоже
>> # iptables -t filter -A INPUT -s 192.168.1.111 -p tcp --dport 22 -j ACCEPT
>> iptables -t filter -A INPUT -s 192.168.1.51 -p tcp --dport 22 -j ACCEPT
>> # Р·Р°Р╨С─С▀С┌С▄ Р©Р╬ SSH
>> iptables -t filter -A INPUT -s 192.168.0.0/16 -p tcp --dport 22 -j DROP
>>
>> напиши вместо этого (на худой конец до этого)
>> # С─азС─Р╣С┬РёС┌С▄ Р╢Р╬С│С┌С┐Р© Р╪Р╫Р╣ Р©Р╬ 80 Р©Р╬С─С┌С┐, С│Р╩Р╣Р╢С┐С▌С┴Р╣Р╣ заЩС─Р╣С┌РёС┌ Р╡С│Р╣Р╪.
>> iptables -t filter -A INPUT -s 192.168.1.51 -j ACCEPT
>> iptables -t filter -A INPUT -s 192.168.0.0/16 -j DROP
>> чтобы запретить доступ всем из подсети 192.168.0.0/16 кроме
>> 192.168.1.51. Вот только пролистав ниже можно увидеть что
>> # РазС─Р╣С┬РёС┌С▄ С│Р╣С─Р╡Р╣С─С┐ Р╬Р╠С┴Р°С┌С▄С│С▐ С│ Р╡Р╫Р╣С┬Р╫РёР╪ Р╪РёС─Р╬Р╪
>> iptables -t filter -A INPUT -i $iface_world -j ACCEPT
>> iptables -t filter -A OUTPUT -o $iface_world -j ACCEPT
>> для "внешнего мира" (eth0) входной то и двери нет (дыра размером с
>> пару окон). Поэтому это стоит подправить на следующее
>> iptables -t filter -A INPUT -s 192.168.1.51 -j ACCEPT
>> iptables -t filter -A INPUT -j DROP
>> Тогда доступ будет закрыт вообще всем кроме 192.168.1.15
>>
>> А если вспомнить первое Ваше письмо где вы говорили что доступ надо
>> закрыть только 192.168.1.15 (сделать с точностью до наоборот), то
>> iptables -t filter -A INPUT -s !192.168.1.51 -j ACCEPT
>>
>> Надеюсь, данные "примеры" помогут Вам.
>>
>>
Слишком сложно для меня оказалось, то что я удумал :)
Задача такая:
Есть комп (ALD4) на нем сетевушка eth0 (192.168.2.5 маска 255.255.0.0)
ходит в и-нет и в сеть через эту же сетевушку. (шлюз и днс 192.168.1.1)
Хотел чтобы на нем и-нет работал, чтобы к нему заходили через самбу на зашареные ресурсы все с сети,
кроме некоторые (т.е. закрывать некоторым доступ по необходимости) чтобы некоторые заходили к нему по 80
и смотрели график загрузки интерфейса.
Прописал для начала:
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT DROP
iptables -t filter -A INPUT -d 127.0.0.1 -j ACCEPT
iptables -t filter -A OUTPUT -s 127.0.0.1 -j ACCEPT
iptables -t filter -A INPUT -s 192.168.1.51 -j ACCEPT
iptables -t filter -A OUTPUT -d 192.168.1.51 -j ACCEPT
iptables -t filter -A INPUT -j DROP
Чтобы просто разрешить с 192.168.1.51.
Перечитал мануал. http://gazette.linux.ru.net/rus/articles/iptables-tutorial.html
Доступ к и-нету пропал. И пока не додумался как сделать чтобы и-нет был на 192.168.2.5(этот фаерволл на нем) и по сети ходил к кому угодно, но чтобы не все имели доступ к нему.
next prev parent reply other threads:[~2007-10-06 12:00 UTC|newest]
Thread overview: 36+ messages / expand[flat|nested] mbox.gz Atom feed top
2007-10-03 13:55 Valery V. Rusnak
2007-10-03 13:58 ` Serge
2007-10-03 14:01 ` Peter V. Saveliev
2007-10-03 14:05 ` Valery V. Rusnak
2007-10-03 14:12 ` Timur Batyrshin
2007-10-03 14:17 ` Valery V. Rusnak
2007-10-03 14:19 ` Motsyo Gennadi aka Drool
2007-10-03 14:21 ` Andrii Dobrovol`s`kii
2007-10-03 14:34 ` Peter V. Saveliev
2007-10-03 14:36 ` Peter V. Saveliev
2007-10-03 15:30 ` Valery V. Rusnak
2007-10-03 15:43 ` Vyatcheslav Perevalov
2007-10-04 3:55 ` [Sysadmins] [JT] iptables Alex Karpov
2007-10-04 9:25 ` [Sysadmins] iptables Alexey Shabalin
2007-10-04 12:37 ` Valery V. Rusnak
2007-10-04 12:43 ` Serge Polkovnikov
2007-10-04 12:53 ` Andrii Dobrovol`s`kii
2007-10-04 13:32 ` Valery V. Rusnak
2007-10-04 14:21 ` Valery V. Rusnak
2007-10-04 15:07 ` Andrii Dobrovol`s`kii
2007-10-04 16:35 ` Valery V. Rusnak
2007-10-04 16:44 ` LIO
2007-10-04 16:37 ` LIO
2007-10-04 17:18 ` Valery V. Rusnak
2007-10-05 12:08 ` Andrii Dobrovol`s`kii
2007-10-06 12:00 ` Valery V. Rusnak [this message]
2007-10-06 14:47 ` Timur Batyrshin
2007-10-06 14:50 ` Vyatcheslav Perevalov
2007-10-06 15:59 ` Valery V. Rusnak
2007-10-06 16:06 ` Vyatcheslav Perevalov
2007-10-06 19:13 ` Valery V. Rusnak
2007-10-08 11:54 ` Vyatcheslav Perevalov
2007-10-09 10:33 ` Valery V. Rusnak
2007-10-09 11:55 ` Алексей Шенцев
2007-10-04 17:46 ` Mikhail A. Pokidko
2007-10-04 19:12 ` [Sysadmins] iptables - тестилки файрволов LIO
Reply instructions:
You may reply publicly to this message via plain-text email
using any one of the following methods:
* Save the following mbox file, import it into your mail client,
and reply-to-all from there: mbox
Avoid top-posting and favor interleaved quoting:
https://en.wikipedia.org/wiki/Posting_style#Interleaved_style
* Reply using the --to, --cc, and --in-reply-to
switches of git-send-email(1):
git send-email \
--in-reply-to=470778E5.7020302@ukr.net \
--to=xacan1@ukr.net \
--cc=sysadmins@lists.altlinux.org \
/path/to/YOUR_REPLY
https://kernel.org/pub/software/scm/git/docs/git-send-email.html
* If your mail client supports setting the In-Reply-To header
via mailto: links, try the mailto: link
ALT Linux sysadmins discussion
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/sysadmins/0 sysadmins/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 sysadmins sysadmins/ http://lore.altlinux.org/sysadmins \
sysadmins@lists.altlinux.org sysadmins@lists.altlinux.ru sysadmins@lists.altlinux.com
public-inbox-index sysadmins
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.sysadmins
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git