From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Thu, 11 Nov 2004 16:34:26 +0200 From: "Alexey S. Kuznetsov" X-Mailer: The Bat! (v3.0.1.33) UNREG / CD5BF9353B3B7091 X-Priority: 3 (Normal) Message-ID: <1724778480.20041111163426@vostok.net.ua> To: Ivanov Maxim Subject: =?koi8-r?Q?Re=5B3=5D=3A_=5BComm=5D_IPtables_=D7=CF=D0=D2=CF=D3?= In-Reply-To: <1492128671.20041111171725@amos.ru> References: <135803209.20041111162241@amos.ru> <688962595.20041111153304@vostok.net.ua> <1492128671.20041111171725@amos.ru> MIME-Version: 1.0 Content-Type: text/plain; charset=koi8-r Content-Transfer-Encoding: 8bit X-BeenThere: community@altlinux.ru X-Mailman-Version: 2.1.5 Precedence: list Reply-To: community@altlinux.ru List-Id: Mailing list for ALT Linux users List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Thu, 11 Nov 2004 14:34:24 -0000 Archived-At: List-Archive: List-Post: Hello! Вы писали 11 листопада 2004 р., 16:17:25: > Здравствуйте, Alexey. > Вы писали 11 ноября 2004 г., 16:33:04: >> Hello! >> Вы писали 11 листопада 2004 р., 15:22:41: >>> Здравствуйте, community. >>> На серваке (он же шлюз в интернет) есть почтовый сервер - две сетвухи >>> - eth0 и eth1 - соответственно вовнутрь и наружу. >>> Хочу сделать так, чтобы только этот сервер и только он мог ходить по >>> 25 порту (SMTP), принимать запросы на 110-й (POP3) только изнутри сети >>> и убивать все остальные запросы на eth1 относительно коннекта на >>> 110-й порт. >>> пишу: >>> $IPT -A INPUT -p TCP -i $LOCAL_IFACE --destination-port 25 -j ACCEPT >>> $IPT -A INPUT -p TCP -i $LOCAL_IFACE --destination-port 110 -j ACCEPT >>> $IPT -A INPUT -p TCP -i $INET_IFACE --destination-port 25 -j ACCEPT >>> $IPT -A INPUT -p TCP -i $INET_IFACE --destination-port 110 -j DROP >>> Но закралась подленькая мыслишка: а не требуется ли еще и переброс >>> портов делать с внешнего интерфейса на внутренний? Ну типа >>> $IPT -A FORWARD -p TCP -i $INET_IFACE --destanation-port 25 \ >>> --destanation 192.168.0.65 -j ACCEPT >>> $IPT -A FORWARD -p TCP -i $INET_IFACE --destanation-port 25 ACCEPT >>> $IPT -t NAT -A PREROUTING -p TCP -i $INET_IFACE -dport 25:25 \ >>> --to-destination 192.168.0.65:25 >>> $IPT -t NAT -A PREROUTING -p TCP -i $LOCAL_IFACE -dport 25:25 \ >>> --destination $INET_ADDRESS -j DNAT --to-destination 192.168.0.65:25 >>> Это часом уже не бред попер? >> пиши iptables -A INPUT -s !$INT_NET -d $INT_IP -p tcp --dport 25 -j ACCEPT >> -//- --dport 110 -j ACCEPT > Тут точно ACCEPT а не DROP или REJECT ??? Это 110-й порт... сори немного не так. я ошибся выше: 1. iptables -A INPUT -s $INT_NET -d $INT_IP -p tcp --dport 25 -j ACCEPT 2. iptables -A INPUT -s $INT_NET -d $INT_IP -p tcp --dport 110 -j ACCEPT 3. iptables -A INPUT -s 0/0 -d $INET_IP -p tcp --dport 25 -j ACCEPT 4. iptables -A INPUT -s 0/0 -d $INET_IP -p tcp --dport 110 -j REJECT а после этих правил можешь всем всё закрывать по этим портам. >> iptables -A input -s 0/0 -d $INET_IP -p tcp --dport 25 -j ACCEPT >> iptables -A input -s 0/0 -d $INET_IP -p tcp --dport 110 -j REJECT -- Sincerely, Alexey S. Kuznetsov AK2351-RIPE