From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <mithraen@freesource.info>
Date: Thu, 27 Nov 2003 14:45:51 +0300
From: =?koi8-r?B?5MXOydMg883J0s7P1w==?= <mithraen@freesource.info>
To: community@altlinux.ru
Message-ID: <20031127114550.GA20228@localhost.localdomain>
References: <3FC34DE5.90405@ricom.ru>
	<20031126075223.GC11169@localhost.localdomain>
	<3FC47526.1050302@ricom.ru>
	<20031126125615.GB25325@localhost.localdomain>
	<3FC4C09B.7000903@ricom.ru>
	<20031127030251.GF30675@localhost.localdomain>
	<1695420140.20031127103015@gnk.krasnoyarsk.ru>
	<20031127040452.GA1581@localhost.localdomain>
	<10721165265.20031127145240@gnk.krasnoyarsk.ru>
Mime-Version: 1.0
Content-Type: multipart/signed; micalg=pgp-sha1;
	protocol="application/pgp-signature"; boundary="ZPt4rx8FFjLCG7dd"
Content-Disposition: inline
In-Reply-To: <10721165265.20031127145240@gnk.krasnoyarsk.ru>
Subject: [Comm] Re: Linux Gate
X-BeenThere: community@altlinux.ru
X-Mailman-Version: 2.1.3
Precedence: list
Reply-To: community@altlinux.ru
List-Id: <community.altlinux.ru>
List-Unsubscribe: <listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=unsubscribe>
List-Archive: </pipermail/community>
List-Post: <mailto:community@altlinux.ru>
List-Help: <mailto:community-request@altlinux.ru?subject=help>
List-Subscribe: <listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=subscribe>
X-List-Received-Date: Thu, 27 Nov 2003 12:16:38 -0000
Archived-At: <http://lore.altlinux.org/community/20031127114550.GA20228@localhost.localdomain/>
List-Archive: <http://lore.altlinux.org/community/>
List-Post: <mailto:mandrake-russian@linuxteam.iplabs.ru>


--ZPt4rx8FFjLCG7dd
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit

On Thu, Nov 27, 2003 at 02:52:40PM +0700, aek wrote:

 > Ок.
 > Попробуем дальше завернуть гайки?
 > /sbin/iptables -A INPUT  -p tcp --dport 20 -m state --state ESTABLISHED,RELATES -j ACCEPT
 > /sbin/iptables -A OUTPUT -p tcp --sport 20 -m state --state ESTABLISHED,RELATES -j ACCEPT

Не вижу смысла в дополнительных ограничениях здесь. Если уж мы установили
соединение, то никакого повода не пропускать по нему пакеты я не знаю. Так
что если --state ESTABLISHED, то пропускать однозначно. IMHO/

 > /sbin/iptables -A INPUT  -p tcp --dport 1024:65535 -m state --state ESTABLISHED,RELATES -j ACCEPT
 > /sbin/iptables -A OUTPUT -p tcp --sport 1024:65535 -m state --state ESTABLISHED,RELATES -j ACCEPT
 > /sbin/iptables -A OUTPUT -p tcp --sport 1024:65535 --dport 21 -j ACCEPT
 > или это бред?

А чем порты до 1024 лучше/хуже?

Уж если закручивать гайки, то с использованием -i/-o, масок подсетей,
и.т.д.
 
-- 
С уважением, Денис

http://freesource.info


--ZPt4rx8FFjLCG7dd
Content-Type: application/pgp-signature
Content-Disposition: inline

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)

iD8DBQE/xePuPuR8c4jhFKIRAv8FAKCrDYZ5LkPj/lcvvBCS+jgzEUZYaQCgmfnr
PWxrXGdSMjeQ/jmgG0tEquw=
=CpRb
-----END PGP SIGNATURE-----

--ZPt4rx8FFjLCG7dd--