From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Date: Thu, 27 Nov 2003 14:49:09 +0300 From: =?koi8-r?B?5MXOydMg883J0s7P1w==?= To: community@altlinux.ru Message-ID: <20031127114909.GB20228@localhost.localdomain> References: <3FC34DE5.90405@ricom.ru> <20031126075223.GC11169@localhost.localdomain> <3FC47526.1050302@ricom.ru> <20031126125615.GB25325@localhost.localdomain> <3FC4C09B.7000903@ricom.ru> <20031127030251.GF30675@localhost.localdomain> <1695420140.20031127103015@gnk.krasnoyarsk.ru> <20031127040452.GA1581@localhost.localdomain> <20031127080709.GH10424@osdn.org.ua> Mime-Version: 1.0 Content-Type: multipart/signed; micalg=pgp-sha1; protocol="application/pgp-signature"; boundary="uQr8t48UFsdbeI+V" Content-Disposition: inline In-Reply-To: <20031127080709.GH10424@osdn.org.ua> Subject: [Comm] Re: Linux Gate X-BeenThere: community@altlinux.ru X-Mailman-Version: 2.1.3 Precedence: list Reply-To: community@altlinux.ru List-Id: List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Thu, 27 Nov 2003 12:16:41 -0000 Archived-At: List-Archive: List-Post: --uQr8t48UFsdbeI+V Content-Type: text/plain; charset=koi8-r Content-Disposition: inline Content-Transfer-Encoding: 8bit On Thu, Nov 27, 2003 at 10:07:09AM +0200, Michael Shigorin wrote: > > > Напишите такиеже 3-4 строчки для ftp доступа куданьть > > > плиз, не поленитесь... > > /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATES -j ACCEPT > Еще полезно > -A INPUT -m state --state INVALID,NEW -j DROP Хм. Зачем? > и в конце (при этом chain policy == ACCEPT) > -A INPUT -j REJECT --reject-with icmp-host-unreachable А policy == ACCEPT зачем? > -- если не требуется именно дропать (большой паразитный трафик), > то это сделает наш файрвол внешне неотличимым от просто > открытых/закрытых портов. Я так делаю везде, где это внутри сети (то есть где траффик не считается и денег не стоит). На INPUT с интерфейса идущего в интернет у меня везде -j DROP. >> /sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATES -j ACCEPT > Это если и изнутри не все выпускать, тогда осмысленно. И то как > раз тогда -- не всегда =) А почему как раз тогда не всегда? Изнутри я, бывает, не всех и не везде пускаю. > > /sbin/iptables -A OUTPUT -p tcp -d 10.50.18.0/24 --dport 21 -j ACCEPT > > То есть если пакет принадлежит к уже установленому соединению -- > > пропустить. Если пакет это установка ftp-соединения -- пропустить. > Ну и подгрузить ip_conntrack_ftp не забыть все же. Да. > Кстати. Есть мысль, что если нет болтающегося identd -- > осмысленно сделать так для избежания таймаутов тех, кто пытается > в него стучаться (sendmail, ssh, ...): > -A INPUT -p tcp -m tcp --dport 113 -j REJECT --reject-with tcp-reset > PS: все это легко находится гооглем :) Есть такое дело. Каждый раз забываю, потом каждый раз с матюками прописываю :) -- С уважением, Денис http://freesource.info --uQr8t48UFsdbeI+V Content-Type: application/pgp-signature Content-Disposition: inline -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.3 (GNU/Linux) iD8DBQE/xeS0PuR8c4jhFKIRAhR6AJ4+NXPCXc9GdEuwhhe0f1x5sn0nuwCfXa5y PnIY3MggBHjmQvGXxyNnRnY= =Eis2 -----END PGP SIGNATURE----- --uQr8t48UFsdbeI+V--