[Comm] Помогите разобраться с iptables

[Comm] Помогите разобраться с iptables

[Juveman]

Разбираюсь с настройкой iptables. В связи с этим возникло пара вопросов.
Я пробую ограничить использование сети только протоколами http и ftp. ( я только разбираюсь с настройкой, поэтому целесообразность подобного шага не обсуждается :))
Для этого выполняю следующие команды:
iptables -A INPUT -p TCP -m multiport --sport 21,80 -j ACCEPT
iptables -A INPUT -p TCP -j REJECT
И вот здесь начинается самое интересное. Отрубаются практически все сетевые программы. Работает только браузер (в принципе как и было задумано). Но не работает ftp. То есть соединение с сервером происходит, успешно проходит авторизация (если нужна), но список файлов и каталогов фтп-клиент не получает. Начитавшись iptables-tutorial, разрешаю еще соединения с 20 порта. Ничего не меняется.
Там же в iptables-tutorial написано, что для с фтп через файерволл требуется дополнительный модуль ip_conntrack_ftp.
Выполняю modprobe -l 
/lib/modules/2.6.3-7mdk/kernel/net/ipv4/netfilter/ip_conntrack_ftp.ko.gz
Насколько я понимаю, этот модуль загружен. 
До введения этих правил соединения с фтп серверами проходили нормально. Подскажите, пожалуйста, как все-таки заставить работать фтп при таких настройках. 
И еще. Очень мне понравились действия icq, которая просто переползла на использование 80 порта (если верить netstat) и, соответственно, спокойно соединилась с сервером :)) Ей как-нибудь можно заблокировать выход в сеть?

----------
С уважением, Juveman

Re: [Comm] Помогите разобраться с iptables

[Andrey Brindeew]

[-- Attachment #1: Type: text/plain, Size: 1080 bytes --]

On Sat, May 29, 2004 at 12:34:46PM +0400, Juveman wrote:
> Там же в iptables-tutorial написано, что для с фтп через файерволл требуется дополнительный модуль ip_conntrack_ftp.
> Выполняю modprobe -l 
> /lib/modules/2.6.3-7mdk/kernel/net/ipv4/netfilter/ip_conntrack_ftp.ko.gz
> Насколько я понимаю, этот модуль загружен. 

lsmod подскажет точнее.

> До введения этих правил соединения с фтп серверами проходили нормально. Подскажите, пожалуйста, как все-таки заставить работать фтп при таких настройках. 

> И еще. Очень мне понравились действия icq, которая просто переползла
> на использование 80 порта (если верить netstat) и, соответственно,
> спокойно соединилась с сервером :)) Ей как-нибудь можно заблокировать
> выход в сеть?

Это не очень тривиально, но можно. А вообще в организации нужно держать
один прокси-сервер и запретить вообще наружу коннекты. А на прокси
открывается только http и ftp и персонально запрещаются все подсети
mirabilis'а. :-)

-- 
WBR, Andrey Brindeew.
"No one person can understand Perl culture completely"
(C) Larry Wall.

[-- Attachment #2: Type: application/pgp-signature, Size: 245 bytes --]

Re: [Comm] Помогите разобраться с iptables

[Dmitry Lebkov]

On Sat, 29 May 2004 12:34:46 +0400
Juveman <juveman@atom.ru> wrote:

> Разбираюсь с настройкой iptables. В связи с этим возникло
> пара вопросов. Я пробую ограничить использование сети только
> протоколами http и ftp. (я только разбираюсь с настройкой,
> поэтому целесообразность подобного шага не обсуждается :))
> Для этого выполняю следующие команды:

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

> iptables -A INPUT -p TCP -m multiport --sport 21,80 -j ACCEPT

iptables -A INPUT -p TCP -m multiport --sport 20,21,80 -j ACCEPT

> iptables -A INPUT -p TCP -j REJECT

> И вот здесь начинается самое интересное. Отрубаются практически
> все сетевые программы. Работает только браузер (в принципе как
> и было задумано). Но не работает ftp. То есть соединение с
> сервером происходит, успешно проходит авторизация (если нужна),
> но список файлов и каталогов фтп-клиент не получает. Начитавшись
> iptables-tutorial, разрешаю еще соединения с 20 порта. Ничего не
> меняется.
> Там же в iptables-tutorial написано, что для с фтп через файерволл
> требуется дополнительный модуль ip_conntrack_ftp.
> Выполняю modprobe -l 
> /lib/modules/2.6.3-7mdk/kernel/net/ipv4/netfilter/ip_conntrack_ftp.ko.gz
> Насколько я понимаю, этот модуль загружен. 

Для использования функциональности этого модуля необходимо
задействовать правила с использованием модулья state и фильтровать
соответствующие состояния соединений.

> До введения этих правил соединения с фтп серверами проходили нормально.
> Подскажите, пожалуйста, как все-таки заставить работать фтп при таких
> настройках. И еще. Очень мне понравились действия icq, которая просто
> переползла на использование 80 порта (если верить netstat) и,
> соответственно, спокойно соединилась с сервером :)) Ей как-нибудь
> можно заблокировать выход в сеть?

Блокировкой всех ip-адресов login.icq.com?

--
WBR, Dmitry Lebkov