[Comm] простой вопрос по iptables

[Comm] простой вопрос по iptables

[Отдел АСУ и НЭО]

  Мой опыт администрирования Линукс очень беден, поэтому
заранее прошу прощения за глупые (возможно) вопросы.

  Уже почти год как запустил сервер доступа в Инет. (Alt Linux Master 2.2)
2 сет. карты: одна в Инет смотрит (10.0.0.42) вторая внутрь (10.254.0.1).
Маршрутизация отключена, iptables не трогал вообще.
Настроено dhcp и squid, также почтовые серверы, доставка внешн. чер. 
fetchmail.
Т.е. полный доступ в Инет имеем только с сервера. Пользователи только почту
и http через прокси.

Теперь нужно подключить главного бухгалтера (10.254.0.5). У нее будут 
установлены
клиент банки, они работают через определенные порты.

Пожалуйста скажите как настроить iptables чтобы клиент банки с этого 
компьютера
работали, а во всем остальном все для всех было закрыто как и раньше. 
Желательно
привязку делать не через ip а через mac.

Думаю такой скрипт iptables совершенно прост для большинства Линуксоидов,
а мне во первых не парится (вот когда нить  сяду и выучу доки на 
iptables ;-) )
во вторых я могу сделать тупую ошибку в настройке и нарушить 
безопасность сети
(что очень не хотелось бы).
В любом случае мне очень нравится Линукс (я год ломал руководство, чтоб 
сервер
ни нем сделать), а опыт придет :-)

Антон.

Re: [Comm] простой вопрос по iptables

[Mike Lykov]

В сообщении от Вторник 21 Декабрь 2004 18:39 Отдел АСУ и НЭО написал:
>   Мой опыт администрирования Линукс очень беден, поэтому
> заранее прошу прощения за глупые (возможно) вопросы.

вопросы обычные , и вполне укладываются в чтение

http://gazette.lrn.ru/rus/articles/index-iptables-tutorial.html

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [Comm] простой вопрос по iptables

[Отдел АСУ и НЭО]

Mike Lykov пишет:

>В сообщении от Вторник 21 Декабрь 2004 18:39 Отдел АСУ и НЭО написал:
>  
>
>>  Мой опыт администрирования Линукс очень беден, поэтому
>>заранее прошу прощения за глупые (возможно) вопросы.
>>    
>>
>
>вопросы обычные , и вполне укладываются в чтение
>
>http://gazette.lrn.ru/rus/articles/index-iptables-tutorial.html
>
>  
>

Угу, сижу читаю. Но готовый скрипт был бы кстати (подозреваю, что он 
будет то
строчек 3-5)
Просто сейчас от меня требуют сделать, а читать и наслаждаться я лучше 
потом буду :-)
Еще побаиваюсь, что разберусь, все сделаю, а сделаю дыряво.


Антон.

Re: [Comm] простой вопрос по iptables

[Alexey Morsov]

Отдел АСУ и НЭО wrote:

> Mike Lykov пишет:
>
>> В сообщении от Вторник 21 Декабрь 2004 18:39 Отдел АСУ и НЭО написал:
>>  
>>
>>>  Мой опыт администрирования Линукс очень беден, поэтому
>>> заранее прошу прощения за глупые (возможно) вопросы.
>>>   
>>
>>
>> вопросы обычные , и вполне укладываются в чтение
>>
>> http://gazette.lrn.ru/rus/articles/index-iptables-tutorial.html
>>
>>  
>>
>
> Угу, сижу читаю. Но готовый скрипт был бы кстати (подозреваю, что он 
> будет то
> строчек 3-5)
> Просто сейчас от меня требуют сделать, а читать и наслаждаться я лучше 
> потом буду :-)
> Еще побаиваюсь, что разберусь, все сделаю, а сделаю дыряво.

Чего там дырявить то...
iptables -A FORWARD -p tcp -s $IP_OF_BUCH -d $IP_OF_BANK --dport 
$PORT_OF_BANK -m --mac-source $MAC_OF_BUCH -j ACCEPT
iptables -A FORWARD -p tcp -s $IP_OF_BANK --sport $PORT_OF_BANK -d 
$IP_OF_BUCH -m --state ESTABLISHED,RELATED -j ACCEPT

И всЁ....  (писал по памяти так что мог синтаксис где-то ляпнуть... см. 
man iptables)

-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
ICQ: 196766290
Jabber: Samurai@jabber.pibhe.com
http://www.ricom.ru
http://www.fondmarket.ru 

Re: [Comm] простой вопрос по iptables

[Maxim Tyurin]

Alexey Morsov <samurai@ricom.ru> writes:
\scip
> Чего там дырявить то...
> iptables -A FORWARD -p tcp -s $IP_OF_BUCH -d $IP_OF_BANK --dport
> $PORT_OF_BANK -m --mac-source $MAC_OF_BUCH -j ACCEPT
> iptables -A FORWARD -p tcp -s $IP_OF_BANK --sport $PORT_OF_BANK -d
> $IP_OF_BUCH -m --state ESTABLISHED,RELATED -j ACCEPT
>
> И всЁ....  (писал по памяти так что мог синтаксис где-то
> ляпнуть... см. man iptables)

Изначально говорилось что iptables вообще не используется так что
дырявить там просто нечего.
Еще минимум докинуть:
iptables -P INPUT DROP
iptables -A INPUT -i $LOCAL_NET_IFACE -j ACCEPT
iptables -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p UDP --source-port 53 -j ACCEPT
iptables -A INPUT -p ICMP -j ACCEPT
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: [Comm] простой вопрос по iptables

[Alexey Morsov]

Maxim Tyurin wrote:

>Alexey Morsov <samurai@ricom.ru> writes:
>\scip
>  
>
>>Чего там дырявить то...
>>iptables -A FORWARD -p tcp -s $IP_OF_BUCH -d $IP_OF_BANK --dport
>>$PORT_OF_BANK -m --mac-source $MAC_OF_BUCH -j ACCEPT
>>iptables -A FORWARD -p tcp -s $IP_OF_BANK --sport $PORT_OF_BANK -d
>>$IP_OF_BUCH -m --state ESTABLISHED,RELATED -j ACCEPT
>>
>>И всЁ....  (писал по памяти так что мог синтаксис где-то
>>ляпнуть... см. man iptables)
>>    
>>
>
>Изначально говорилось что iptables вообще не используется так что
>дырявить там просто нечего.
>Еще минимум докинуть:
>iptables -P INPUT DROP
>iptables -A INPUT -i $LOCAL_NET_IFACE -j ACCEPT
>iptables -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
>iptables -A INPUT -p UDP --source-port 53 -j ACCEPT
>iptables -A INPUT -p ICMP -j ACCEPT
>  
>
Пардон - невнимательно прочел... ну тогда наверное еще SNAT и forwarding ;)

-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
ICQ: 196766290
Jabber: Samurai@jabber.pibhe.com
http://www.ricom.ru
http://www.fondmarket.ru 

Re: [Comm] простой вопрос по iptables

[Maxim Tyurin]

Отдел АСУ и НЭО <asu@ritm.msk.ru> writes:

>   Мой опыт администрирования Линукс очень беден, поэтому
> заранее прошу прощения за глупые (возможно) вопросы.
>
>   Уже почти год как запустил сервер доступа в Инет. (Alt Linux Master 2.2)
> 2 сет. карты: одна в Инет смотрит (10.0.0.42) вторая внутрь (10.254.0.1).
> Маршрутизация отключена, iptables не трогал вообще.

Вот это зря. 

> Настроено dhcp и squid, также почтовые серверы, доставка
> внешн. чер. fetchmail.
> Т.е. полный доступ в Инет имеем только с сервера. Пользователи только почту
> и http через прокси.
>
> Теперь нужно подключить главного бухгалтера (10.254.0.5). У нее будут
> установлены
> клиент банки, они работают через определенные порты.

Сделать SNAT на нужные порты.
В iptables-tutorial нет ничего сложного и есть нормальный перевод на
русский. Прочитайте в жизни пригодится.

-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com