[Comm] iptables + ppp0 +

[Comm] iptables + ppp0 +

[Vitaly Gorshkov]

АМ 2.4 + backports + updates ( месячной давности)

ppp0 поднимается через pptptunnel.

 в /etc/sysconfig/iptables, записи типа:
-A POSTROUTING -p tcp -m tcp -s 172.16.0.0/24 -o ppp0 -j SNAT
--to-source х.х.х.х

после перегрузки системы - правила iptables не работают.
чтобы заработали - захожу через webmin - и жму кнопку применить.

можно как нить сделать чтобы правила iptables - работали сразу?

-- 
С уважением,
 Vitaly                          mailto:vita55555@mail.ru
icq: 138491970

Re: [Comm] iptables + ppp0 +

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 11:03 Vitaly Gorshkov написал(a):
> можно как нить сделать чтобы правила iptables - работали сразу?
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Чини разборки с webmin'ом !!!!!!!!!!! У тебя правила исполняются сначала 
iptables из /etc/sysconfig/iptables. А потом стартует сам webmin, который 
применяет свои правила, хранимые в /etc/webmin/firewall/iptables.save. 
На выбор: 1) настрой webmin на хранение правил в одном месте с iptables 
в /etc/sysconfig/iptables; 2) используй запуск файервола именно webmin'ом, а 
автозапуск iptables отключи: #chkconfig --level 345 iptables off . Я бы 
предпочёл первое.
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 +

[Vitaly Gorshkov]

Здравствуйте, Шенцев.

Вы писали 10 марта 2006 г., 11:12:17:

ШАВ> В сообщении от 10 марта 2006 11:03 Vitaly Gorshkov написал(a):
>> можно как нить сделать чтобы правила iptables - работали сразу?
ШАВ> ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
ШАВ> Чини разборки с webmin'ом !!!!!!!!!!! У тебя правила исполняются сначала
ШАВ> iptables из /etc/sysconfig/iptables. А потом стартует сам webmin, который
ШАВ> применяет свои правила, хранимые в
ШАВ> /etc/webmin/firewall/iptables.save.

     пусто тута:
 ls /etc/webmin/firewall
 config

 имхо webmin берет настройки отсюда:  /etc/sysconfig/iptables


-- 
С уважением,
 Vitaly                          mailto:vita55555@mail.ru

Re: [Comm] iptables + ppp0 +

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 12:55 Vitaly Gorshkov написал(a):
>      пусто тута:
>  ls /etc/webmin/firewall
>  config
>
>  имхо webmin берет настройки отсюда:  /etc/sysconfig/iptables
Хорошо, зайди на http://<твой сервер>:10000/firewall/ или https://<твой 
сервер>:10000/firewall/ , как у тебя настроено и посмотри, что он выдаёт.
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 13:09:46 +0300
Шенцев Алексей Владимирович wrote:

> В сообщении от 10 марта 2006 12:55 Vitaly Gorshkov написал(a):
> >      пусто тута:
> >  ls /etc/webmin/firewall
> >  config
> >
> >  имхо webmin берет настройки отсюда:  /etc/sysconfig/iptables
> Хорошо, зайди на http://<твой сервер>:10000/firewall/ или https://<твой 
> сервер>:10000/firewall/ , как у тебя настроено и посмотри, что он выдаёт.



--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 13:09:46 +0300
Шенцев Алексей Владимирович wrote:

> В сообщении от 10 марта 2006 12:55 Vitaly Gorshkov написал(a):
> >      пусто тута:
> >  ls /etc/webmin/firewall
> >  config
> >
> >  имхо webmin берет настройки отсюда:  /etc/sysconfig/iptables
> Хорошо, зайди на http://<твой сервер>:10000/firewall/ или https://<твой 
> сервер>:10000/firewall/ , как у тебя настроено и посмотри, что он выдаёт.
Сорри .... Предыдущее письмо слишком быстро убежало ...
Хотел сказать, что утилиты типа webmin часто приводят к печальным
последствиям, так как отстают от версий пакетов или работают по
шаблонам, которые добрые дяди посчитали правильными ...
А это не наш метод ...
А посему руками и головой .... 
Иначе получится совсем не то, чего вам хочется ...


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 13:18 Dmitriy L. Kruglikov написал(a):
> Сорри .... Предыдущее письмо слишком быстро убежало ...
Бывает ... ;)
> Хотел сказать, что утилиты типа webmin часто приводят к печальным
> последствиям, так как отстают от версий пакетов или работают по
> шаблонам, которые добрые дяди посчитали правильными ...
Да я им не пользуюсь почти. В основном из-за: 1) добавленный webmin'ом 
пользователь получается "кривым", так как у нас используется модель tcb 
(вроде правильно назвал); 2) webmin не поддерживает etcnet. А это для меня в 
первую очередь важно.
> А это не наш метод ...
> А посему руками и головой ....
Ага, особенно когда сервер чёрт знает где ... ;)
> Иначе получится совсем не то, чего вам хочется ...
Ну это получается и тогда, когда чётко не представляешь себе что хочешь 
получить и как этого добиться ... ;)
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 13:37:39 +0300
Шенцев Алексей Владимирович wrote:


> > А посему руками и головой ....
> Ага, особенно когда сервер чёрт знает где ... ;)
Ну .... Тогда головой трижды, а руками - один раз ...
И больше ни каких различий :)

Хотя, различия будут в скорости отрисовки на экране :)

--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 13:52 Dmitriy L. Kruglikov написал(a):
> On Fri, 10 Mar 2006 13:37:39 +0300
>
> Шенцев Алексей Владимирович wrote:
> > > А посему руками и головой ....
> >
> > Ага, особенно когда сервер чёрт знает где ... ;)
>
> Ну .... Тогда головой трижды, а руками - один раз ...
> И больше ни каких различий :)
>
> Хотя, различия будут в скорости отрисовки на экране :)
А вот из-за этого именно webmin удобен. Я так и не понял, как получить 
удалённый доступ к серверу через X-сы, при этом не запуская иксы на 
серваке ... :[
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 14:00:28 +0300
Шенцев Алексей Владимирович wrote:

> Я так и не понял, как получить 
> удалённый доступ к серверу через X-сы, при этом не запуская иксы на 
> серваке ... :[
Это элементарно !!!!!!
По SSH заходишь?
Вот ... только говоришь не ssh server, а ssh -X server ...
После того, как авторизовался на сервере просто в терминале набираешь
команду...
Например:
localhost$ ssh -X server
server$ sudo su
server# synaptic
И у тебя на экране удаленный synaptic ...

При этом рисуется ТОЛЬКО synaptic, 
в отличие от всевозможных VNC, RDP, etc...



--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 14:26 Dmitriy L. Kruglikov написал(a):
> Это элементарно !!!!!!
> По SSH заходишь?
> Вот ... только говоришь не ssh server, а ssh -X server ...
> После того, как авторизовался на сервере просто в терминале набираешь
> команду...
> Например:
> localhost$ ssh -X server
> server$ sudo su
> server# synaptic
> И у тебя на экране удаленный synaptic ...
>
> При этом рисуется ТОЛЬКО synaptic,
> в отличие от всевозможных VNC, RDP, etc...
Ага, попробую ... ;) Спасибо ... ;) Если так всё нормально получиться, ну его 
к чёрту этот webmin ... ;)
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 14:35:05 +0300
Шенцев Алексей Владимирович wrote:

> Ага, попробую ... ;) Спасибо ... ;) Если так всё нормально получиться, ну его 
> к чёрту этот webmin ... ;)
Только не пытайся наступить на те же грабли...
Вместо вэб интерфейса к конфигам, запускать другой графический ...
У крутых админов интерфейсом к конфигам является VI...
У меня, глупого, МС + F4 ...
В качестве самолюбования - joe .... А VI я так и не осилил :)


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 14:48 Dmitriy L. Kruglikov написал(a):
> On Fri, 10 Mar 2006 14:35:05 +0300
>
> Шенцев Алексей Владимирович wrote:
> > Ага, попробую ... ;) Спасибо ... ;) Если так всё нормально получиться, ну
> > его к чёрту этот webmin ... ;)
>
> Только не пытайся наступить на те же грабли...
> Вместо вэб интерфейса к конфигам, запускать другой графический ...
> У крутых админов интерфейсом к конфигам является VI...
> У меня, глупого, МС + F4 ...
Дык, по другому и не собираюсь делать. А vi можно же указать в качестве 
редактора для mc ... ;) Только ну его, этот vi ... :)


-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 + [JT] :)

[Damir Shayhutdinov]

On Fri, Mar 10, 2006 at 02:56:11PM +0300, Шенцев Алексей Владимирович wrote:
> В сообщении от 10 марта 2006 14:48 Dmitriy L. Kruglikov написал(a):
> > On Fri, 10 Mar 2006 14:35:05 +0300
> >
> > Шенцев Алексей Владимирович wrote:
> > > Ага, попробую ... ;) Спасибо ... ;) Если так всё нормально получиться, ну
> > > его к чёрту этот webmin ... ;)
> >
> > Только не пытайся наступить на те же грабли...
> > Вместо вэб интерфейса к конфигам, запускать другой графический ...
> > У крутых админов интерфейсом к конфигам является VI...
> > У меня, глупого, МС + F4 ...
> Дык, по другому и не собираюсь делать. А vi можно же указать в качестве 
> редактора для mc ... ;) Только ну его, этот vi ... :)
Правильно. Используйте vim :) Или даже gvim.

hint: vimtutor

Я вот уже три года пользуюсь vi(m) для редактирования, начиная с busybox
vi на встраиваемой железке и заканчивая gvim для Windows :) Очень удобно,
однажды приобретенные навыки полезны везде.

-- 
WBR,
Damir Shayhutdinov

Re: [Comm] iptables + ppp0 +

[Michael Shigorin]

On Fri, Mar 10, 2006 at 01:48:25PM +0200, Dmitriy L. Kruglikov wrote:
> У крутых админов интерфейсом к конфигам является VI...
> У меня, глупого, МС + F4 ...
> В качестве самолюбования - joe .... А VI я так и не осилил :)

Не надо его осиливать, лучше apt-get install vim и пройти
игрушку по имени vimtutor.  /bin/vi после этого переносить 
тоже можно, но он жутко неудобный... (да и не должен таким 
быть, его дело -- выжить в максимальном проценте ситуаций
и быть под рукой в качестве хоть какого-то интерактивного 
средства исправления таковых)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] iptables + ppp0 +

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 14:26 Dmitriy L. Kruglikov написал(a):
> On Fri, 10 Mar 2006 14:00:28 +0300
>
> Шенцев Алексей Владимирович wrote:
> > Я так и не понял, как получить
> > удалённый доступ к серверу через X-сы, при этом не запуская иксы на
> > серваке ... :[
>
> Это элементарно !!!!!!
> По SSH заходишь?
> Вот ... только говоришь не ssh server, а ssh -X server ...
> После того, как авторизовался на сервере просто в терминале набираешь
> команду...
> Например:
> localhost$ ssh -X server
> server$ sudo su
> server# synaptic
> И у тебя на экране удаленный synaptic ...
Напомни как правильно настроить /etc/sudoers ? А то мне сервак говорит, что я 
не в sudoers файле ... ;)
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 +

[Genix]

Шенцев Алексей Владимирович wrote:
> Напомни как правильно настроить /etc/sudoers ? А то мне сервак говорит, что я 
> не в sudoers файле ... ;)

зависит от задачи, у вот например разрешено все:
ashen   ALL=(ALL) ALL

есть и другие ограничения -- см. ман

P.$.: пойдем в sysadmins@


-- 
У каждого в башке свои тараканы...

[Comm] и вообще -- Adm... :)

[Michael Shigorin]

On Fri, Mar 10, 2006 at 03:23:01PM +0300, Genix wrote:
> Шенцев Алексей Владимирович wrote:
> > Напомни как правильно настроить /etc/sudoers ?
> P.$.: пойдем в sysadmins@

Hint: крайне правильное предложение.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 15:19:59 +0300
Шенцев Алексей Владимирович wrote:

> Напомни как правильно настроить /etc/sudoers ? А то мне сервак говорит, что я 
> не в sudoers файле ... ;)
У меня прописано так:

username ALL=(ALL) NOPASSWD:ALL

Что значить:
Пользователю username дадены права выполнять все команды со всех хостов
и, при этом, без пароля: все команды.

Тут же можно попрописывать ограничения по хостам, командам и т.д. ...
Но я уже не помню, как ...


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 15:28 Dmitriy L. Kruglikov написал(a):
> username ALL=(ALL) NOPASSWD:ALL
>
> Что значить:
> Пользователю username дадены права выполнять все команды со всех хостов
> и, при этом, без пароля: все команды.
>
> Тут же можно попрописывать ограничения по хостам, командам и т.д. ...
> Но я уже не помню, как ...
Спасибо, иное мне и не надо. Пока не надо ... ;)
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 +

[Genix]

Шенцев Алексей Владимирович wrote:

> Напомни как правильно настроить /etc/sudoers ? А то мне сервак говорит, что я 
> не в sudoers файле ... ;)

кстати, вот еще:

"В связи с обнаруженными проблемы безопасности в sudo рекомендуется 
добавить в /etc/sudoers строку Defaults env_reset
и исправить всё, что перестанет работать :)"

(с) взято с  http://wiki.sisyphus.ru/changes/archive

-- 
У каждого в башке свои тараканы...

Re: [Comm] [JT] sudoers

[Шенцев Алексей Владимирович]

В сообщении от 10 марта 2006 15:42 Genix написал(a):
> кстати, вот еще:
>
> "В связи с обнаруженными проблемы безопасности в sudo рекомендуется
> добавить в /etc/sudoers строку Defaults env_reset
> и исправить всё, что перестанет работать :)"
>
> (с) взято с  http://wiki.sisyphus.ru/changes/archive
Спасибо. Всё получилось. Всё получилось. Ты прав, пошли в sysadmins@, а то 
ветка ушла совсем в другую строну ... ;) 
-- 
С уважением, Шенцев Алексей Владимирович (AShen)
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 11:03:34 +0300
Vitaly Gorshkov wrote:

> 
>  в /etc/sysconfig/iptables, записи типа:
> -A POSTROUTING -p tcp -m tcp -s 172.16.0.0/24 -o ppp0 -j SNAT
> --to-source х.х.х.х
> 
Правила iptables работают для реально существующих интерфейсов и
адресов, которые существуют на момент поднятия iptables.
Для интерфейсов ppp+ рекомендуют не SNAT а маскарадинг...

Или пиши свои правила в /etc/ppp/ifup ...



--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Olvin]

Dmitriy L. Kruglikov wrote:
>> в /etc/sysconfig/iptables, записи типа:
>>-A POSTROUTING -p tcp -m tcp -s 172.16.0.0/24 -o ppp0 -j SNAT
>>--to-source х.х.х.х
> Правила iptables работают для реально существующих интерфейсов и
> адресов, которые существуют на момент поднятия iptables.
> Для интерфейсов ppp+ рекомендуют не SNAT а маскарадинг...
> Или пиши свои правила в /etc/ppp/ifup ...

т.е. хотите сказать, что

iptables -A INPUT -i ppp+ -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -i ppp+ -j DROP

Ничего не даст, если я ещё не прозвонился в инет через своего 
провайдера? Т.е. это не прикроет всё, кроме 22-го порта?

А этот пример, кстати, из руководства по настройке сети в ALM2.4.

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 11:03:24 +0200
Olvin wrote:

> Dmitriy L. Kruglikov wrote:
> >> в /etc/sysconfig/iptables, записи типа:
> >>-A POSTROUTING -p tcp -m tcp -s 172.16.0.0/24 -o ppp0 -j SNAT
> >>--to-source х.х.х.х
> > Правила iptables работают для реально существующих интерфейсов и
> > адресов, которые существуют на момент поднятия iptables.
> > Для интерфейсов ppp+ рекомендуют не SNAT а маскарадинг...
> > Или пиши свои правила в /etc/ppp/ifup ...
> 
> т.е. хотите сказать, что
> 
> iptables -A INPUT -i ppp+ -p tcp --dport 22 -j ACCEPT
> iptables -A INPUT -i ppp+ -j DROP
> 
> Ничего не даст, если я ещё не прозвонился в инет через своего 
> провайдера? Т.е. это не прикроет всё, кроме 22-го порта?
Даст ...
А вот -j SNAT --to-source х.х.х.х
не даст, потому как этого адреса не существует до поднятия интерфейса.

--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Alexey Novikov]

10.03.2006 12:53, Dmitriy L. Kruglikov пишет:
> On Fri, 10 Mar 2006 11:03:24 +0200
> Olvin wrote:
>> т.е. хотите сказать, что
>>
>> iptables -A INPUT -i ppp+ -p tcp --dport 22 -j ACCEPT
>> iptables -A INPUT -i ppp+ -j DROP
>>
>> Ничего не даст, если я ещё не прозвонился в инет через своего 
>> провайдера? Т.е. это не прикроет всё, кроме 22-го порта?
> Даст ...
> А вот -j SNAT --to-source х.х.х.х
> не даст, потому как этого адреса не существует до поднятия интерфейса.
Насколько я понимаю, для iptables это по-барабану, т.к. там лишь
подмена адреса. Дело в другом, если ip-адрес выдается динамически,
а это ИМХО почти всегда на модемных соединениях, то x.x.x.x это
далеко не обязательно тот адрес который вым выдаст провайдер в
следующий раз.

-- 
WBR, Alexey Novikov
----------------------
JID: alex-novikov at jabber dot ru

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 13:57:58 +0300
Alexey Novikov wrote:

> Насколько я понимаю, для iptables это по-барабану, т.к. там лишь
> подмена адреса. Дело в другом, если ip-адрес выдается динамически,
> а это ИМХО почти всегда на модемных соединениях, то x.x.x.x это
> далеко не обязательно тот адрес который вым выдаст провайдер в
> следующий раз.
Именно по этой причине не SNAT, а маскарадинг ...



--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 575 bytes --]

* Olvin <olvin@> [060310 11:57]:
> т.е. хотите сказать, что

> iptables -A INPUT -i ppp+ -p tcp --dport 22 -j ACCEPT
> iptables -A INPUT -i ppp+ -j DROP

> Ничего не даст, если я ещё не прозвонился в инет через своего 
> провайдера? Т.е. это не прикроет всё, кроме 22-го порта?
Даст.  "ppp+" это не ссылка на интерфейс, а маска, имеющая в виду
"все интерфейсы начинающиеся на 'ppp'".

-- 
Regards, Alexey I. Froloff
AIF5-RIPN, AIF5-RIPE
-------------------------------------------
  Inform-Mobil, Ltd. System Administrator
       http://www.inform-mobil.ru/

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 191 bytes --]

Re: [Comm] iptables + ppp0 +

[Vitaly Gorshkov]

Здравствуйте, Dmitriy.

Вы писали 10 марта 2006 г., 11:42:59:

DLK> On Fri, 10 Mar 2006 11:03:34 +0300
DLK> Vitaly Gorshkov wrote:

>> 
>>  в /etc/sysconfig/iptables, записи типа:
>> -A POSTROUTING -p tcp -m tcp -s 172.16.0.0/24 -o ppp0 -j SNAT
>> --to-source х.х.х.х
>> 
DLK> Правила iptables работают для реально существующих интерфейсов и
DLK> адресов, которые существуют на момент поднятия iptables.
DLK> Для интерфейсов ppp+ рекомендуют не SNAT а маскарадинг...


а если вот такое еще:
[3:144] -A PREROUTING -i ppp0 -p tcp -m tcp --dport 3389 -j DNAT
--to-destination 172.16.0.х:3389


DLK> Или пиши свои правила в /etc/ppp/ifup ...

 тут:  /etc/ppp/ip-up написано:
# This file should not be modified -- make local changes to
# /etc/ppp/ip-up.local instead

этого файла у меня нет.
т.е. мне его нужно создать?


 




-- 
С уважением,
 Vitaly                          mailto:vita55555@mail.ru

Re: [Comm] iptables + ppp0 +

[Aleksander N. Gorohovski]

On Fri, 10 Mar 2006 08:03:34 -0000, Vitaly Gorshkov wrote:

> АМ 2.4 + backports + updates ( месячной давности)
>
> ppp0 поднимается через pptptunnel.
>
>  в /etc/sysconfig/iptables, записи типа:
> -A POSTROUTING -p tcp -m tcp -s 172.16.0.0/24 -o ppp0 -j SNAT
> --to-source х.х.х.х
>
> после перегрузки системы - правила iptables не работают.
> чтобы заработали - захожу через webmin - и жму кнопку применить.
>
> можно как нить сделать чтобы правила iptables - работали сразу?

# service iptables save

Re: [Comm] iptables + ppp0 +

[Vitaly Gorshkov]

>> можно как нить сделать чтобы правила iptables - работали сразу?

ANG> # service iptables save

service iptables save
Saving current rules to /etc/sysconfig/iptables:
--
reboot
--
и не фига, помогает тока: service iptables restart
-- 
С уважением,
 Vitaly                          mailto:vita55555@mail.ru

Re: [Comm] iptables + ppp0 +

[Serge Polkovnikov]

Friday 10 March 2006 11:53, Vitaly Gorshkov написав:
> ANG> # service iptables save
>
> service iptables save
> Saving current rules to /etc/sysconfig/iptables:
> --
> reboot
> --
> и не фига, помогает тока: service iptables restart

А что говорит 
# chkconfig iptables --list
-- 
С уважением,
Сергей Полковников

Re: [Comm] iptables + ppp0 +

[Dmitriy L. Kruglikov]

On Fri, 10 Mar 2006 12:08:00 +0200
Serge Polkovnikov wrote:

> Friday 10 March 2006 11:53, Vitaly Gorshkov написав:
> > ANG> # service iptables save
> >
> > service iptables save
> > Saving current rules to /etc/sysconfig/iptables:
> > --
> > reboot
> > --
> > и не фига, помогает тока: service iptables restart
Ну конечно :)
iptables-save выдаст текущее состояние на экран ...
А iptables-save > file.txt в файл ...
Я это в man iptables-save вычитал ... :)
А потом написал все, что захотел в 
/etc/sysconfig/iptables и у меня при перезагрузке все в шоколаде :)

> 
> А что говорит 
> # chkconfig iptables --list
А должен говорить 
iptables        0:выкл  1:выкл  2:вкл   3:вкл   4:вкл   5:вкл   6:выкл
(может быть не по русски)

--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov@orionagro.com.ua      |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/

Re: [Comm] iptables + ppp0 +

[Vitaly Gorshkov]

Здравствуйте, Serge.

Вы писали 10 марта 2006 г., 13:08:00:

SP> Friday 10 March 2006 11:53, Vitaly Gorshkov написав:
>> ANG> # service iptables save
>>
>> service iptables save
>> Saving current rules to /etc/sysconfig/iptables:
>> --
>> reboot
>> --
>> и не фига, помогает тока: service iptables restart

SP> А что говорит 
SP> # chkconfig iptables --list

chkconfig iptables --list
iptables        0:off   1:off   2:off   3:off   4:off   5:off   6:off
[root@magenta ppp]# chkconfig iptables on
[root@magenta ppp]# chkconfig iptables --list
iptables        0:off   1:off   2:off   3:on    4:on    5:on    6:off

reboot

все работает отлично!!!
вот где собака порылась..)

-- 
С уважением,
 Vitaly                          mailto:vita55555@mail.ru