Re: [Comm] iptables vs ipchains

[Alexey Morsov <samurai@ricom.ru>]

[-- Attachment #1: Type: text/plain, Size: 968 bytes --]


Andriy Dobrovol's'kii wrote:

> Michael Shigorin wrote:
>
>> On Mon, Dec 20, 2004 at 10:33:54PM +0000, Alexey S. Kuznetsov wrote:
>>
> <cut>
>
>> PS: моя дежурная болванка в аттаче, если кто-либо в благодарность
>> проверит, доточит, проверит и предложит в FAQ -- welcome.
>>
> <cut>
>
>>
> Миш, какя ж это болванка, если всюду пробиты конкретные адреса и 
> интерфейсы. И никаких коментариев. Откоментированный скрипт её 
> генерации с разумно абстрагированными переменными был бы болванкой...
>
> P.S. Могу прислать свою попытку сделать такой, но, она застряла на 
> "дверном" варианте и врядли представляет интерес. Уж больно жизнь 
> разнообразна...

А вот моя болванка - кому нать - use it or modify :)
Не знаю какая у неё степень "дверности" :)


-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
ICQ: 196766290
Jabber: Samurai@jabber.pibhe.com
http://www.ricom.ru
http://www.fondmarket.ru 


[-- Attachment #2: firewall --]
[-- Type: text/plain, Size: 1582 bytes --]

#!/bin/sh
# ÏÂßÑ×ÉÍ ÐÅÒÅÍÅÎÎÙÅ
FW="/sbin/iptables"

LAN_NET="192.168.130.0/24"
LAN_IP="192.168.130.2"
LAN_ETH="eth0"

INET_IP="195.210.171.34"
INET_ETH="eth1"

# ÌÏËÁÌËÁ
LH="127.0.0.1"
PROXY_PORT="3128"

# ÄÌÑ ÍÅÎÑ
COOL_IP="192.168.130.95"

modprobe ip_nat_ftp

# ÍÁÒÛÒÕÔ ÄÌÑ ÐÏÞÔÙ òÉËÏÍ
route add -net 194.247.149.208 netmask 255.255.255.248 gw 192.168.130.1 dev eth0

# ×ÓÅ ÐÒÏÞÉÓÔÉÍ
$FW -t nat -F
$FW -F
$FW -X

# ××ÅÄÅÍ ÃÅÐÏÞËÉ ÄÌÑ ÐÏÄÓÞÅÔÁ ÔÒÁÆÉËÁ
$FW -N OUT_SORTING
$FW -N IN_SORTING
$FW -N TCP_OUT
$FW -N TCP_IN
$FW -N UDP_OUT
$FW -N UDP_IN

# ÎÁ×ÅÄÅÍ ÍÁÓËÁÒÁÄ ÄÌÑ ÓÅÂÑ :)
$FW -t nat -A POSTROUTING -s $LAN_NET -o $INET_ETH -j SNAT --to-source $INET_IP

# ×ÓÅ ×ÓÅÍ ÚÁÐÒÅÔÉÔØ
$FW -P INPUT DROP
$FW -P FORWARD DROP
# ËÒÏÍÅ ÌÏËÁÌØÎÏÇÏ ÈÏÓÔÁ - ÅÍÕ ÍÏÖÎÏ ÈÏÄÉÔØ ËÕÄÁ ÕÇÏÄÎÏ
$FW -P OUTPUT ACCEPT

# Á ÔÅÐÅÒØ ÎÁÞÎÅÍ ÐÒÏÐÉÓÙ×ÁÔØ ÐÒÁ×ÉÌÁ
$FW -A TCP_OUT -j ACCEPT
$FW -A TCP_IN -j ACCEPT
$FW -A UDP_OUT -j ACCEPT
$FW -A UDP_IN -j ACCEPT

$FW -A OUT_SORTING -p tcp -j TCP_OUT
$FW -A OUT_SORTING -p udp -j UDP_OUT
$FW -A OUT_SORTING -j ACCEPT

$FW -A IN_SORTING -p tcp -i $INET_ETH -j TCP_IN
$FW -A IN_SORTING -p udp -i $INET_ETH -j UDP_IN
$FW -A IN_SORTING -j ACCEPT

# ÄÌÑ INPUT
$FW -A INPUT -m state --state ESTABLISHED,RELATED -j IN_SORTING
$FW -A INPUT -m state --state NEW -i ! $INET_ETH -j ACCEPT

# ÄÌÑ FORWARD
# ÄÌÑ Aton-Line

# ÄÌÑ íåîñ
$FW -A FORWARD -p all -i $LAN_ETH -o $INET_ETH -s $COOL_IP -j OUT_SORTING
$FW -A FORWARD -p all -i $INET_ETH -o $LAN_ETH -d $COOL_IP -m state --state ESTABLISHED,RELATED -j IN_SORTING

# ÄÌÑ OUTPUT
$FW -A OUTPUT -o $INET_ETH -j OUT_SORTING