[sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[Michael Pozhidaev]

Привет всем!

Вот вопрос, куда сейчас идейно правильно вписывать популярную строчку 
/sbin/iptables -t nat -A POSTROUTING -s ... -j MASQURADE
?

Раньше всегда пользовался для этих целей /etc/sysconfig/iptables, сейчас смотрю (ALTPC 4.0.1),
там только заготовлены секции для FILTerING. Навело на мысль,
что теперь это надо делать где-то в другом месте. Мож чего не доглядел -- извиняюсь,
но хочу спросить, как это принято на текущий момент.

-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
ALT Linux Team. http://www.altlinux.ru

Re: [sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[Michael Shigorin]

On Tue, Aug 05, 2008 at 09:26:08PM +0700, Michael Pozhidaev wrote:
> Вот вопрос, куда сейчас идейно правильно вписывать популярную строчку 
> /sbin/iptables -t nat -A POSTROUTING -s ... -j MASQURADE
> ?
> Раньше всегда пользовался для этих целей /etc/sysconfig/iptables

Ну и пользуйся, оно работает :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[Michael Pozhidaev]

Здравствуйте, Michael Shigorin!

> On Tue, Aug 05, 2008 at 09:26:08PM +0700, Michael Pozhidaev wrote:
>> Вот вопрос, куда сейчас идейно правильно вписывать популярную строчку 
>> /sbin/iptables -t nat -A POSTROUTING -s ... -j MASQURADE
>> ?
>> Раньше всегда пользовался для этих целей /etc/sysconfig/iptables
>
> Ну и пользуйся, оно работает :)
Раньше там кто-то заботливо делал пустые секции для POSTROUTING и пр.
А я даже и не помню как их писать правильно,
так как сам никогда не писал их. Только правила вколачивал и всё.

Если у тебя осталось ещё как это выглядит, пришли, пжста, на личный ящик.

-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
ALT Linux Team. http://www.altlinux.ru

Re: [sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[Alexey Shabalin]

5 августа 2008 г. 19:51 пользователь Michael Pozhidaev  написал:
> Здравствуйте, Michael Shigorin!
>
>> On Tue, Aug 05, 2008 at 09:26:08PM +0700, Michael Pozhidaev wrote:
>>> Вот вопрос, куда сейчас идейно правильно вписывать популярную строчку
>>> /sbin/iptables -t nat -A POSTROUTING -s ... -j MASQURADE
>>> ?
>>> Раньше всегда пользовался для этих целей /etc/sysconfig/iptables
>>
>> Ну и пользуйся, оно работает :)
> Раньше там кто-то заботливо делал пустые секции для POSTROUTING и пр.
> А я даже и не помню как их писать правильно,
> так как сам никогда не писал их. Только правила вколачивал и всё.
>
> Если у тебя осталось ещё как это выглядит, пришли, пжста, на личный ящик.
>
набиваешь свои правила в консоли и делаешь:
service iptables save
 /etc/sysconfig/iptables должен наполнится твоими правилами.


-- 
Alexey Shabalin

Re: [sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[Michael Pozhidaev]

Здравствуйте, Alexey Shabalin!

> набиваешь свои правила в консоли и делаешь:
> service iptables save
>  /etc/sysconfig/iptables должен наполнится твоими правилами.
О! Век живи, век учись! :) А ещё всегда просматривай чего службы умеют. Спасибо.
Сколько времени было зря потрачено...
-- 
С уважением и наилучшими пожеланиями, Михаил Пожидаев. E-mail: msp@altlinux.ru.
Томский государственный университет. Факультет информатики. http://www.csd.tsu.ru
ALT Linux Team. http://www.altlinux.ru

Re: [sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[Michael Shigorin]

On Tue, Aug 05, 2008 at 10:51:23PM +0700, Michael Pozhidaev wrote:
> >> Вот вопрос, куда сейчас идейно правильно вписывать популярную строчку 
> >> /sbin/iptables -t nat -A POSTROUTING -s ... -j MASQURADE ?
> >> Раньше всегда пользовался для этих целей /etc/sysconfig/iptables
> > Ну и пользуйся, оно работает :)
> Раньше там кто-то заботливо делал пустые секции для POSTROUTING
> и пр.  А я даже и не помню как их писать правильно, так как сам
> никогда не писал их. Только правила вколачивал и всё.  Если у
> тебя осталось ещё как это выглядит, пришли, пжста, на личный
> ящик.

http://fly.osdn.org.ua/~mike/docs/iptables-sample4router

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[Michael A. Kangin]

On 5 августа 2008 Michael Shigorin wrote:

> > >> Вот вопрос, куда сейчас идейно правильно вписывать популярную строчку
> > >> /sbin/iptables -t nat -A POSTROUTING -s ... -j MASQURADE ?
> > >> Раньше всегда пользовался для этих целей /etc/sysconfig/iptables
> > >
> > > Ну и пользуйся, оно работает :)
> >
> > Раньше там кто-то заботливо делал пустые секции для POSTROUTING
> > и пр.  А я даже и не помню как их писать правильно, так как сам
> > никогда не писал их. Только правила вколачивал и всё.  Если у
> > тебя осталось ещё как это выглядит, пришли, пжста, на личный
> > ящик.
>
> http://fly.osdn.org.ua/~mike/docs/iptables-sample4router

А у меня на всех рутерах традиционно файрвол поднимается скриптом. Ибо очень 
много правил генерится в циклах, с подстановками переменных...


-- 
wbr, Michael A. Kangin
OIOS, RSMU

Re: [sisyphus] Q: Куда сейчас идейно правильно вписывать маскарадинг?

[Michael A. Kangin]

В сообщении от Wednesday 06 August 2008 09:53:42 Dmitriy Kruglikov написал(а):

> > А у меня на всех рутерах традиционно файрвол поднимается скриптом. Ибо
> > очень
> > много правил генерится в циклах, с подстановками переменных...
>
> Однажды, когда я начал заблуждаться в своих скриптах с кучей подстановок,
> я взял огромный рашпиль, маны, трубку-воскурку для манов и задумался ...
> Как оказалось, масса правил заменилась одной строкой...
> Например, вместо обработки каждого нового PPP соединения
> я написал правила типа
> -i ppp+ и далее по тексту ...

Да, где можно, это используется, но когда для каждого ppp требуется 
индивидуальный подход? Реальный случай: в зависимости от юзера, стучащегося в 
VPN, давать доступ на разные машины в сети и порты.

> И все работало точно так же, но управлялось гораздо проще ...
> Опять же, много правил можно убрать, если применить
> -p icmp -m state --state RELATED,ESTABLISHED

Без этого ни куда, да...

> для уже открытых соединений ...
> И быстрее, и проще для глаз и мозга ...

Избранное: 
--------------
[ -r $ADDR_FILE ] && {
        grep -E "^([0-9]{1,3}\.){3}[0-9]{1,3}[[:space:]]*([0-9a-fA-F]{2}\:){5}
[0-9a-fA-F]{2}" $ADDR_FILE | \
        tr -s ';\t' '# \n' | cut -f1 -d '#' | cut -f1,2,4 -d " " |grep " 1$" | 
\
        while read ALLOWED_ADDR
            do
                ALLOWED_ADDR_MAC=`echo $ALLOWED_ADDR | cut -f2 -d' '`
                ALLOWED_ADDR_IP=`echo $ALLOWED_ADDR | cut -f1 -d' '`
                ${IPT} -I check_allowed -s $ALLOWED_ADDR_IP -m 
mac --mac-source $ALLOWED_ADDR_MAC -j RETURN
                ${IPT} -t mangle -A traf_out -s $ALLOWED_ADDR_IP -j RETURN
                ${IPT} -t mangle -A traf_in -d $ALLOWED_ADDR_IP -j RETURN
            done
} || {
        echo "WARNING! Can't read ${ADDR_FILE}, access closed for all."
}
---------------------
читаем пару IP/MAC из файла клиентов, и, у кого разрешён выход в интернет, 
ставим правило соответствия IP/MAC и правила для подсчета трафика на mangle


-------------------
for IFACE in $INT_IFACE; do
        for NET in `get_subnets_by_iface $IFACE`; do
                ${IPT} -A check_addr -i $IFACE -s $NET -j RETURN
                for EIFACE in $EXT_IFACE; do
                        ${IPT} -A check_addr -i $EIFACE -s $NET -j mism_addr
                done
        done
done
-----------------
Боремся со спуфингом;

ну и банальное
for NET in $OUR_NETS; do
        ${IPT} -A tcp_packets -p tcp -s $NET --dport 22 -j ACCEPT
done


Как это реализовать на уровне статической таблицы правил? Абсолютно 
непереносимой к тому же между рутерами.

-- 
wbr, Michael A. Kangin