[sisyphus] Помогите plz с iptables

[sisyphus] Помогите plz с iptables

[Шишков Евгений Витальевич]

Всем привет.

Возникла потребность.
Есть локальная сеть. Инет есть не у всех.
Всех у кого нет инета нужно выпустить только до одного хоста.
В качестве разрешалки/считалки инета установлен stargazer.
Нужно написать цепочку, чтоб без авторизации и т.п. с любого компа внутри сети 
можно было зайти на единственный хост в инете.

Пока что-то не получается.

-- 
С уважением,
Шишков Евгений (evgen[собак]tulanews[тчк]ru)

Re: [sisyphus] Помогите plz с iptables

[Alexey Sidorov]

Шишков Евгений Витальевич пишет:
> Всем привет.
>
> Возникла потребность.
> Есть локальная сеть. Инет есть не у всех.
> Всех у кого нет инета нужно выпустить только до одного хоста.
> В качестве разрешалки/считалки инета установлен stargazer.
> Нужно написать цепочку, чтоб без авторизации и т.п. с любого компа внутри сети 
> можно было зайти на единственный хост в инете.
>
> Пока что-то не получается.
>
>   
-A -i eth0 -d aaa.bbb.ccc.ddd -j ACCEPT
?
где eth0 - твоя локалка
aaa.bbb.ccc.ddd - нужный адрес

правда если через нат - то немного по другому наверное .....

Re: [sisyphus] Помогите plz с iptables

[Anton Gorlov]

Шишков Евгений Витальевич пишет:

> Возникла потребность.
> Есть локальная сеть. Инет есть не у всех.
> Всех у кого нет инета нужно выпустить только до одного хоста.
> В качестве разрешалки/считалки инета установлен stargazer.
> Нужно написать цепочку, чтоб без авторизации и т.п. с любого компа внутри сети 
> можно было зайти на единственный хост в инете.
> Пока что-то не получается.

iptables -t filter -N PHOTOPNZ
iptables -t filter -A PHOTOPNZ -p tcp -d photo.pnz.ru --dport ftp -j ACCEPT
iptables -t filter -A PHOTOPNZ -p tcp -d photo.pnz.ru --dport ftp-data 
-j ACCEPT
iptables -t filter -A FORWARD -s host.local -j PHOTOPNZ



-- 
   np: silence ( Winamp ушел в Партизаны ;-)

Re: [sisyphus] Помогите plz с iptables

[Шишков Евгений Витальевич]

Anton Gorlov пишет:
> Шишков Евгений Витальевич пишет:
> 
>> Возникла потребность.
>> Есть локальная сеть. Инет есть не у всех.
>> Всех у кого нет инета нужно выпустить только до одного хоста.
>> В качестве разрешалки/считалки инета установлен stargazer.
>> Нужно написать цепочку, чтоб без авторизации и т.п. с любого компа внутри сети 
>> можно было зайти на единственный хост в инете.
>> Пока что-то не получается.
> 
> iptables -t filter -N PHOTOPNZ
> iptables -t filter -A PHOTOPNZ -p tcp -d photo.pnz.ru --dport ftp -j ACCEPT
> iptables -t filter -A PHOTOPNZ -p tcp -d photo.pnz.ru --dport ftp-data 
> -j ACCEPT
> iptables -t filter -A FORWARD -s host.local -j PHOTOPNZ

Все решил двумя строчками в /etc/sysconfig/iptables
в секции *filter
[0:0] -A FORWARD -s 192.168.1.0/24 -d 12.34.56.7 -j ACCEPT
[0:0] -A FORWARD -s 12.34.56.7 -d 192.168.1.0/24 -j ACCEPT
[0:0] -A INPUT -s 192.168.1.0/24 -p tcp -m tcp -i eth1 -d 12.34.56.7 -j ACCEPT

Насколько это правильно/криво?
-- 
С уважением,
Шишков Евгений (evgen[собак]tulanews[тчк]ru)

Re: [sisyphus] Помогите plz с iptables

[Шенцев Алексей Владимирович]

В сообщении от 12 июля 2006 09:10 Шишков Евгений Витальевич написал(a):
> Все решил двумя строчками в /etc/sysconfig/iptables
> в секции *filter
> [0:0] -A FORWARD -s 192.168.1.0/24 -d 12.34.56.7 -j ACCEPT
> [0:0] -A FORWARD -s 12.34.56.7 -d 192.168.1.0/24 -j ACCEPT
> [0:0] -A INPUT -s 192.168.1.0/24 -p tcp -m tcp -i eth1 -d 12.34.56.7 -j
> ACCEPT
>
> Насколько это правильно/криво?
Если работает нормально, значит правильно ... :) Единственный вопрос, а 
зачем "-p tcp -m tcp" ? Вы же тут не указываете порт(ы) которые нужно 
слушать. Не лучше ли просто -A INPUT -s 192.168.1.0/24 -i eth1 -d 
12.34.56.7 -j ACCEPT
Т.е. принимать входящие соеденения с подсети с адресом 192.168.1.0/24 на 
интерфейсе eth1 для ip-адреса 12.34.56.7
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [sisyphus] Помогите plz с iptables

[Шишков Евгений Витальевич]

Шенцев Алексей Владимирович пишет:
> В сообщении от 12 июля 2006 09:10 Шишков Евгений Витальевич написал(a):
>> Все решил двумя строчками в /etc/sysconfig/iptables
>> в секции *filter
>> [0:0] -A FORWARD -s 192.168.1.0/24 -d 12.34.56.7 -j ACCEPT
>> [0:0] -A FORWARD -s 12.34.56.7 -d 192.168.1.0/24 -j ACCEPT
>> [0:0] -A INPUT -s 192.168.1.0/24 -p tcp -m tcp -i eth1 -d 12.34.56.7 -j
>> ACCEPT
>>
>> Насколько это правильно/криво?
> Если работает нормально, значит правильно ... :) Единственный вопрос, а 
> зачем "-p tcp -m tcp" ? Вы же тут не указываете порт(ы) которые нужно 
> слушать. Не лучше ли просто -A INPUT -s 192.168.1.0/24 -i eth1 -d 
> 12.34.56.7 -j ACCEPT
> Т.е. принимать входящие соеденения с подсети с адресом 192.168.1.0/24 на 
> интерфейсе eth1 для ip-адреса 12.34.56.7
Ну мне что-то так захотелось ;). Привычка...

-- 
С уважением,
Шишков Евгений (evgen[собак]tulanews[тчк]ru)

Re: [sisyphus] Помогите plz с iptables

[Шенцев Алексей Владимирович]

В сообщении от 12 июля 2006 09:38 Шишков Евгений Витальевич написал(a):
> Ну мне что-то так захотелось ;). Привычка...
Привычка вторая натура ... :) Хотя если вы принимаете соеденения только для 
протокола tcp и игнорируете соеденения по udp (в таком случае ряд сервисов в 
пролёте, например ftp) и по icmp, то да, ваш вариант правильный. 
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [sisyphus] Помогите plz с iptables

[Шишков Евгений Витальевич]

Шенцев Алексей Владимирович пишет:
> В сообщении от 12 июля 2006 09:38 Шишков Евгений Витальевич написал(a):
>> Ну мне что-то так захотелось ;). Привычка...
> Привычка вторая натура ... :) Хотя если вы принимаете соеденения только для 
> протокола tcp и игнорируете соеденения по udp (в таком случае ряд сервисов в 
> пролёте, например ftp) и по icmp, то да, ваш вариант правильный. 
из этого и исходил.

-- 
С уважением,
Шишков Евгений (evgen[собак]tulanews[тчк]ru)

Re: [sisyphus] Помогите plz с iptables

[Dmitriy L. Kruglikov]

On Wed, 12 Jul 2006 09:10:26 +0400
Шишков Евгений Витальевич wrote:

> Все решил двумя строчками в /etc/sysconfig/iptables
> в секции *filter
> [0:0] -A FORWARD -s 192.168.1.0/24 -d 12.34.56.7 -j ACCEPT
> [0:0] -A FORWARD -s 12.34.56.7 -d 192.168.1.0/24 -j ACCEPT
> [0:0] -A INPUT -s 192.168.1.0/24 -p tcp -m tcp -i eth1 -d
> 12.34.56.7 -j ACCEPT
> 
> Насколько это правильно/криво?
Если двумя, значить двумя.....
Строка 
[0:0] -A FORWARD -s 12.34.56.7 -d 192.168.1.0/24 -j ACCEPT
лишняя ...
Машина с адресом 12.34.56.7 ни при каких условиях не сможет
вызвать 192.168.1.0/24, кроме случая тунеля ...
Сети такого типа не маршрутизируются через Инет ...
Запросы от 192.168.1.0/24 к 12.34.56.7 должны маскироваться в
секции *nat строкой вида 
-A POSTROUTING -s 192.168.1.0/24 -d 12.34.56.7 -o eth0 -j SNAT --to-source ХХ.ХХ.ХХ.ХХ 
Ответы от адреса 12.34.56.7 будут проходить по правилам 
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
секции *filter


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov_at_orionagro.com.ua   |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
 XMPP:dkr6@jabber.ru                   (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Не рассчитывай на завтрашний день, пока он не наступил, ибо
никто не знает, какие беды этот день принесет.
		-- Древнеегипетское изречение

Re: [sisyphus] Помогите plz с iptables

[Шишков Евгений Витальевич]

Dmitriy L. Kruglikov пишет:

> Строка 
> [0:0] -A FORWARD -s 12.34.56.7 -d 192.168.1.0/24 -j ACCEPT
> лишняя ...
> Машина с адресом 12.34.56.7 ни при каких условиях не сможет
> вызвать 192.168.1.0/24, кроме случая тунеля ...
> Сети такого типа не маршрутизируются через Инет ...
Согласен.

> Запросы от 192.168.1.0/24 к 12.34.56.7 должны маскироваться в
> секции *nat строкой вида 
> -A POSTROUTING -s 192.168.1.0/24 -d 12.34.56.7 -o eth0 -j SNAT --to-source ХХ.ХХ.ХХ.ХХ 
Без этой строки тоже работет. Нужна ли она?

> Ответы от адреса 12.34.56.7 будут проходить по правилам 
> -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT 
> секции *filter
Ага. Без этой не работает.

-- 
С уважением,
Шишков Евгений (evgen[собак]tulanews[тчк]ru)

Re: [sisyphus] Помогите plz с iptables

[Dmitriy L. Kruglikov]

On Wed, 12 Jul 2006 13:10:20 +0400
Шишков Евгений Витальевич wrote:

> > -A POSTROUTING -s 192.168.1.0/24 -d 12.34.56.7 -o eth0 -j
> > SNAT --to-source ХХ.ХХ.ХХ.ХХ 
> Без этой строки тоже работет. Нужна ли она?
Давай подумаем вместе ...
К адресу 12.34.56.7 запросы поступают от кого?
От вашего "белого" адреса... ХХ.ХХ.ХХ.ХХ ...
Если вы не маскируете их SNAT --to-source ХХ.ХХ.ХХ.ХХ 
То они поступают от вашего внутреннего адреса 192.168.1.1,
предположим...
Если ответы все-таки, каким либо кандибобером, возвращаются, то
у вас извращенно садистским методом где-то сказано, скорее
всего, на стороне 12.34.56.7, что сеть 192.168.1.0/24 нужно
искать в области ХХ.ХХ.ХХ.ХХ ...
Лучше этот изврат убрать, и нормально настроить SNAT...
Иначе, когда-нибудь, у вас среди травы та-а-акие грабли
обнаружатся, что будет больно...
Лучше сразу сделать все правильно :)

Смею предположить, что на адресе 12.34.56.7 дежурит какой-нибудь
корпоративный сервис, типа RDP ... 
Тогда лучше поднять туннель с шифрованием...
И вот уже внутри этого туннеля можно пробросить сети типа
192.168.1.0/24 и ходить по внутренним адресам ...
Так гораздо кузявее будет :)



--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov_at_orionagro.com.ua   |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
 XMPP:dkr6@jabber.ru                   (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Если атланты поддерживают, то это еще не значит, что одобряют.
		-- В.Колечицкий

Re: [sisyphus] Помогите plz с iptables

[Шишков Евгений Витальевич]

Dmitriy L. Kruglikov пишет:

>>> -A POSTROUTING -s 192.168.1.0/24 -d 12.34.56.7 -o eth0 -j
>>> SNAT --to-source ХХ.ХХ.ХХ.ХХ 
>> Без этой строки тоже работет. Нужна ли она?
> Давай подумаем вместе ...
> К адресу 12.34.56.7 запросы поступают от кого?
> От вашего "белого" адреса... ХХ.ХХ.ХХ.ХХ ...
> Если вы не маскируете их SNAT --to-source ХХ.ХХ.ХХ.ХХ 
> То они поступают от вашего внутреннего адреса 192.168.1.1,
> предположим...
> Если ответы все-таки, каким либо кандибобером, возвращаются, то
> у вас извращенно садистским методом где-то сказано, скорее
> всего, на стороне 12.34.56.7, что сеть 192.168.1.0/24 нужно
> искать в области ХХ.ХХ.ХХ.ХХ ...
> Лучше этот изврат убрать, и нормально настроить SNAT...
> Иначе, когда-нибудь, у вас среди травы та-а-акие грабли
> обнаружатся, что будет больно...
> Лучше сразу сделать все правильно :)
Ок. Что-то ни как не могу я въехать в эти таблицы. Всё поверхностно как то знаю.
Благодарю за помощь. Так и сделаю.

> Смею предположить, что на адресе 12.34.56.7 дежурит какой-нибудь
> корпоративный сервис, типа RDP ... 
> Тогда лучше поднять туннель с шифрованием...
> И вот уже внутри этого туннеля можно пробросить сети типа
> 192.168.1.0/24 и ходить по внутренним адресам ...
> Так гораздо кузявее будет :)

Не. нет там rdp. Просто http сервер.

-- 
С уважением,
Шишков Евгений (evgen[собак]tulanews[тчк]ru)

Re: [sisyphus] Помогите plz с iptables

[Dmitriy L. Kruglikov]

On Wed, 12 Jul 2006 14:50:26 +0400
Шишков Евгений Витальевич wrote:

> Ок. Что-то ни как не могу я въехать в эти таблицы. Всё
> поверхностно как то знаю. Благодарю за помощь. Так и сделаю.
> 
Та без проблем ... Всегда рад помочь :) Если есть чем ...
> > Смею предположить, что на адресе 12.34.56.7 дежурит
> > какой-нибудь корпоративный сервис, типа RDP ... 
...
> 
> Не. нет там rdp. Просто http сервер.
А без разницы ... Просто мода пошла в корпоративном секторе ...
Засвинячить терминальный сервер, поставить там 1Х и загнать туда
филиалы ...


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov_at_orionagro.com.ua   |@_@ |
 DKR6-RIPE                               |!_/ |
 ICQ# 13047326                          //   \ \
 XMPP:dkr6@jabber.ru                   (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Там, где недостает ума, недостает всего.
		-- Д.Галифакс

Re: [sisyphus] Помогите plz с iptables

[Шишков Евгений Витальевич]

Dmitriy L. Kruglikov пишет:

>> Не. нет там rdp. Просто http сервер.
> А без разницы ... Просто мода пошла в корпоративном секторе ...
> Засвинячить терминальный сервер, поставить там 1Х и загнать туда
> филиалы ...

Не. Такого думаю не будет в силу того, что в Туле пока инет дороговат.

-- 
С уважением,
Шишков Евгений (evgen[собак]tulanews[тчк]ru)

Re: [sisyphus] Помогите plz с iptables

[Roman Lesnichenko]

В сообщении от Среда 12 июля 2006 13:50 Шишков Евгений Витальевич написал(a):

> > Смею предположить, что на адресе 12.34.56.7 дежурит какой-нибудь
> > корпоративный сервис, типа RDP ...
> > Тогда лучше поднять туннель с шифрованием...
> > И вот уже внутри этого туннеля можно пробросить сети типа
> > 192.168.1.0/24 и ходить по внутренним адресам ...
> > Так гораздо кузявее будет :)
>
> Не. нет там rdp. Просто http сервер.
А не проще ли будет все запретить, а пропускать только на этот сервер через 
принудительный прокси? 

Re: [sisyphus] Помогите plz с iptables

[Шишков Евгений Витальевич]

Roman Lesnichenko пишет:
> В сообщении от Среда 12 июля 2006 13:50 Шишков Евгений Витальевич написал(a):
> 
>>> Смею предположить, что на адресе 12.34.56.7 дежурит какой-нибудь
>>> корпоративный сервис, типа RDP ...
>>> Тогда лучше поднять туннель с шифрованием...
>>> И вот уже внутри этого туннеля можно пробросить сети типа
>>> 192.168.1.0/24 и ходить по внутренним адресам ...
>>> Так гораздо кузявее будет :)
>> Не. нет там rdp. Просто http сервер.
> А не проще ли будет все запретить, а пропускать только на этот сервер через 
> принудительный прокси? 
Не. Всё сделал. Работает.
Благодарю Дмитрия...

-- 
С уважением,
Шишков Евгений (evgen[собак]tulanews[тчк]ru)