From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <maxim@istranet.ru>
Date: Thu, 5 Jan 2006 11:16:15 +0300
From: Maxim Bodyansky <maximbo@rambler.ru>
To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
Subject: Re: [Sysadmins] =?koi8-r?B?zcHTy8HSwcTJ?=
	=?koi8-r?B?zscuIO/H0sHOyd7FzsnR?=
Message-ID: <20060105081614.GA6774@skif.istranet.ru>
References: <43BBA018.4050305@altlinux.ru>
	<20060104104013.GA6471@skif.istranet.ru>
	<43BBF87D.3010900@altlinux.ru>
Mime-Version: 1.0
Content-Type: multipart/mixed; boundary="PEIAKu/WMn1b1Hv9"
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <43BBF87D.3010900@altlinux.ru>
User-Agent: Mutt/1.4.2.1i
X-Auth-User: maximbo, whoson: maximbo@rambler.ru
X-BeenThere: sysadmins@lists.altlinux.org
X-Mailman-Version: 2.1.5
Precedence: list
Reply-To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
List-Id: ALT Linux sysadmin discuss <sysadmins.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/sysadmins>
List-Post: <mailto:sysadmins@lists.altlinux.org>
List-Help: <mailto:sysadmins-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Thu, 05 Jan 2006 08:18:54 -0000
Archived-At: <http://lore.altlinux.org/sysadmins/20060105081614.GA6774@skif.istranet.ru/>
List-Archive: <http://lore.altlinux.org/sysadmins/>


--PEIAKu/WMn1b1Hv9
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit

On Wed, Jan 04, 2006 at 07:31:57PM +0300 Anton Gorlov wrote:
> Maxim Bodyansky пишет:
> 
> >>Проще говря..в правилах для маскарадинга нужно как-то отрезать 
> >>dst=локальным подсеткам.
> >Можно вовсе не трогать маскардинг, заперев врата в FORWARD'е.
> 
> Тоже вариант.. но при этом в инет им должно быть можно всё..а в 
> локальные подсетки не дальше роутера. Локальных подсеток больше 4...

Если не охота руками формировать правила, почему бы не поручить это
грязное дело роботу? Как, например, в приложеном скрипте.

-- 
WBR,
Maxim Bodyansky

--PEIAKu/WMn1b1Hv9
Content-Type: text/plain; charset=koi8-r
Content-Disposition: attachment; filename=fire
Content-Transfer-Encoding: 8bit

#!/bin/sh

PRIVATE_NETWORK="10.0.5.0/24"
LOCAL_NETWORKS="
10.0.1.0/24
10.0.2.0/24
10.0.3.0/24
10.0.4.0/24
"

IPT="echo"

# В локальные сетки не дальше роутера
for lnet in $LOCAL_NETWORKS; do
    $IPT -A FORWARD -s $PRIVATE_NETWORK -d $lnet -j DROP
    $IPT -A FORWARD -d $PRIVATE_NETWORK -s $lnet -j DROP
done

# В остальные можно всё
$IPT -A FORWARD -s $PRIVATE_NETWORK -j ACCEPT
$IPT -A FORWARD -d $PRIVATE_NETWORK -j ACCEPT

--PEIAKu/WMn1b1Hv9--