From: "Dmitriy L. Kruglikov" <Dmitriy.Kruglikov@orionagro.com.ua> To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org> Subject: Re: [Sysadmins] iptables трансляция протокола Date: Thu, 6 Jul 2006 11:09:11 +0300 Message-ID: <20060706110911.769b4f6a@shadow.orionagro.com.ua> (raw) In-Reply-To: <44ACB626.8040507@soc.adm.yar.ru> On Thu, 06 Jul 2006 11:05:10 +0400 Дворников М.В. wrote: > Нужно написать правила для iptables. > Пользователям из локальной сети разрешается работать только с > сервером: прозрачный proxy (squid:3128), postfix, ftp, > pop3/imap. Нельзя обращаться к внешним ftp,smtp,pop3,imap. Не идеально, но у меня работает таким образом: /etc/sysconfig/iptables *nat :PREROUTING ACCEPT [0:0] :POSTROUTING ACCEPT [0:0] :OUTPUT ACCEPT [0:0] # У меня два внешних адреса ... # Одна машина имеет полный выход в Инет... -A POSTROUTING -s 192.168.0.253 -d ! 192.168.0.0/255.255.255.0 -o eth1 -j SNAT --to-source 213.хх.хх.хх -A POSTROUTING -s 192.168.0.253 -d ! 192.168.0.0/255.255.255.0 -o ppp0 -j SNAT --to-source 82.хх.хх.хх # Если нужно на определенные порты и/или адреса, то дописать в эти правила # Далее... *filter :INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT DROP [0:0] :BLOCKIT - [0:0] :forward_ext - [0:0] :forward_int - [0:0] :input_ext - [0:0] :input_int - [0:0] :reject_func - [0:0] -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT -A FORWARD -m state --state NEW -i eth0 -j forward_int # Разрешаем форвардинг из локалки в Инет для определенного адреса -A forward_int -s 192.168.0.253 -d ! 192.168.0.0/255.255.255.0 -i eth0 -j ACCEPT # Разрешаем всей локалке подключаться к серверу... -A input_int -d 192.168.0.0/255.255.255.0 -j ACCEPT > > Дополнительно разрешается NAT: > - 1 клиент ntpdate, Лучше поставить свой сервер времени, а локалку на него натравить ... > - 2 клиента несколько портов к определенному ip, > - 1 клиент полный доступ к определенному ip. > По примерам полного доступа, прописать конкретные порты и адреса. -- Best regards, Dmitriy L. Kruglikov .--. Dmitriy.Kruglikov_at_orionagro.com.ua |@_@ | DKR6-RIPE |!_/ | ICQ# 13047326 // \ \ XMPP:dkr6@jabber.ru (| | ) /'\_ _/`\ Powered by Linux \___)=(___/ -- Мысль -- Смерть и жизнь - во власти языка, и любящие его вкусят от плодов его. -- притчи Соломона
next prev parent reply other threads:[~2006-07-06 8:09 UTC|newest] Thread overview: 25+ messages / expand[flat|nested] mbox.gz Atom feed top 2006-07-03 7:57 "Дворников М.В." 2006-07-03 8:00 ` Serge 2006-07-03 8:03 ` Шенцев Алексей Владимирович 2006-07-03 8:14 ` "Дворников М.В." 2006-07-03 8:16 ` Andrii Dobrovol`s`kii 2006-07-03 8:23 ` "Дворников М.В." 2006-07-03 9:01 ` Andrii Dobrovol`s`kii 2006-07-03 9:09 ` Dmytro O. Redchuk 2006-07-03 8:22 ` Шенцев Алексей Владимирович 2006-07-03 10:47 ` "Дворников М.В." 2006-07-03 10:51 ` Шенцев Алексей Владимирович 2006-07-03 11:23 ` Dmitriy L. Kruglikov 2006-07-03 11:56 ` "Дворников М.В." 2006-07-03 12:08 ` Шенцев Алексей Владимирович 2006-07-06 7:05 ` "Дворников М.В." 2006-07-06 8:00 ` Шенцев Алексей Владимирович 2006-07-06 8:09 ` Dmitriy L. Kruglikov [this message] 2006-07-03 12:16 ` Dmitriy L. Kruglikov 2006-07-03 21:48 ` Lego 2006-07-03 8:28 ` Dmitriy L. Kruglikov 2006-07-06 6:43 ` Maxim Britov 2006-07-06 7:00 ` "Дворников М.В." 2006-07-06 7:07 ` Шенцев Алексей Владимирович 2006-07-06 7:40 ` "Дворников М.В." 2006-07-06 7:44 ` Шенцев Алексей Владимирович
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=20060706110911.769b4f6a@shadow.orionagro.com.ua \ --to=dmitriy.kruglikov@orionagro.com.ua \ --cc=sysadmins@lists.altlinux.org \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux sysadmins discussion This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/sysadmins/0 sysadmins/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 sysadmins sysadmins/ http://lore.altlinux.org/sysadmins \ sysadmins@lists.altlinux.org sysadmins@lists.altlinux.ru sysadmins@lists.altlinux.com public-inbox-index sysadmins Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.sysadmins AGPL code for this site: git clone https://public-inbox.org/public-inbox.git