From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Message-ID: <4703A18D.3050001@ukr.net> Date: Wed, 03 Oct 2007 17:05:01 +0300 From: "Valery V. Rusnak" User-Agent: Thunderbird 2.0.0.6 (Windows/20070728) MIME-Version: 1.0 To: ALT Linux sysadmin discuss References: <47039F45.30500@ukr.net> <200710031801.02160.peet@altlinux.ru> In-Reply-To: <200710031801.02160.peet@altlinux.ru> Content-Type: multipart/mixed; boundary="------------020205060802030108020505" X-R19-Sender-IP: 192.168.1.51 Subject: Re: [Sysadmins] iptables X-BeenThere: sysadmins@lists.altlinux.org X-Mailman-Version: 2.1.9 Precedence: list Reply-To: ALT Linux sysadmin discuss List-Id: ALT Linux sysadmin discuss List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Wed, 03 Oct 2007 14:05:02 -0000 Archived-At: List-Archive: This is a multi-part message in MIME format. --------------020205060802030108020505 Content-Type: text/plain; charset=KOI8-R; format=flowed Content-Transfer-Encoding: 8bit Peter V. Saveliev : > On Wednesday 03 October 2007, Valery V. Rusnak wrote: > >> . >> ? >> 192.168.1.51, . >> >> iptables -t filter - A INPUT -d 192.168.1.51 -j DROP >> iptables -t filter - A OUTPUT -s 192.168.1.51 -j DROP >> >> ? >> > > -d -- destination. .. , 192.168.1.51 , > > > iptables -t filter - A INPUT -s 192.168.1.51 -j DROP > :( . . , iptables --------------020205060802030108020505 Content-Type: text/plain; name="rc.firewall" Content-Transfer-Encoding: 8bit Content-Disposition: inline; filename="rc.firewall" #!/bin/bash #Машина в офисе # office=192.168.1.111 #Машина администратора admin=192.168.1.51 #Адреса роутера server0=192.168.2.5 # server1=10.15.1.2 # Адрес файлового архива с mp3 и video #video_serv=172.18.1.2 # Интерфейс смотрящий на клиентов # iface_cli=eth1 # Интерфейс смотрящий во внешний мир iface_world=eth0 # Интерфейс смотрящий на архив #iface_int=etheth2 #Порты, на которых работает конфигуратор и авторизатор # conf_port=5555 # user_port1=5555 # user_port2=5555 # Разрешаем форвардинг пакетов между интерфейсами # Эта штука необязательна, просто в некоторых дистрибутивах # по умолчанию форвардинг разрешен, а в некоторых - запрещен # Если мы подстрахуемся, хуже не бкдет echo "1" > /proc/sys/net/ipv4/ip_forward # Очищаем правила файрвола iptables -t filter -F iptables -t filter -X iptables -t nat -F iptables -t nat -X # Политика по умолчанию DROP: всем всё запрещено iptables -t filter -P INPUT DROP iptables -t filter -P FORWARD DROP iptables -t filter -P OUTPUT DROP # Разрешаем пингам ходить всюду и всегда #iptables -t filter -A INPUT -p icmp -j ACCEPT #iptables -t filter -A FORWARD -p icmp -j ACCEPT #iptables -t filter -A OUTPUT -p icmp -j ACCEPT # Разрешаем всё на локальном интерфейсе iptables -t filter -A INPUT -d 127.0.0.1 -j ACCEPT iptables -t filter -A OUTPUT -s 127.0.0.1 -j ACCEPT # Разрешить серверу общаться со внешним миром iptables -t filter -A INPUT -i $iface_world -j ACCEPT iptables -t filter -A OUTPUT -o $iface_world -j ACCEPT iptables -t filter -A INPUT -s 192.168.1.51 -j DROP #iptables -t filter -A INPUT -s $admin -d $server0 -j REJECT #iptables -t filter -A OUTPUT -d $admin -s $server0 -j REJECT # Разрешить видео-серверу обращаться во внешним миром и роутером # iptables -t filter -A INPUT -s $video_serv -j ACCEPT # iptables -t filter -A FORWARD -s $video_serv -j ACCEPT # iptables -t filter -A FORWARD -d $video_serv -j ACCEPT # iptables -t filter -A OUTPUT -d $video_serv -j ACCEPT # DNS. Замечу, ДНС работает и по TCP и по UDP iptables -t filter -A INPUT -p tcp --sport 53 -j ACCEPT iptables -t filter -A FORWARD -p tcp --sport 53 -j ACCEPT iptables -t filter -A FORWARD -p tcp --dport 53 -j ACCEPT iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT iptables -t filter -A INPUT -p udp --sport 53 -j ACCEPT iptables -t filter -A FORWARD -p udp --sport 53 -j ACCEPT iptables -t filter -A FORWARD -p udp --dport 53 -j ACCEPT iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT # SSH #iptables -t filter -A INPUT -p tcp -s $office -d $server0 --dport 22 -j ACCEPT #iptables -t filter -A OUTPUT -p tcp -d $office -s $server0 --sport 22 -j ACCEPT #iptables -t filter -A INPUT -p tcp -s $admin -d $server0 --dport 22 -j ACCEPT #iptables -t filter -A OUTPUT -p tcp -d $admin -s $server0 --sport 22 -j ACCEPT # Stargazer configurator #iptables -t filter -A INPUT -p tcp -s 192.168.0.0/24 -d $server0 --dport $conf_port -j ACCEPT #iptables -t filter -A OUTPUT -p tcp -d 192.168.0.0/24 -s $server0 --sport $conf_port -j ACCEPT # UDP stargazer InetAccess #iptables -t filter -A INPUT -p udp -s 192.168.0.0/24 --sport $user_port2 -d $server0 --dport $user_port1 -j ACCEPT #iptables -t filter -A OUTPUT -p udp -d 192.168.0.0/24 --dport $user_port1 -s $server0 -j ACCEPT #All local # iptables -t filter -A INPUT -p tcp -s 192.168.0.0/24 -d $server0 -j ACCEPT # iptables -t filter -A OUTPUT -p tcp -d 192.168.0.0/24 -s $server0 -j ACCEPT #Маскарад #iptables -t nat -A POSTROUTING -d 0.0.0.0/0 -j MASQUERADE #iptables -t nat -A POSTROUTING -s 0.0.0.0/0 -o eth0 -j MASQUERADE --------------020205060802030108020505--