[Sysadmins] отключить юзера от внешней сети

[Sysadmins] отключить юзера от внешней сети

[Andrei Lomov]

Есть локальная сеть, шлюз для выхода наружу 192.168.0.1,
требуется запретить юзеру uid 503 доступ наружу через шлюз,
с возможностью ходить только по локалке.

Написал строчку в rc.local:

/sbin/iptables -m owner -I OUTPUT \
-o eth0 -d 192.168.0.1 \
--uid-owner 503 -j DROP

Юзер uid 503 получил полный доступ
ко всем адресам, и локальным и внешним.

Подскажите, что не так

-- 
Всего доброго,
А.Л.

Re: [Sysadmins] отключить юзера от внешней сети

[Eugene Ostapets]

2009/4/6 Andrei Lomov <lomov math.nsc.ru>:
> Есть локальная сеть, шлюз для выхода наружу 192.168.0.1,
> требуется запретить юзеру uid 503 доступ наружу через шлюз,
> с возможностью ходить только по локалке.
>
> Написал строчку в rc.local:
>
> /sbin/iptables -m owner -I OUTPUT \
> -o eth0 -d 192.168.0.1 \
> --uid-owner 503 -j DROP
>
> Юзер uid 503 получил полный доступ
> ко всем адресам, и локальным и внешним.
>
> Подскажите, что не так
У пакетов, идущих наружу адрес не 192.168.0.1, как минимум... И
вопрос... Эту строчку вы где прописывали?


-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Sysadmins] отключить юзера от внешней сети

[Andrei Lomov]

Eugene Ostapets wrote:

> 2009/4/6 Andrei Lomov <lomov math.nsc.ru>:
>> Есть локальная сеть, шлюз для выхода наружу 192.168.0.1,
>> требуется запретить юзеру uid 503 доступ наружу через шлюз,
>> с возможностью ходить только по локалке.
>>
>> Написал строчку в rc.local:
>>
>> /sbin/iptables -m owner -I OUTPUT \
>> -o eth0 -d 192.168.0.1 \
>> --uid-owner 503 -j DROP
>>
>> Юзер uid 503 получил полный доступ
>> ко всем адресам, и локальным и внешним.
>>
>> Подскажите, что не так
> У пакетов, идущих наружу адрес не 192.168.0.1, как минимум... 

Ага, понял ошибку. 
Как сделать, пока не понял.
man iptables трудновато читается. 

> И вопрос... Эту строчку вы где прописывали?
Это разве принципиально?
/etc/rc.d/rc.local 

/etc/rc5.d/S99local -> ../rc.d/rc.local

-- 
Всего доброго,
А.Л.

Re: [Sysadmins] отключить юзера от внешней сети

[Vyatcheslav Perevalov]

On Monday 06 April 2009 23:36:03 Andrei Lomov wrote:
> Как сделать, пока не понял.
> man iptables трудновато читается.
iptables tutorial читается легче.

cat /etc/net/ifaces/default/fw/iptables/filter/OUTPUT
-d 0/0 -p tcp -m owner --uid-owner 502 -j DROP
У меня работает.

-- 
/vip

Re: [Sysadmins] отключить юзера от внешней сети

[Vyatcheslav Perevalov]

On Tuesday 07 April 2009 02:10:43 Vyatcheslav Perevalov wrote:
> У меня работает.
... если юзер систематически забивает на домашние задания (это чтобы Вы не 
поняли меня превратно).

-- 
/vip

Re: [Sysadmins] отключить юзера от внешней сети

[Andrei Lomov]

Vyatcheslav Perevalov wrote:

> On Tuesday 07 April 2009 02:10:43 Vyatcheslav Perevalov wrote:
>> У меня работает.
> ... если юзер систематически забивает на домашние задания (это чтобы Вы не
> поняли меня превратно).

Это я как раз с полуслова понял, схожая ситуация
Спасибо

--
Всего доброго,
А.Л.

Re: [Sysadmins] отключить юзера от внешней сети

[Andrei Lomov]

Vyatcheslav Perevalov wrote:

>> Как сделать, пока не понял.
>> man iptables трудновато читается.
> iptables tutorial читается легче.
> 
> cat /etc/net/ifaces/default/fw/iptables/filter/OUTPUT
> -d 0/0 -p tcp -m owner --uid-owner 502 -j DROP

Выбрасывает все исходящие пакеты?

Я бы сделал что-нибудь вроде

 -d ! 192.168.0.0/24 -p tcp -m owner --uid-owner 502 -j DROP
(не уверен, правильно ли написал)

то есть отключать все пакеты, идущие не в локалку

--
Всего доброго,
А.Л.

Re: [Sysadmins] отключить юзера от внешней сети

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 993 bytes --]

Andrei Lomov <lomov-LGAWhyrhB5oox3rIn2DAYQ@public.gmane.org> writes:

> Vyatcheslav Perevalov wrote:
>
>>> Как сделать, пока не понял.
>>> man iptables трудновато читается.
>> iptables tutorial читается легче.
>> 
>> cat /etc/net/ifaces/default/fw/iptables/filter/OUTPUT
>> -d 0/0 -p tcp -m owner --uid-owner 502 -j DROP
>
> Выбрасывает все исходящие пакеты?
>
> Я бы сделал что-нибудь вроде
>
>  -d ! 192.168.0.0/24 -p tcp -m owner --uid-owner 502 -j DROP
> (не уверен, правильно ли написал)
>
> то есть отключать все пакеты, идущие не в локалку

Если локалкой является домовая сеть, то её тоже надо отрубать, иначе
будет либо "прокся у соседа", либо тупо игровой сервак прямо в локалке.

[-- Attachment #2: Type: application/pgp-signature, Size: 196 bytes --]

Re: [Sysadmins] отключить юзера от внешней сети

[Andrei Lomov]

Ivan Fedorov wrote:

>> Я бы сделал что-нибудь вроде
>>
>>  -d ! 192.168.0.0/24 -p tcp -m owner --uid-owner 502 -j DROP
>> (не уверен, правильно ли написал)
>>
>> то есть отключать все пакеты, идущие не в локалку
> 
> Если локалкой является домовая сеть, то её тоже надо отрубать, иначе
> будет либо "прокся у соседа", либо тупо игровой сервак прямо в локалке.

Не, все локальные адреса внутри квартиры, шлюз один

-- 
Всего доброго,
А.Л.