iptables

pitaneto mi e mai amatiorsko ama shte go postavia vse pak
probvam da dam internet dostap na mreja 192.168.10.0/24 s koiato sam svurzan na eth1
iptables -t nat -A POSTROUTING -j MASQUERADE -o eth0 -s 192.168.10.0/24 -d 0/0
praviloto se priema i se pokazva pri izpalnenie na komandata
iptables -t nat -L -n
(ip forwarding sam go razreshil ama tova ne e svurzano s vaprosa mi)
pitaneto mi e zashto sled restart i izpulniavane na
iptables -t nat -L -n
praviloto koeto biah vavel veche go niama...iavno e iztrito ot nat tablicata.kak da go zadam taka che da si stoi i sled restart
blagodaria vi za pomoshtta

zapishi go v /etc/rc.d/rc.local (ili koito tam ti e faila spored distribuciata), ili go zapishi v otdelen skript koito se vika ot /etc/rc.d/rc.local (naprimer, niama znachenie otkyde shte se vika stiga da e pri boot a ne pri shutdown/restart) :))

ako niakoi se interesuva ot pravilnia otgovor:
service iptables save

...и после iptables restore

CONFIG_IP_NF_MATCH_STATE

което пък просто вика

iptables-save > /etc/sysconfig/iptables

тъй, че дали е правилон или не е въпрос на вкус

salle.online.bg/sig

Искам да попитам мога ли по тази схема да дам достъп само на определено ip?
Когато сложа iptables -t nat -A POSTROUTING -j MASQUERADE -o eth0 -s 10.0.1.161 -d 0/0 цялата мрежа може да ползва nat-а...

jacket.hit.bg
[email protected]

default policy-to na FORWARD ako e drop, i imash pravila za syotvetnie IP-ta koito triabva da polzvat nat-a... predpolagam tova shte svyrshi rabota

Да, логично изглежда... ама нали съм лама и не знам как да го направя... не вярвам да е нещо сложно, но в момента се занимавам със 100 други неща и просто не ми остава време да изчета мановете.... може ли да ме опътиш поне малко?

jacket.hit.bg
[email protected]

Ne sym siguren, che si spomniam kakvo tochno triabvashe da se napravi.......
Ok, ako predpolozhim che shte maskirash mashini v lokalna mrezha 192.168.0.x:

iptables -P FORWARD DROP
iptables -A FORWARD -s 0/0 -d 192.168.0.0/24 -j ACCEPT

iptables -A FORWARD -s 192.168.0.4 -d 0/0 -j ACCEPT
iptables -A FORWARD -s 192.168.0.5 -d 0/0 -j ACCEPT


Podred:
iptables -P FORWARD DROP --> ustanoviavame default policy-to na FORWARD da e DROP
iptables -A FORWARD -s 0/0 -d 192.168.0.0/24 -j ACCEPT --> pozvoliavame forward na paketi ot Internet kym lokalnata mrezha (cialata lokalna mrezha)

iptables -A FORWARD -s 192.168.0.4 -d 0/0 -j ACCEPT
iptables -A FORWARD -s 192.168.0.5 -d 0/0 -j ACCEPT --> pozvoliavame forward na paketi ot IP v lokalnata mrezha kym Internet

V obsthi linii mislia che e tova.... :)

Мерси много :) Работи идеално.
А да знаеш случайно някакво приложение за блокиране по mac адреси?

jacket.hit.bg
[email protected]

Networking options/IP: Netfilter Configuration/MAC address match support
Tova e v iadroto no nikoga ne sym go probval, predpolagam ima nachin da se izpolzva MAC adres vmesto IP (v iptables).... da, ima nachin :) (tia dni she vzema da se probvam i az)

V man-page-a na iptables pishe:

mac
--mac-source [!] address
Match source MAC address. It must be of the form XX:XX:XX:XX:XX:XX. Note that this only makes sense for packets
coming from an Ethernet device and entering the PREROUTING, FORWARD or INPUT chains.


Znachi, predpolagam triabva da gi ogranichavash po slednia nachin:
(pyrvo si dobavi syotvetnata opcia v iadroto)

iptables -A INPUT -m mac --mac-source 12:34:56:78:9A:BC -j DROP
iptables -A FORWARD -m mac --mac-source 12:34:56:78:9A:BC -j DROP

Kakto kazah, ne sym go pravil dosega taka che ne garantiram che tova e nachina :)

Ще пробвам дали ще стане, но не мисля че ще ми влезе в употреба. Всъщност идеята е всички да са блокирани с изключение на тези, които задам. Абе видях веднъж един как ги правеше. Имаше си conf файл и вътре само пишеше
.....
10.0.1.105-12:34:56:78:9A:BC
.....
Чудя се какво точно е ползвал. Вероятно някакъв firewall, защото ip-тата, които не бяха в този файл изобщо нямаха пинг до машината...
Сори за глупавите въпроси ама... започвам вече да схващам, ама в пустия гугъл нищо не намирам за блокиране по mac...

jacket.hit.bg
[email protected]

V takyv sluchai mozhesh da gi redish po slednia nachin:

iptables -A INPUT -m mac --mac-source ! 12:34:56:78:9A:BC -j DROP
iptables -A INPUT -m mac --mac-source ! 23:45:67:89:AB:CD -j DROP
......

taka dropvash vseki paket koito NE idva ot syotvetnia mac adres (paketite koito se dropvat oshte v INPUT ne poluchavat ping)
Tova lesno mozhe da se napishe v skrpit v koito samo si dobaviash mac adresi v spisyk bez da pishesh otdelno pravilo za vseki adres:
(niakoi da me popravi ako byrkam neshto :)



#!/bin/bash
MACADDR="12:34:56:78:9A:BC 23:45:67:89:AB:CD 34:56:78:9A:BC:DE"

iptables -P FORWARD DROP
iptables -A FORWARD -s 0/0 -d 1.2.3.0/24 -j ACCEPT

for MAC in $MACADDR
do
iptables -A INPUT -m mac --mac-source ! $MAC -j DROP
iptables -A FORWARD -m mac --mac-source ! $MAC -j DROP
iptables -A INPUT -m mac --mac-source $MAC -j ACCEPT
iptables -A FORWARD -m mac --mac-source $MAC -j ACCEPT
done



Vseki mac adres koino ne e zapisan v MACADDR niama da vizhda izobshto mashinata, na koiato se puska skripta i syotvetno niama i da byde maskiran. Neshto ne mi haresa kak go napisah tova, mozhe bi ako se pomisli po vyprosa.... predpolagam ima i po-elegantni reshenia :)
Pak povtariam, nikoga ne sym go pravil tova neshto taka che ne obeshtavam che shte sraboti :)

Брей, мерси много за инфото :)
Утре като се хвана пак ще се пробвам :)

jacket.hit.bg
[email protected]

Trqbwa da se widim. Iskam mnooogo da widq onq lud, koito dawa forward na wynshen ip adres kym lokalna mrezha.... towa e mnogo losho...

Ами всъщност в момента сървърчето е вързано към друг гейт в същата мрежа, така че няма страшно, а и освен FORWARD си трябваше и nat. Ето как изглежда скрипта:

# Generated by iptables-save v1.2.7a on Sun Apr 6 10:35:53 2003
*nat
:PREROUTING ACCEPT [12793:793410]
:POSTROUTING ACCEPT [116:5587]
:OUTPUT ACCEPT [952:101492]
-A POSTROUTING -s 10.0.1.162 -o eth0 -j MASQUERADE
-A POSTROUTING -s 10.0.1.161 -o eth0 -j MASQUERADE
COMMIT
# Completed on Sun Apr 6 10:35:53 2003
# Generated by iptables-save v1.2.7a on Sun Apr 6 10:35:53 2003
*filter
:INPUT ACCEPT [508611:92619872]
:FORWARD DROP [217:19371]
:OUTPUT ACCEPT [465076:317858245]
-A FORWARD -s 10.0.1.161 -j ACCEPT
-A FORWARD -d 10.0.1.0/255.255.255.0 -j ACCEPT
-A FORWARD -s 10.0.1.162 -j ACCEPT
COMMIT
# Completed on Sun Apr 6 10:35:53 2003

Каква е точно опасноста в случая?

* За да не отварям нова тема за нищо ще попитам тук защо не мога да си стартирам vncserver-а от rc.local, а трябва да се логна първо като root и тогава да го стартирам...


jacket.hit.bg
[email protected]

използвал е arp.

TANSTAAFL! There AiNt Such Thing As A Free Lunch

Liubopitno mi e kakvi eventualno biha bili nezhelanite efekti ot forward ot 0/0 kym lokalnata mrezha? Che vse pak she vzeme da ti zaraboti maskiraneto, tova li e losho??!

Ako si mislish priateliu moi, che pri default policy ACCEPT niamash forward ot vynshno IP kym lokalnata mrezha zhiveesh v zhestoka zabluda.....

A ako znaesh nezshto po vyprosa, koeto az neznam, shte mi e liubopitno da chuia mnenieto ti, kazhi kakvo losho ima vyv forward-a?

Taka, az da dopylnia niakoi neshta za "Osogovetz":
Pomisli vyrhu slednoto, vyv verigata (chain) FORWARD imash slednite pravila:
default policy-to e DROP, i razreshavash samo na paketi ot IP-ta v lokalnata mrezha da premianvat prez FORWARD, t.e. imash da kazhem slednia red:

iptables -P FORWARD DROP
iptables -A FORWARD -s 129.168.0.5 -d 0/0 -j ACCEPT

i taka, maskiranata mashina s IP 192.168.0.5 izprashta paket kym Internet, koito minava prez FORWARD (ima pravilo koeto go pozvoliava). Paketa stiga do destination IP-to, sled koeto ot tam trygva drug paket (otgovora). Obache drugia paket stiga do gateway-a... i tam si ostava, zashtoto vyv FORWARD pishe che paketi ot Internet (0/0) niamat pravo da dostigat do lokalnata mrezha, vkliuchitelno i IP-to na maskiranata mashina (192.168.0.5).

I kvo stana, masquerade-a ne raboti :/

Ako byrkam niakyde, popravi me.... a ako ne byrkam, misli poveche predi da se zaiazhdash

Направих това с mac адресите. Работи идеално :) Мерси много и за този съвет.
А някой спомена за arp... как може да стане с него, просто от любопитство...

jacket.hit.bg
[email protected]