iptables small firewall

Imam router, ot ednata strana svyrzan kym malyk LAN, a ot drugata - kym internet.
Trqbva mi slednoto:

router-yt da e dostypen po ssh samo otvytre.
otvyn da e dostypno samo www.

kak da stane s iptables?

pozdravi,
Jivko

мислех да ти се поскарам, но така или иначе ефект няма да има. защо не четеш? мързи ли те? сериозна причина има ли? обясни ми, искам най-накрая някой да ми обясни защо има толкова хиляди като теб, които искат на тепсия поднесено всичко, не четат, а и не искат да четат, нагли са, когато им го кажеш, всякакви други простотии правят, псуват те, само и само да не четат. Защо?

Както и да е. Давам ти два линка, все за добри ръководства. Изчиташ ги, ама наистина ги изчиташ! А не "четох" ама т'ва го нямаше, т'ва не го разбрах и други глупости. вътре има това, което ти е нужно, и ако не го разбереш (понеже това което искаш е супер елементарно), не знам въобще има ли смисъл да се занимаваш с Линукс.
След като прочетеш и осмислиш, пробваш, пробваш и, ако всичко си направил с четенето, и после си го приложил, както трябва - всичко ще бъде наред.

Това силно ти го препоръчвам --> [линк]
Това е, ако започнеш да се оправдаваш, че не знаеш английски --> [линк]

Аааа, още нещо. ще ти дам малък жокер: ще ти отнеме значително по-малко време, да отидеш още сега, да прочетеш и да се справиш сам, отколкото да задаваш глупави въпроси по форуми, чат, ала-бала.

Що трябва да четат - хората с КОМПЮТРИ работят! Не с книги!

Когато боговете говорят, ония с фактите никакви ги няма.

drasni tova pa posle hodi da chetesh koe kakvo e:

1. pozvolqvame www ot vun
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

2. pozvolqvame ssh ot vutre
iptables -A INPUT -s 192.168.0.0/16 -p tcp --dport 22 -j ACCEPT

3. rejem vsichko ostanalo
iptables -A INPUT -p tcp --tcp-flags ALL SYN -j REJECT

Learn to live freely, learn Linux !

къде научи този лош стил на писане на правила за iptables?

абсолютно си прав. като имамме предвид, че всичко описано от него може да стане и без iptables. верно, за какво да чете за iptables. ама нали го иска така :>

Znachi shte go slozha scriptcheto prosto i lesno ama shte triabva da si go nastroish za tvoiata inet i tvoiat LAN ;-))

Znachi pyrvo ti trebva da imash dve mrezhovi karti na linuxa - e za hardware (HW) shte se pogrizhish sega az shte ti kaza za softa.
Imash kacheni vsichki HW.
i pochvash puskash linuxa predpologam che shte imash neshto Pentium za firewall taka che vzemesh
RedHat 9.0
i go instalirash.
po princi trygva samo edna mrezhova karta nastroivash ia za interneta -
kato tam slagash IP addressa kojto ti e dal dostavchika -default gateway, i DNS syshto ili ako e po DHCP go staviash na DHCP - ama ne sym go probval taka.
Znachi po lan internet (inet) dostavichite (ISP) zasichat ethernet addressa na mrezhovata karta - ako si slozhil druga problem niama prosto vizhdash na tazi s koiato dosega si imash internet - naprimern a windowsa il ina pcto na koeto raboti
ako e linux pishesh:
ifconfig

i vizhdash ehternet addresa - toj e 6 hex chisla razdeleni s ":" zapisvash go na list hartia ;-))
sled tova na linuxa prosto pishesh
ifconfig eth0 down
ifconfig eth0 hw 10:10:EF:20:33:AB
kato "10:10:EF:20:33:AB" e tozi zapisania ma list hartia address
i puskash s
ifconfig eth0 up
i pingavash :

ping yahoo.com

i triabva da imash internet - mozhe da narpavish i obratnoto pyrvo da si podkarash
LAN i linuxa da e v nego i sled tova interneta - kakto i da e.

Za da trygne linuxa s dve karti da raboti normalno triabva da napishesh:
append="ether=10,300,eth0 root=LABEL=/"
v lilo.conf

eto kak e pri men:
prompt
timeout=50
default=2.4.20-8custom
boot=/dev/hda
root=/dev/hda2
map=/boot/map
install=/boot/boot.b
message=/boot/message
linear

image=/boot/vmlinuz-2.4.20-8custom
label=2.4.20-8custom
initrd=/boot/initrd-2.4.20-8custom.img
read-only
append="ether=10,300,eth0 root=LABEL=/"


tova prosto ukazva na kernela che shte ima i vtoora LAN karta.
Znachi mozhe da podkarash i lana sys syshtata karta:

prosto si smeniash IPto :
netcfg

i kazvash drugo IP NE PIPAJ DNSa i samo smeniash default gateway - za LANa ti.
Taka da rechem che LANa ti e s ipta:
192.168.0.*

togava

sled kato si si nastroil Linuxa taka che :
eth0 da e za

Znachi neshto mi se precaka browsera.

sled kato si si nastroil Linuxa taka che :
eth0 da e za LANa puskash i vtorata karta za ineta:
eth1

toj sled promianata v lilo.conf
pishesh :

lilo

i

reboot

sled kato zaredi:

si puskash eth1 kojto e za ineta:
kato slednia script triabva da e v:
/etc/init.d/


#!/bin/bash
ifconfig eth1 down
ifconfig eth1 hw ether 10:10:EF:20:33:AB

ifconfig eth1 200.200.1.10
ifconfig eth1 up
route add default gw 200.200.1.1 dev eth1

sega tova e sys primerni IPta i ethernet address:
kakto razbra "10:10:EF:20:33:AB" e na onazi karta za ineta.
taka che si pishesh tvoiat ethernet address ne tozi koito az sym pisal..
Tvoeto IP za internet triabva da e na miastoto na :
"200.200.1.10"
a
default gateway za ineta e:
"200.200.1.1"
i nego smeniash s za tvoia ISP.

sled kato imash veche internet i lan na linuxa - proveriavash kakvo pishe v
/etc/resolv.conf
i tam triabva da pishe

nameserver 200.200.1.11


kato

"200.200.1.11" e na tvoia ISP DNS servera.

taka che ako ne e kakto triabva smeniash.
sega sle kato si pusnal onzi podhodiasht za teb napraven script -
ne zabraviaj da mu slozhish exec prava :
chmod +x my_eth1_up_script.sh

ping yahoo.com

triabva da pingva ;-))



taka sega i iptables

imeto na tozi script e:

forward_up.sh

#!/bin/bash
# Masquerade out eth1
iptables -F
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

#Enables ssh for all
#iptables -A INPUT -i eth1 -p tcp --destination-port ssh -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#iptables -A INPUT -i eth1 -p tcp --destination-port ssh -m state --state NEW,ESTABLISHED,RELATED -j RETURN

# Disallow NEW and INVALID incoming or forwarded packets from eth1.
iptables -A INPUT -i eth1 -m state --state NEW,INVALID -j DROP
iptables -A FORWARD -i eth1 -m state --state NEW,INVALID -j DROP

# Turn on IP forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

taka zabravih da spomena no drugite sa go napisali:
ako si prekompiliraj kernela triabva da imash onezi config_ nastroiki za da ti vyrvi tozi script
syhto za da raboti scripta zadylzhitelno triabva:
eth1 da e za ineta i - IP , DNS, gateway ot ISPto
sledovatelno eto0 e za LANa
i da imash IP forwarding v kernela i iptables module compiled - t.e. da imash modulite ili v kernela ili akto moduli compilirani - a be za po prosto polzvah iadroto na red hata bez promeni shte ti svyrshi dobra rabota.

Onezi dva reda imashti ssh sa zakomentareni no ako izkash da se vyrzvash kym servera (firewalla) triabva da mahnesh "#" otped

za da vyrvi servera i sled reboot
ln -s /etc/init.d/my_eth1_up_script.sh /etc/rc3.d/S98FORWARD
ln -s /etc/init.d/forward_up.sh /etc/rc3.d/S99FORWARD


ln -s /etc/init.d/my_eth1_up_script.sh /etc/rc5.d/S98FORWARD
ln -s /etc/init.d/forward_up.sh /etc/rc5.d/S99FORWARD

v
/etc/inittab

smeniash chisloto "5" na "3"
i linuxa shte bootva v textov mode - t.e. ne v grafica- ama nali e firewall za kakvo ti e inache.

Ajde priatno browsevane.

Znachi pisal si che imash ruter - az si mislia che imash Linux - no ako imash device kato DLink router - toj si ima firewall - i ne stava s iptables - kakto i da tozi help ako ne na teb to na dsrug shte pomogne.
Az kakto vizhdash i bez router ti obiasnih kak stava - Linuxa ti e router ;-)) e ne tochno onova prerouting e vsychnot NAT network address translation - koeto e po gotiono shtoto si zashtitavash LANa ot kakvo li ne ne samo hackeri(crackeri) no i ot virusi i kakyv li ne izlishen trafic - kojto mozhebi plashtash ;-))

no ako izkash da si polzvash routera - ok niam problem prosto gi vyrzhi Linuxa kym nego na cartata koiato e

eth1
i gotovo i niama nuzhada da se zanimavash s ethernet addresa v tozi sluchaj.

ajde sys zdrave.

A be tva i za pari shte se zamislia dali da go cheta i koj mu e nuzhdno neznam ;-))
a i kakvi sa tezi pdf files be google nemash li?

a eto hints:
linux howto iptables

za keys v google
sushto i :
linux howto multiple ethernet cards

ili napravo na :

[линк]

ama na
[линк]

si ima dosta howtos po temata.
ajde da ne kazhes hche neshto sym skyndza.

znachi slagazh vmesto:
#iptables -A INPUT -i eth1 -p tcp --destination-port ssh -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#iptables -A INPUT -i eth1 -p tcp --destination-port ssh -m state --state NEW,ESTABLISHED,RELATED -j RETURN


#iptables -A INPUT -i eth1 -p tcp --destination-port 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#iptables -A INPUT -i eth1 -p tcp --destination-port 80 -m state --state NEW,ESTABLISHED,RELATED -j RETURN

i gotovo - ot vyrtre shte ti e dosypno vsichko ama to niama da ima nishto osven ssh i www - kakto i da ako izkaah mozhesh da mahnesh i za otvytre kato slozish pochti vsichko to forward scipta oshte vyrnuzh bez prerouting i smenish eth1 na eth0 no i onova za ssh shte triabva da ostavish - uncomented - bez "#" otpred.

znachi napisah :
#iptables -A INPUT -i eth1 -p tcp --destination-port 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#iptables -A INPUT -i eth1 -p tcp --destination-port 80 -m state --state NEW,ESTABLISHED,RELATED -j RETURN



i ikzah da napisha
iptables -A INPUT -i eth1 -p tcp --destination-port 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth1 -p tcp --destination-port 80 -m state --state NEW,ESTABLISHED,RELATED -j RETURN

t.e. da se izpylniat - a polozhenieto na tezi redove e ot znachenie NE gi slaga j sled one zi zavyrzhvashti s
-j DROP