настройка iptables удаленно (минимальные правила)

linderox · Сообщение **linderox** » 22.11.2007 17:19

Gentoo роутер. Хотел настроить iptables, сам ни разу этого ни делал
прочитал мануал (100стр) и 2 статьи с сайта gentoo про скрипт под iptbales. я хотел настроить iptables через rules-save, а не через /etc/firewall.sh

вопрос:
1) насколько эти 2 команды соответствуют друг другу?
там ли я правлю или мне надо где-то еще ковырятся ?
2) какие мне правила надо ввести,чтобы блокировать всё,но открыть доступ для одноого ip и потом разрешать потихоньку. я хочу удаленно по ssh это делать,но при этом не обрубить коннект

Код: Выделить всё

$iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:smtp
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh

Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     tcp  --  10.0.3.0/24          anywhere            tcp dpt:20003
ACCEPT     all  --  server.vodoline.loc  anywhere
ACCEPT     all  --  10.0.3.3             anywhere
ACCEPT     all  --  anywhere             10.0.3.0/24         state RELATED,ESTABLISHED
ACCEPT     icmp --  10.0.3.0/24          anywhere
ACCEPT     tcp  --  10.0.3.0/24          anywhere            tcp dpt:https
ACCEPT     tcp  --  10.0.3.0/24          anywhere            tcp dpt:aol

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

а вот в /var/lib/iptables/rules-save

Код: Выделить всё

# Generated by iptables-save v1.2.11 on Tue May 10 08:06:58 20ccept all from localhost
-A INPUT -s 127.0.0.1 -j ACCEPT

# accept all previously established connections
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p UDP -m state --state RELATED,ESTABLISHED -j ACCEPT

# ssh
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

# ftp / webserver related
-A INPUT -p tcp -m state --state NEW -m tcp --dport 20 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5190 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dpoer 110 -j ACCEPT
# Windows / Samba
-A INPUT -p tcp -m state --state NEW -m tcp --dport 137:139 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 426 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT

# up to 5 Bit-torrent connections
-A INPUT -p tcp -m state --state NEW -m tcp --dport 6881:6886 -j ACCEPT

# reject everything else
-A INPUT -j REJECT --reject-with icmp-port-unreachable

COMMIT

stannum · Сообщение **stannum** » 22.11.2007 17:35

С фаерволом шутки плохи, ошибетесь и у вас не будет доступа, поэтому пока Вы новичок - ноги в руки и пошел - непосредсвенно к самому компу и все настроили, вот так я вам скажу.

tx2 · Сообщение **tx2** » 22.11.2007 18:13

ага.. можно здорово проколотся... особенно если комп гденить за несколько тысяч километров...

лучше отладить скрипт конфигурации фаервола на какоминть тестовом сервере, стоящим под боком..

но если возможности нет..
тупой и простой совет... зато действенный...
пишим простой скрипт обнуляющий настройки iptables... и гарантированно рабочий...
ну... самое простое...

Код:


$IPT -P INPUT ACCEPT
$IPT -P FORWARD ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT
$IPT -t nat -P OUTPUT ACCEPT
$IPT -t mangle -P PREROUTING ACCEPT
$IPT -t mangle -P OUTPUT ACCEPT

$IPT -F
$IPT -t nat -F
$IPT -t mangle -F

$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

и пихаем это в крон

linderox · Сообщение **linderox** » 22.11.2007 22:35

1ый вопрос остался открытым...
насколько rules-save соответствует тому, что у меня выдает iptables -L

SergM · Сообщение **SergM** » 23.11.2007 09:03

tx2 писал(а): ↑
22.11.2007 18:13
...

Аж поперхнулся. При таком скрипте уж лучше в крон положить гашение стенки как таковой. Либо пояснять, что этот скрипт должен выполниться только через пару часов\минут, например, и сразу выкинуть его из крона. И потом сразу вернуть предварительно забэкапленные настройки.

2linderox. iptables -L покажет что в текущий момент происходит с фаерволом - какие правила и на каких цепочках активны. Скрипты сохранения\восстановления соотв. сохраняют или восстанавливают эти настройки, но не запускают\останавливают сам фаервол.

linderox · Сообщение **linderox** » 23.11.2007 13:16

хорошо ...но у меня в /etc/conf.d/iptables
строка
IPTABLES_SAVE="/var/lib/iptables/rules-save"

а в этом файле см. выше те правила, которые никакого отношения не имеют,которые сейчас стоят и работают и вадаюстся командой
iptables -L

linderox · Сообщение **linderox** » 26.11.2007 10:58

Я нашел! всем спасибо! вот тут надо было искать !
/etc/runlevels/default/fwsetup
А там был линк на скрипт с правилами,который лежал в корне в неочень понятной директории!!!

unixforum.org

настройка iptables удаленно (минимальные правила)

настройка iptables удаленно

Re: настройка iptables удаленно

Re: настройка iptables удаленно

Re: настройка iptables удаленно

Re: настройка iptables удаленно

Re: настройка iptables удаленно

Re: настройка iptables удаленно