Закрыть порт 80

[Brabashka]

Здавствуйте.

На машине прокси squid. Все другие машины в инет через эту машину. Для них выхода в инет через 80 зактыт. А сама машина с squid может через 80 порт выходить. Как закрыть на самой машине?

Код: Выделить всё

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:http
MASQUERADE  all  --  <my_network>         anywhere

suse 11.1, firewall is on

[butch]

вам наводка.
проходящий через машину трафик проходит через форвард
а исходящий с машины трафик - через аутпут.

[Brabashka]

1. Даже если проходить через аутпут все равно проходит через postrouting nat'a, ведь так?
2. Значит, он подподает под первое правило, т.е. аксепт - проходит без изменений. А какой сорс адрес у этого пакета при выходе?
3. Я не пойму каковы правила выбора строки с правилом. Чем больше соотвествий? 2-е правило более описательное, чем первое.

[pelmen]

перечитайте документацию по iptables

[Brabashka]

там routing decision до output. Значит сорс адрес пакета будет адрес интефейса с инетом. Он подподает под первое правило и уходит без изьенений. Значит надо добавить правлило, чтобы дропился или реджектился адрес интерфейса с инетом на выходе или в аутпуте? Но на суси 11.1 через файрол не выходит. Файрвол включон.

[strah]

to барабашка: Нескромный вопрос: а зачем фильтровать трафик в таблице nat? Для этого ведь существует таблица filter. Так что, тебе нужно сделать примерно следующее (если я, конечно, правильно понял твой словесный понос):

Код: Выделить всё

iptables -A FORWARD -p tcp --source $LOCAL_NET -i $local_eth_iface --dport 80 -j DROP
#прозрачный прокси:
#iptables -t nat -A PREROUTING -p tcp --source $LOCAL_NET --dport 80 -i $local_eth_iface -j DNAT --to-destination localhost:3128
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

P.S
Без обид, ладненько?

[butch]

оффтоп:
мне кажется, если всегда писать уже готовые правила/опции люди так и не разберутся в вопросе. а только и будут задавать все новые вопросы.

[pelmen]

Тогда пусть читает man iptables