iptables::rdp-client (покритикуйте правила)

[Voral]

Разбираюсь с настройками фаервола. Периодически есть необходимость подключаться к виндовому rdp серверу. Создал следующие правила:

Код: Выделить всё

    $IPT -A OUTPUT -p tcp -m tcp -d <XXX.XXX.XXX.XXX --dport SSSSS -j ACCEPT
    $IPT -A INPUT -p tcp -m tcp -s XXX.XXX.XXX.XXX --sport SSSSS -j ACCEPT

Есть ли недочеты?

[pelmen]

Есть недочеты. Вот они

<

А зачем вообще все это?

[Voral]

Есть недочеты. Вот они

<

Это я сюда так вставил. Естественно вместо иксов реальное айпи и порт

А зачем вообще все это?

Хм.... Политика по умолчанию дроп.... А коннектится надо. Есть варианты?

[pelmen]

Есть established,related всеми давно уже используется

[Voral]

Есть established,related всеми давно уже используется

упс... спасибо. не подумал.

[newsrc]

Разбираюсь с настройками фаервола. Периодически есть необходимость подключаться к виндовому rdp серверу. Создал следующие правила:

Код: Выделить всё

$IPT -A OUTPUT -p tcp -m tcp -d <XXX.XXX.XXX.XXX --dport SSSSS -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -s XXX.XXX.XXX.XXX --sport SSSSS -j ACCEPT

Есть ли недочеты?

И сразу куча вопросов:
Эти правила на шлюзе под Linux'ом? А виндовозный сервер в локальной сети? Вы подключаетесь снаружи к серверу через Linux или на Linux'e клиент?

[Voral]

И сразу куча вопросов:
Эти правила на шлюзе под Linux'ом? А виндовозный сервер в локальной сети? Вы подключаетесь снаружи к серверу через Linux или на Linux'e клиент?

Эти правила на моем компе (хотя через него подключаются и другие компы, т.е. я могу подключаться туда же с ноутбука через мой основной комп, хотя, как я понимаю, там работают правила с форвардом и маскарадингом.). Виндозный сервер в интернете.

[newsrc]

Код: Выделить всё

$IPT -A OUTPUT -p tcp -m tcp -d <XXX.XXX.XXX.XXX --dport SSSSS -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -s XXX.XXX.XXX.XXX --sport SSSSS -j ACCEPT

Ну раз вы подключаетесь со своего компа (клиент) к серверу RDP, то имеем следующие правила:

Код: Выделить всё

$IPT -A OUTPUT -p tcp --dport 3899 -d $server -j ACCEPT
$IPT -A INPUT  -p tcp --sport 3899 -s $server -j ACCEPT -m state --state ESTABLISHED,RELATED

[pelmen]

блин, аутпут делаем по дефолту ацепт, а инпут дроп, потом в инпут суём естаблишт, релейтед и радуемся жизни.

[Voral]

блин, аутпут делаем по дефолту ацепт, а инпут дроп, потом в инпут суём естаблишт, релейтед и радуемся жизни.

я думал об этом.
Ни и логика такая " а вдруг по неопытности какую фигню типа трояна подцеплю которая будет ломиться от меня" потому и дроп ну и вообще "мало ли что". Или это параноя?

[pelmen]

это паранойя.

[newsrc]

блин, аутпут делаем по дефолту ацепт, а инпут дроп, потом в инпут суём естаблишт, релейтед и радуемся жизни.

Хотя мой вариант не предел, но я за "параноидальные" правила!