Настройка iptables для начинающих.

[sspphheerraa]

если включить файрволл, статистика по общей скорости всех раздач пропадает

AFAIK статистика идет через 'UDP tracker port' (так он называется в KTorrent, по крайней мере).
Его можно выбрать любым, например 4444, открыть в файерволе, и также все клиенты должны его выставить...

[4umodan]

если включить файрволл, статистика по общей скорости всех раздач пропадает

AFAIK статистика идет через 'UDP tracker port' (так он называется в KTorrent, по крайней мере).
Его можно выбрать любым, например 4444, открыть в файерволе, и также все клиенты должны его выставить...

и совсем никакого правила нельзя создать, что бы опознать подключение именно торрент-клиента для обновления статистики?

[sspphheerraa]

?
не понял вопроса

[4umodan]

перефразирую.
можно ли какое-то правило для iptables создать для опознавания подключений именно от торрент-клиента, учитывая, что UDP порт может быть любой?

[townsman]

Если:

Код: Выделить всё

# find / -name iptables
/usr/sbin/iptables

то надо ли строку:

Код: Выделить всё

sbin/iptables

изменить?
Если интернет подключается через pppoe-start то
в строке:

Код: Выделить всё

INET_IFACE="eth0"

нужно ли вместо еth0 указывать ppp0?
И последнее, пока, а то мозг уже кипит, что такое непривелигированные порты и зачем они мне нужны?

[townsman]

не работает скрипт:

Код: Выделить всё

# ./rc.fw start
Starting firewall: iptablesiptables v1.4.7: option `--destination-ports' requires an argument
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.4.7: invalid port/service `-j' specified
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.4.7: invalid port/service `--sport' specified
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.4.7: invalid port/service `-j' specified
Try `iptables -h' or 'iptables --help' for more information.

и открытые порты не изменились:

Код: Выделить всё

37/tcp   open          time
113/tcp  open          auth
6000/tcp open          X11
8010/tcp open          xmpp
37/udp   open          time
512/udp  open|filtered biff

хотя в скрипте была изменены строчки:

Код: Выделить всё

IPT=/usr/sbin/iptables
OPENPORTS="689,43,21,80,443,5222,20"
# SSH клиент 22
#SSH="22"

# Прописываем порты, которые открыты в системе, но которые не должны быть открыты на сетевых интерфейсах:
#CLOSEPORTS="630,640,783,3310,10000"

# Samba
    #$IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 137,138,139 -j ACCEPT
    #$IPT -A INPUT -p udp -m udp -i $INET_IFACE --dport $UNPRIPORTS --sport 137,138,139 -j ACCEPT
    #$IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport $UNPRIPORTS --sport 137,138,139 -j ACCEPT
    #$IPT -A OUTPUT -p udp -m udp -o $INET_IFACE --dport $UNPRIPORTS --sport 137,138,139 -j ACCEPT


    #$IPT -A OUTPUT -p udp -m udp -m multiport -o $INET_IFACE --destination-ports 139,4444,5554,5555 --sport $UNPRIPORTS -j ACCEPT
    #$IPT -A INPUT -p udp -m udp -m multiport -i $INET_IFACE --dport $UNPRIPORTS --source-ports 139,4444,5554,5555 -j ACCEPT

    #$IPT -A OUTPUT -p udp -m udp -o $INET_IFACE --dport 33434:33523 --sport 32769:65535 -j ACCEPT

    # Разрешаем прохождение DHCP запросов через iptables. Нужно, если IP адрес динамический.
    #$IPT -A OUTPUT -p udp -m udp -o $INET_IFACE --dport 67 --sport 68 -j ACCEPT
    #$IPT -A INPUT -p udp -m udp -i $INET_IFACE --dport 68 --sport 67 -j ACCEPT

# uname -a
Slackware Linux 13.1 ne_spit 2.6.33.4 #2 Thu May 13 00:27:45 CDT 2010

[sspphheerraa]

Поменяйте "--destination-ports" на "--dports", а "--sport" на "--sports" там где где порты перечисляете через запятую

/хотя стоп... у вас же закомментированы все строчки, на какой скрипт он ругается-то?

[townsman]

Поменяйте "--destination-ports" на "--dports", а "--sport" на "--sports" там где где порты перечисляете через запятую

/хотя стоп... у вас же закомментированы все строчки, на какой скрипт он ругается-то?

Вот на этот - http://unixforum.org/index.php?act=attach&type=post&id=18991

[KiWi]

Поменяйте "--destination-ports" на "--dports", а "--sport" на "--sports" там где где порты перечисляете через запятую

/хотя стоп... у вас же закомментированы все строчки, на какой скрипт он ругается-то?

Вот на этот - http://unixforum.org/index.php?act=attach&type=post&id=18991

Базовые правила, использующие модуль conntrack вместо устаревшего state: http://iscribe.ru/2011/02/iptables-for-begginers/
Для остального -- стоит понимать ЧТО это и ЗАЧЕМ делается.

[sspphheerraa]

KiWi, ссылка не работает

[KiWi]

KiWi, ссылка не работает

Возможно, что-то менялось в тот момент.
Сейчас работает.