обновление правил iptables

[Ruik]

Есть программа, которая в цикле создаёт и добавляет правила для iptables. Правила добавляются (во время работы программы выполнил iptables -L, новые правила есть в цепочках), но не применяются до следующего запуска программы. А надо, чтобы они вступали в силу сразу после создания. Существует ли у iptables какая-нибудь опция типа update?

[watashiwa_daredeska]

Вообще-то правила вступают в силу немедленно после создания. Что-то где-то Вы не так поняли.

[DaemonTux]

Есть программа, которая в цикле создаёт и добавляет правила для iptables. Правила добавляются (во время работы программы выполнил iptables -L, новые правила есть в цепочках), но не применяются до следующего запуска программы. А надо, чтобы они вступали в силу сразу после создания. Существует ли у iptables какая-нибудь опция типа update?

Как вариант у вас пакет обрабатывается вышестоящим правилом.

Код: Выделить всё

        $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
        $IPTABLES -A FORWARD -s 192.168.1.11 -j DROP # добавленное правило
        $IPTABLES -A FORWARD -s 192.168.1.0/24 -j DROP

Если соеденение было установленно до добавление правила, то второе правило не будет работать так как обрабатывается перым.

[Ruik]

У меня вышестоящее правило
& iptables -A INPUT -p tcp --syn -j LOG "SYN-pack"

а добавляется правило
& iptables -A INPUT -s 192.168.13.13 -j DROP

Пробовал добавлять правило в начало цепочки с помощью -I INPUT 1, но результат тот же. Просто добавленное правило должно сбрасывать пакеты с заданного ай-пи, но этого не происходит, отсюда был сделан вывод, что оно не работает.

[DaemonTux]

Чтобы не гадать на кофейной гуще ыложите содержание таблиц iptables до и после добовления правила.

[Ruik]

Чтобы не гадать на кофейной гуще ыложите содержание таблиц iptables до и после добовления правила.Чтобы не гадать на кофейной гуще ыложите содержание таблиц iptables до и после добовления правила.

Это самое логичное. До запуска программы:
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
LOG tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/SYN LOG level warning prefix `SYN-pack'
LOG tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/ACK LOG level warning prefix `ACK-pack'

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain yoooo (0 references)
target prot opt source destination

Вовремя и после запуска программы:
# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
DROP tcp -- 192.168.15.15 anywhere
DROP tcp -- 192.168.15.15 anywhere
DROP tcp -- 192.168.15.15 anywhere
DROP tcp -- 192.168.15.15 anywhere
DROP tcp -- 192.168.15.15 anywhere
LOG tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/SYN LOG level warning prefix `SYN-pack'
LOG tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/ACK LOG level warning prefix `ACK-pack'

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain yoooo (0 references)
target prot opt source destination

Для добавление правила выполняется команда iptables -I INPUT 1 -p tcp -s 192.168.15.15 -j DROP. Так много одинаковых правил, потому что они не срабатывают, с ай-пи 192.168.15.15 продолжают идти пакеты, и программа генерирует новое блокирующее правило. А хочется, чтобы она один раз его заблокировала и с концами.

[watashiwa_daredeska]

Может быть, программа просто медленно работает? Скажем, пакеты уже прошли iptables (когда правил еще нет), но долго висят в какой-нибудь очереди на обработку в самой программе.

[DaemonTux]

Попробуйте telnet`ом с внешнего адреса подключится.
Кстати надеюсь трафик не транзитный?

[Ruik]

Может быть, программа просто медленно работает? Скажем, пакеты уже прошли iptables (когда правил еще нет), но долго висят в какой-нибудь очереди на обработку в самой программе.

Вот это очень даже возможно. Данные из iptables пишутся не в логи, а идут в FIFO-файл, и каждая строка обрабатывается программой. Существует какие-нибудь решения проблемы, не касающиеся программной реализации? То есть вполне можно в программе предусмотреть какие-то дополнительные методы, но это не очень хорошо. Можно замедлить поступления данных в FIFO-файл? Или ещё что-то, чтобы данные не зависали при обработке?