Настройка шлюза для одного компьютера в подсети (shorewall) (чтобы "видел" внешнюю подсеть)

[eddy]

Ситуация: на моем компьютере 2 интерфейса net(eth1) с IP 192.168.43.64 и loc(eth2) с IP 192.168.99.1, к eth2 подсоединен компьютер с IP 192.168.99.2.
Подскажите, пожалуйста, что мне прописать в правила shorewall, чтобы разрешить второму компьютеру доступ к локальной подсети 192.168.43.0/24, но не давать выход "наружу" (интернет и рабочая подсеть)?
Чего я только не пробовал. Вот файл policy:

Код: Выделить всё

loc    net    ACCEPT    7
loc    fw    ACCEPT    7
fw    loc    ACCEPT    7
fw    net    ACCEPT    7
net    all    DROP    7
all    all    REJECT    7

Вот файл rules:

Код: Выделить всё

ACCEPT    net:192.168.43.0/24    fw    udp    20,21,111,2049,4002,4001,4003,4004 -
ACCEPT    net:192.168.43.0/24    fw    tcp    80,443,20,21,22,111,2049,4002,4001,4003,4004 -
ACCEPT    net    fw    icmp    8    -
ACCEPT    loc    net    icmp
#ACCEPT+    fw    net    tcp    http    -    -    -    squid
ACCEPT loc:192.168.99.2    fw    udp 20,21,22
ACCEPT loc:192.168.99.2    net:192.168.43.0/24    udp 20,21,22
REDIRECT    fw    3128    tcp    http    -    !192.168.0.0/16,192.168.43.0/24,127.0.0.1
REDIRECT    loc    3128    tcp    http    -    !192.168.0.0/16,192.168.43.0/24,127.0.0.1
#ACCEPT loc:192.168.99.2    net:192.168.43.0/24
#SMB(ACCEPT) loc:192.168.99.2    net:192.168.43.0/24
#SMB(ACCEPT) net:192.168.43.0/24 loc:192.168.99.2

(последними закомментированными строчками я пробовал добиться доступ к самбе, но ничего не вышло).
ip-forwarding разрешен.
Пробовал маскировать:

Код: Выделить всё

eth2    192.168.99.2 192.168.43.64

ничего не вышло...

[sash-kan]

может как-нибудь попроще попробовать, без привлечения shorewall?

[eddy]

может как-нибудь попроще попробовать, без привлечения shorewall?

Как, чтобы с 192.168.99.2 можно было свободно "перемещаться" по 192.168.43.0/24, но никуда дальше?

[sash-kan]

может как-нибудь попроще попробовать, без привлечения shorewall?

Как, чтобы с 192.168.99.2 можно было свободно "перемещаться" по 192.168.43.0/24, но никуда дальше?

примерно так. три основных правила:
-t filter -A FORWARD -p all -s 192.168.99.0/24 -d 192.168.43.0/24 -j ACCEPT # это чтоб нужные нам пакеты проходили. если нужно только часть протоколов пропускать, надо создать по правилу на каждый
-t filter -A FORWARD -s 192.168.99.0/24 -j REJECT # а все остальные пакеты из второй сети должны «отпинываться». можете и drop поставить, но в описанной вами сети это будет моветон
-t nat -A POSTROUTING -s 192.168.99.0/24 -d 192.168.43.0/24 -j SNAT --to-source 192.168.43.64 # это подмена source, чтобы компьютеры в первой сети обратно шлюзу ответы слали

всё это можно (и нужно) расширить, дополнить, уточнить, ужесточить, ослабить и т.д. и т.п.

p.s. вы не упомянули (или я не вижу), какая маска используется во второй сети. предположил, что 24. но если хотите, можете вообще один конкретный адрес указать — 192.168.99.2.

[eddy]

Спасибо, теперь остается придумать, как это в правилах shorewall прописать.

[patrius]

cat /proc/sys/net/ipv4/ip_forward == 1?

[eddy]

cat /proc/sys/net/ipv4/ip_forward == 1?

Конечно, это и подразумевается под

ip-forwarding разрешен.

[verrens]

Не флейма ради, но ради Истинны. А зачем нужен этот shorewall и чем он лучше plain iptables?

[eddy]

Не флейма ради, но ради Истинны. А зачем нужен этот shorewall и чем он лучше plain iptables?

В iptables я вообще дуб дубом

[verrens]

Не флейма ради, но ради Истинны. А зачем нужен этот shorewall и чем он лучше plain iptables?

В iptables я вообще дуб дубом

А вот и зря!
Один день потратишь, напишешь bash-евый скрипт с кучей вызова iptables - и забудешь про этот ад раз и навсегда

[eddy]

Один день потратишь, напишешь bash-евый скрипт с кучей вызова iptables - и забудешь про этот ад раз и навсегда

Боюсь, что не один день, а как минимум неделю, а то и месяц

[sash-kan]

В iptables я вообще дуб дубом

Боюсь, что не один день, а как минимум неделю, а то и месяц

так стоит ли тратить дополнительное время на shorewall?
это ведь всего лишь дополнительный уровень абстракции. причём явно дырявой.

[eddy]

так стоит ли тратить дополнительное время на shorewall?

Да мне-то нужно было временное подключение создать. В принципе, раз уж не получается, то и ну его нафиг!