iptables (-t filter -A INPUT -p tcp -s <ip-addr> -j DROP)

[Гарыныч]

Всем доброго времени суток!
Возникла насущная проблема... Есть локальная сеть, есть сервак (файловый, он же шлюз), через который эта сетка выходит в инет.
Нужно сделать так, чтобы один из компов (ip 192.168.0.7) в инет выйти не мог.
Две такие команды не помогают:

Код: Выделить всё

 iptables -t filter -A INPUT -p tcp -s 192.168.0.7 -j DROP
 iptables -t filter -A INPUT -p udp -s 192.168.0.7 -j DROP

Потом не перезагружал серв.
С iptables не очень дружу, подскажите как надо

Вот результирующий вывод iptables-save:

Код: Выделить всё

# Generated by iptables-save v1.2.11 on Thu Feb 16 12:04:29 2006
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [60618966:21928714641]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A INPUT -s 192.168.0.7 -p tcp -j DROP
-A INPUT -s 192.168.0.7 -p udp -j DROP
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -i eth1 -j ACCEPT
-A RH-Firewall-1-INPUT -i eth0 -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p ipv6-crypt -j ACCEPT
-A RH-Firewall-1-INPUT -p ipv6-auth -j ACCEPT
-A RH-Firewall-1-INPUT -d 224.0.0.251 -p udp -m udp --dport 5353 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 137 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Thu Feb 16 12:04:29 2006
# Generated by iptables-save v1.2.11 on Thu Feb 16 12:04:29 2006
*nat
:PREROUTING ACCEPT [1115286:62917857]
:POSTROUTING ACCEPT [1625:280922]
:OUTPUT ACCEPT [3662:583592]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Thu Feb 16 12:04:29 2006

[Shura]

поставь эти два правила первыми

[Гарыныч]

Можно пример?

[Angel_13th]

Гарыныч Толку от всех твоих правил 0. Так как у тебя нет фаервола как такового.

Код: Выделить всё

iptables -P INPUT DROP

Это тебя спасет. И у тебя одно правило запрещает а другое разрешает. Я думаю правило

Код: Выделить всё

-A RH-Firewall-1-INPUT -i eth1 -j ACCEPT
-A RH-Firewall-1-INPUT -i eth0 -j ACCEPT

необходимо убрать.
И вообще разберись с iptables, у тебЯ там такая какаша, а не набор правил.

[Гарыныч]

Гарыныч Толку от всех твоих правил 0. Так как у тебя нет фаервола как такового.

Код: Выделить всё

iptables -P INPUT DROP

Это тебя спасет. И у тебя одно правило запрещает а другое разрешает. Я думаю правило

Код: Выделить всё

-A RH-Firewall-1-INPUT -i eth1 -j ACCEPT
-A RH-Firewall-1-INPUT -i eth0 -j ACCEPT

необходимо убрать.
И вообще разберись с iptables, у тебЯ там такая какаша, а не набор правил.

Сказать честно, когда я занялся этим серваком он уже был поднят. Вот теперь разбираюсь