Dotaz: iptables - zablokovani internetu

[123]

Potrebuju zablokovat pocitaci PC pristup na Internet. PC ma IP 192.168.1.63. PC ale musi mit pristup k sluzbam na routeru. Router je pripojen sitovkou eth0 do Internetu a eth1 k PC.

INTERNET --- ROUTER --- PC

Na routeru jsem tedy spustil:

iptables -A OUTPUT -o eth0 -s 192.168.1.63 -j REJECT --reject-with icmp-admin-prohibited

ale Internet jde na PC dal.

Kde delam chybu?

Daji se nejak odstrihnou uz navazana spojeni? Tedy neco jako:

iptables -A OUTPUT -o eth0 -s 192.168.1.63 -m state --state ESTABLISHED,RELATED -j REJECT --reject-with icmp-admin-prohibited

---

---

Odpovědi

[kpt. Pejsek]

Chain FORWARD ne OUTPUT.

[camel1cz]

Pokud chcete zakázat pouze přístup na internet, zakažte přístup do chainu FORWARD. Z pohledu routeru jsou standardně 3 chainy - INPUT (vstup na router), OUTPUT (komunikace z routeru) a FORWARD (pakety putující skrze router - což je Váš případ)

Např. yohle by to mělo řešit:

iptables -A FORWARD -s 192.168.1.63 -j REJECT

[123]

A ma smysl jeste

iptables -A OUTPUT -o eth0 -s 192.168.1.63 -m state --state ESTABLISHED,RELATED -j REJECT --reject-with icmp-admin-prohibited

?

[kpt. Pejsek]

Ne.

[123]

Na routeru jsem spustil presne

iptables -A FORWARD -s 192.168.1.63 -j REJECT

a na PC jde internet dal

PC je ubuntu ve virtualboxu a sit je nastavena jako most a dostane tedy ip z dhcp na routeru. Kdyz na routeru zadam arp -n, tak PC ve virtualboxu normalne vidim s ip 192.168.1.63.

Jak je mozne, ze to nefunguje?

[ewew]

Skúšal si prepínač iptables -I FORWARD ?

[123]

Funguje, diky

Asi to fakt musi byt na zacatku.