Administrace komentářů

Related, established = pres toto pravidlo projdou navazana spojeni. Jednoduse pokud nekde povoluju neco (port, ip, ...), nemusim pokazdy zkoumat kazdy paket. Hodi se samo predevsim v pripade, ze hodlas (a to bys ve firme asi mel) nejak omezovat provoz na net (= nenechas tam accept). Napr je velmi vhodne omezit provoz jen na vybrany porty (i odchozi). Ne ze by to malware jako je skype zabranilo projit (dela neuveritelnej bordel v siti, jak zkousi vsechny mozny porty), ale precijen ne kazda aplikace(nebo uzivatel) si stim poradi = ponekud to zvedne bezpecnost.

Neni rozdil ve vykonu, ale bezpecnosti - pokud nastavis NAT na konkretni IP, je to proste bezpecnejsi, nez kdyz tam ma maskaradu, ktera se spokoji s libovolnou IP. Jednoduse to ber jako kosticka ke kosticce, cihla k cihle ...

Ad tunel, mas jednoduse (trebas) a.b.c.d/24 a k.l.m.n/24. Prvni je rozsah LAN, druhy tunelu. Z hlediska toho routeru je to sit jako sit. Natujes na 1.2.3.4 (eth0) => -A POSTROUTING -s a.b.c.d/24 -o eth0 -j SNAT --to-source 1.2.3.4, pro druhou sit pridas totez -A POSTROUTING -s k.l.m.n/24 -o eth0 -j SNAT --to-source 1.2.3.4 (muzes dat jinou IP, pokud mas). Pokud pominu pripadna dalsi pravidla, tak v tenhle okamzik ti bude uplne normalne komunikovat sit A se siti K, a pakety s cilem mimo tyhle dve site se znatujou a poslou do netu. Ale, site A a K se vidi primo => mezi nima se nic nenatuje (ale mozna sem jen blbe precet ten tvuj script - zarazil me tam ten DNAT). Samo pocitam, ze mas verejnou adresu primo na tom stroji - delat dvojitej nat je napikacu (jde to, ale dre to ...).

Ad ten zbytek: -A FORWARD -i eth0 -j privatein -A privatein -s 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privatein -s 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privatein -s 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

=> z verejnyho internetu NESMI NIKDY prijit paket s privatnim sourcem (opet, eth0 ma verejnou IP, jinak by bylo treba to upravovat).

-A privatein -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privatein -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privatein -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

=> dtto s privatnim cilem (v obou pripadech by mohl byt drop, je vhodnejsi pokud ti hrozi nejaky DOS)

Pokud tam toto nedas, jednoduse ti na router dorucim takovy paket (cest je vicero) a router s nim udela presne to, co se od routeru ceka = odroutuje ho. Jakmile se trefim do tvyho rozsahu, muzu navazat spojeni s libovolnym strojem uvnitr (NAT NENI absolutne ZADNA ochrana).

Mno a protoze pres router by nemelo totez projit do netu ven (neb sme hodni a chovame se podle RFC) -A FORWARD -o eth0 -j privateout -A privateout -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable -A privateout -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable -A privateout -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable

=> pokud by se nam stalo(bezna vec), ze se nase vnitrni stroje budou chtit domluvit s nekym na nejakem privatnim rozsahu, ktery ale nezname (nepouzivas ho), tak to router samo taky odroutuje, ale podle RFC ma takovy pakety zahodit. Tady v kazdym pripade reject, protoze to je vnitrni sit = nechces cekat na timeout.