Dotaz: Iptables+blokování adres

[Shteffi]

Zdravim.. Vim, že okolo Iptables se tu toho válí hodně.. dokonce jsem si prostudoval články na rootu a diskuze co tu jsou ale pořád nemůžu přijít a to jak nastavit firewall na routeru tak aby blokoval komunikaci s určitou adresou. Konkrétně:
mam router a za nim celou síť
na routeru mam firewall nastavenej podle skriptu Mirka
petříčka http://www.petricek.cz/mpfw/
do něj potřebuju přidat pravidlo který by blokovalo určitou adresu z venku pro určitou adresu vevnitř, popřípadě určitej rozsah adres uvnitř...

Asi se vám to bude zdát jednoduchý ale už si nevim rady.

Taky by mě zajímalo jakym bezpečnym způsobem se dájí obnovit pravidla pro iptables, který mam uložený v debianu v /etc/network/if-pre-up.d/ zatim používam restart, ale musí to jít i bez něj.. ale nevim jak...

Díky za radu...

Odpovědi

[unchallenger]

iptables -A INPUT -i vnější_rozhraní -s zlá_adresa -d hodná_adresa -j DROP

nebo tak něco.

[zabza]

řekl bych, v INPUTu to asi nebude... spíš nějakej FORWARD nebo tak něco...

[unchallenger]

Jo, sorry, to je postaru ;-) Má to být FORWARD.

[Shteffi]

tak nevim ale pořád mi to nefunguje a prochází to.. jak INPUT tak FORWARD nevadí tomu, že tam sou povolený related, established spojení?

[unchallenger]

Pokud spojení nenavazuje ten uvnitř, tak ne. Nemáš tam náhodou NAT?

[Shteffi]

No to bude asi tim... Nat samozřejmě mam.. a spojení navazuje ten uvnitř Potřebuju uživatelům zakázat některý adresy...

[unchallenger]

V tom případě by pomohlo, kdybys v dotazu napsal, jakou máš situaci, a ne něco úplně jiného...

Vyměň -d a -s, změň -i na vnitřní interface a spíš to REJECTni, než DROPni.

[unchallenger]

A kromě toho je v této situaci blokování neúčinné, protože si uživatel na libovolném jiném, povoleném počítači na světě rozjede port forward...

[wake]

jen tak od oka:iptables -t NAT -I PREROUTING -i _inner_iface_ -s _inner_machine_ -d _outer_machine_ -j DROP

[unchallenger]

DROP ne, pokud lze REJECT. Timeouty jsou zlé...

Kromě toho: filtrovat jde ve všech tabulkách, ale dělal bych to v tabulce filter...

[Shteffi]

takhle mi to vrátí : target problem... nevim co s tim...

[wake]

misto NAT piste nat. rikal jsem, ze to je vod voka ;)

[Shteffi]

toho sem si všim.. ale stejně to hází tu chybu...

[zabza]

Filtrujte v tabulce filter

[Shteffi]

sorry, ale už z toho mam zamotanou šišku.. mohl bys uvést konkrétní příklad? Díky..

[wake]

iptables -t filter -I FORWARD -i _inner_iface_ -s _inner_machine_ -d _outer_machine_ -j DROP

[wake]

resp. misto DROP psat REJECT, aby to bylo uplne koser.

[Shteffi]

Konečně.. díky takhle to už bezvadně funguje...

[Shteffi]

buďte tak hodný.. podívejte se na tohle

http://www.petricek.cz/mpfw/

přesně takhle mam ten firewall nastavenej. jestli se tam něco s něčim netluče.. A poraďte mi jak ty adresy blokovat... Děkuju moc...

[......]

Já být tebou začnu od nuly...přečtu si jak ten firewall vůbec funguje..co je chain INPUT, FORWARD, OUTPUT...jak se to chová, kdy tím proletí paket a kdy ne. To bude zcela nejlepší.

[Shteffi]

já vim že jo.. dokonce sem se o to nejednou snažil, ale je toho tolik, že i když si myslim, že tomu rozumim, tak se najde něco co mi to postaví na hlavu.. ale takhle na živejch příkladech se to dá pochopit úplně nejlíp...

[ttt]

Nesouhlasim, protoze ja znamo "Nejpraktictejsi veci na svete je dobra teorie".