Dotaz: iptables a loopback

[kibo]

Dobrý den

není nesmysl uvádět v konfigu iptables následující v řetězec?

$iptables -A OUTPUT -p ALL -o lo -j ACCEPT   

v INPUTU uz mam

$iptables -A INPUT -i lo -j ACCEPT

Pokud to neni nesmysl, muzete mi prosim vysvetlit proc.

Za radu děkuji

Odpovědi

[Petr Šobáň]

Jednoduše proto že i LO můžeš mít zablokované A taky můžeš počítat data.

1310 537K ACCEPT all -- lo any anywhere anywhere

Jinak stačí:

$iptables -A OUTPUT -o lo -j ACCEPT

$iptables -A INPUT -i lo -j ACCEPT

[Ondřej Čečák]

Poznamka: pomoci $ se pokud vim zpravidla oznacuje shell uzivatele, u roota (ktery ma zpravidla pravo manipulovat s firewallem) se dava #

Povolovat odchozi provoz na lo ma samozrejme smysl pouze v pripade, ze z nejakeho duvodu odchozi provoz blokujete.

[Michal Kubeček]

Tohle vypadá spíš na citaci ze skriptu, kde se na začátek dá

  iptables=/usr/sbin/iptables

a pak se všude píše $iptables. Osobně si raději správně nastavím cesty… :-)

[billgates]

U mna vacsinou zacina skript pre iptables nasledovne:

#!/bin/sh
iptables -F
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

takze povolenie vstupu a vystupu pre loopback ma zmysel. Vacsinou je najlepsie vsetko zakazat a potom postupne povolit to, co ma byt povolene. Mate vacsiu istotu, ze Vam neusli nejake porty.

[Michal Kubeček]

Proč máte u OUTPUT politiku DROP, bych ještě pochopil (i když jsem přesvědčen, že většinou to smysl nemá), ale důvod pro politiku ACCEPT u chainu FORWARD mi uniká.

[......]

To jsme dva, osobně bych to viděl u OUTPUT na ACCEPT a u FORWARD na DROP a pak povolovat jen ty pravidla co mají smysl.

[Miro Babuliak]

Myslite, ze nama zmysel riadit aj odchadzajuci traffic? ... niekomu moze vadit, ze napr. nejaky soft, ktory nainstalujete si posiela niekam na svoj server data ... mne osobne to vadi ... mozno to ma tiez zmysel vtedy, ked mate pomalu linku (GPRS, EDGE), kde je kazde usetrenie dobre -- tipujem

[Michal Kubeček]

To zní jako dobrý nápad. V tom případě by mne ale zajímalo, jak byste ten nápad chtěl konkrétně realizovat. Ono to totiž není zdaleka tak jednoduché, jak to na první pohled vypadá.

[......]

Asi to berem každý z jiného pohledu. Na osobním počítači by to možná smysl mělo, na routeru bych to radši nechal na ACCEPT, protože nikdy nevím, kdo co bude kde potřebovat. Nerad omezuju uživatele jen proto, že se mi to nelíbí. Od toho je tu shaping a každý si se svým dílem dělá co uzná za vhodné.