Dotaz: Omezení služeb internetu na routeru

[Flegmosmoke]

Dobrý den, potřeboval bych na routeru nějakým elegantním způsobem omezit uživatelům používání Internetu pouze na stahování a odesílání pošty.. Začal jsem tím že se snažím pro danou IP omezit připojení úplně (pomocí iptables): iptables -A FORWARD -s 192.168.0.253 -i eth1 -o eth0 -j DROP (IP 192.168.0.253 nesmí na net) Samozřejmě efekt žádný.. Mám firewall,který jsem si kdysi někde stáhnul a upravil ke své potřebě,ale s tímto s nevím zrovna rady. Zde je výpis:

Chain INPUT (policy DROP)
target     prot opt source               destination
syn-flood  tcp  --  anywhere             anywhere            tcp flags:SYN,RST,ACK/SYN
DROP       tcp  --  anywhere             anywhere            tcp flags:!SYN,RST,ACK/SYN state NEW
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
REJECT     tcp  --  anywhere             anywhere            tcp dpt:auth reject-with tcp-reset
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:pop3
ACCEPT     udp  --  anywhere             anywhere            udp dpt:snmp

Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             192.168.0.253       tcp dpt:58698
ACCEPT     udp  --  anywhere             192.168.0.253       udp dpt:58698
ACCEPT     all  --  anywhere             anywhere            state NEW
ACCEPT     all  --  anywhere             anywhere            state NEW
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
DROP       all  --  anywhere             anywhere            state INVALID,NEW
TCPMSS     tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU

Chain OUTPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere            state NEW,RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere

Chain syn-flood (1 references)
target     prot opt source               destination
RETURN     all  --  anywhere             anywhere            limit: avg 1/sec burst 20
DROP       all  --  anywhere             anywhere

Jak by jste toto řešili? Stačí prosím ťuknout.. Díky!!

Odpovědi

[zabza]

iptables -A ... přidává pravidlo nakonec a pravidla se prochází popořadě. Tedy pokud se narazí na pravidlo, které paket povolí, nezáleží na tom, že by se v dalším pravidle zakázal. Pokud je problém v tomto, použijte iptables -I ... , což přidává pravidlo na začátek řetězce...

[kavol]

no aspoňže se shodnem, když už jsi mě předběhl

[kavol]

man iptables?

jen tak od woka bych si tipnul, že při daných pravidlech se po iptables -A FORWARD -s 192.168.0.253 ... nestane celkem nic, neboť všechny pakety spadnou do některého z dřívějších pravidel - takže chceš asi napsat iptables -I ...

btw, k čemu je dobré spojení na port 58698?

[Flegmosmoke]

Díky!!! 58698 na stanici aby se choval bittorent jako AKTIV (nebo jak se tomu říká).