Dotaz: iptables rozsah adres

[kibo]

Dobry den, snazim se nahradit tato pravidla rozsahem ip adres.

###########################FORWARD###########  
#Pokud paket přichází z eth1 a ma IP 10.10.10.2 az 10.10.10.6
# a chce opustit eth0, povol
#$iptables -A FORWARD -i eth1 -o eth0 -s 10.10.10.2 -j ACCEPT
#$iptables -A FORWARD -i eth1 -o eth0 -s 10.10.10.3 -j ACCEPT
#$iptables -A FORWARD -i eth1 -o eth0 -s 10.10.10.4 -j ACCEPT
#$iptables -A FORWARD -i eth1 -o eth0 -s 10.10.10.5 -j ACCEPT
#$iptables -A FORWARD -i eth1 -o eth0 -s 10.10.10.6 -j ACCEPT

Napadlo me neco takoveho:

$iptables -A FORWARD -i eth1 -o eth0 -m iprange --src-range 10.10.10.2-10.10.10.6 -j ACCEPT

iptables mi to sezere, ale nestacilo by toto pravidlo se stejnym efektem a bezpecnosti prepsat na:

$iptables -A FORWARD -m iprange --src-range 10.10.10.2-10.10.10.6 -j ACCEPT

Dekuji za nazory

Odpovědi

[Filip Jirsák]

Efekt bude stejný, pokud se pakety se zmíněnými IP adresami nikdy neobjeví na rozhraní jiném než eth1 a nebudou odcházet přes eth0. Jinak je to to samé. Myslím si ale, že první zápis je pro provoz firewallu efektivnější, protože se pakety nemusí zbytečně porovnávat, pokud jdou mezi jinými rozhraními nebo opačným směrem.