Dotaz: iptables-filtrovani adres

[pavel 'goldenfish' kysilka]

zdravim,
potrebuji zprovoznit filtrovani trafiku z nebo do nejakych IP na jakemkoli portu.
mam router se siti za maskaradou(SNAT).
co se mi dari filtrovat pristup z/na adresy na routeru. ale pocitace v siti ( v maskarade) se na dane IP dostanou.

zasilam cast souboru s firrewalem.

iptables -A INPUT -s IPecko -j DROP

iptables -A OUTPUT -d IPecko -j DROP

iptables -A FORWARD -s IPecko -j DROP



neco patrne jeste u firrewalu chybi. ale co ?
napadlo me oznacit packety jdouci z dane adresy ci na danou adresu a pak je zahodit. nejsem si, ale jist zda je to spravne reseni.

diky za kazde reseni.

            

Odpovědi

[kolisko]

jestlize mluvis o maskarade, tak asi router je jednim NIC pripojen do internetu a druhym do LAN. Pak nemuzes na routeru nastavit pravidla pro komunikaci mezi PC uvnitr LAN, protoze komunikuji naprimo - nikoliv pres router. Jestli jsem to spatne pochopil a tim padem mas router pripojeny pres 2 NIC do dvou ruznych LANek, pak by melo stacit pravidlo FORWARD, tak, jak mas uvedeno v prikladu. kolisko

[pavel 'goldenfish' kysilka]

uvedu jen kratce schema:

 INTERNET

    |

   router

     |   

_____________________

|     |    |    |    |     

pocitace na mistni siti siti (LAN)

[tufix]

Možná jsme to pochopili špatně - chybí totiž ZÁSADNÍ informace: to "IP" je počítač uvnitř LAN nebo venku v Internetu?

[pavel 'goldenfish' kysilka]

IP_adresa je myslena adresa z INTERNETu.
to se omlouvam za nedodanou informaci.

[Jáchym]

</pre>

[Pavel]

Myslím, že tato pravidla by fungovat měla. Zkus poslat kompletní výpis pravidel: iptables -L -v Tipnul bych, že tam máš další kolidující pravidla. Poslední pravidlo bych v každém případě pozměnil, aby byly zahozeny pakety, které spojení otevírají (a ty mají IPECKO jako cílovou adresu, nikoli jako zdrojovou): iptables -A FORWARD -d IPecko -j DROP

[Milan Vobecký]

No já nevím,
k iptablesu jsem se jeste nedostal pouzivan stale ipchains. Ale ja bych tam dal -s i -d IP adresy a nastavil bych DROP na oba smery. V ipchainsu na to existovala volba -b.
Milan