Dotaz: rozsah pro maškarádu

[Petr Maleček]

Ahoj lidičky, začínám se konečně vnořovat do tajů iptables, ale mám hned problémek.

Na naší síti je routování zakázané (a NAT), ovšem na svém serveru mám pár XEN virtuálů, kterým chci umožnit přes NAT přístup na net (to už není problém). Bohužel se mi nedaří sesmolit pravidlo do iptables, které by povolilo maškarádu jenom pro určité ip adresy.

Zde přikládám můj příkaz co používám, ten ale umožní připojit se přes můj server všem. Mohli byste mi ho někdo prosím upravit tak, aby byl možný přístup pouze z adres 10.0.10.100-10.0.10-110 ?

# iptables --table nat -A POSTROUTING -o eth0 -j MASQUERADE

Děkuji moc !

---

---

Odpovědi

[menphis]

co tohle ? ale nejsem si jist, zda oba myslime to same......

iptables -t nat -A POSTROUTING -m iprange --src-range 10.0.10.100-10.0.10.110 -o eth0 -j MASQUERADE

[Petr Maleček]

Bohužel to nefunguje tak, jak bych potřeboval, jelikož když si nastavím IP 10.109.184.220 (mimo onen rozsah) a default GW ip serveru, tak se přes něj na net dostanu (což nechci, chci to pouze pro kompy s IP v rozsahu 100-110).

I tak děkuji !

 

[menphis]

ale pozor defaultne byva maskarada zapnuta pro vsechny ip na vsech sitovkach... tak to pro jistou zkoukni.

[kozzi]

No a co to poresit trochu jinak. Pokud se nad tim zamylsim tak aby ti to slo je potreba aby jel forwarding, tak co treba nastavit policy proforwarding tak aby bylo vse defaultne zakazane. A povolit jen ty ip adresy co potrebujes. to by melo zabrat.

[kozzi]

ale tohle by ti znemoznilo pristup z takto postizenych ip nejen do netu ale i do cele site. Jiank to pravidlo co tu kodsi psal by taky melo zabrat, ses si jistej ze ti tam nezustalo to tvoje stary nekde pred tim? Protoze pokud nastavis ze se pro dany rorzsah addres ma delat maskarada tak by to pro ostatni platit nemelo

[Petr]

Souhlas, takto to mám a funguje to.

[menphis]

no.. ale neprijde mi to moc efektivni, protoze ty pakety dorazi na router.. ten je vlastne posle do netu, jen se nevrati zpet... ... nemate nekdo nejake elegantnejsi reseni ;)?

[kozzi]

No tak treba to mnou zminene reseni, proste nastavit policy pro forwarding tak ze ty co budo smerovat pryc ze site tak se proste zahodi a nedojde tak k poslani do internetu, a pak jen povolit ty co chceme aby sli do internetu.