Dotaz: iptables -m owner nefunguje? help me :)

[Juraj Jakubko]

Dobry den potreboval by som pomoc pri konfiguracii s iptables pouzivam verziu 1.4.2 v slackware problem je s nasledovny.

iptables -N filter
iptables -A filter -p tcp --dport 22 -m owner --uid-owner ss -j ACCEPT
iptables -A filter -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 22 -j filter

ale nezavedie mi to na INPUT nevie niekto preco? 
 

Odpovědi

[tomk]

Nevim, jestli jsem nenarazil na jazykovou barieru, ale neni mi jasne, co ze se to nezavede na INPUT. Nicmene mi pouziti owner v INPUT prijde divne. Pravidlo by melo vyhovovat paketu, ktery vytvroil proces s danym uid. Jak by ten system mohl vedet uid procesu, ktery vytvoril paket na vzdalenem stroji (na INPUT nam prichazeji pakety od nekoho jineho pro nas)?

Tomas

 

[Bilbo]

Takhle ne, -m owner lze pouzit pouze s OUTPUT a POSTROUTING chainem

U mne to mam reseno asi takhle:

# Vyjimky .....
iptables -A OUTPUT -p tcp -d 127.0.0.1 -m owner --uid-owner 1005 -j ACCEPT
iptables -A OUTPUT -p tcp -d 10.11.0.0/16 -m owner --uid-owner 1005 -j ACCEPT
# A zbytek zakaz ...
iptables -A OUTPUT -m owner --uid-owner 1005 -j DROP

A funguje to .... uid 1005 se mimo lokalni sit nedostane. Tyhle pravidla je treba cpat do OUTPUT, v INPUT bohuzel kernel jeste netusi kam paket nakonec "padne", takze se nemuze rozhodovat podle ownera.

[Juraj Jakubko]

Dakujem uz mi je to jasne teraz :) som myslel ze ked sa budem pripajat na server a na nom budem mat pusteny firewall s podporou owner ze sa budu moc pripojit len moje spojenia s mojim id akurat ze sa to neda aplikovat :)

 

[petr_p]

Pak se podívejte na ident a tcpwrapper.