Dotaz: Firewall, zakázání komunikace

[jimi]

Potřeboval bych na firewallu zakázat veškerou komunikaci ze sítě ven, kromě vybraných portů. Ale stále mi to nefunguje. Používám přesměrování na Squida. Venkovní rozhraní je vlan89. Zde je můj firewall:


iptables -t nat -F

iptables -t nat -A PREROUTING -s $SQUIDIP -p tcp --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination $SQUIDIP:3128

iptables -t nat -A POSTROUTING -o vlan89 -j MASQUERADE

iptables -P INPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i vlan100 -j ACCEPT
iptables -A INPUT -i vlan101 -j ACCEPT
iptables -A INPUT -i vlan102 -j ACCEPT
iptables -A INPUT -i vlan103 -j ACCEPT
iptables -A INPUT -i vlan400 -j ACCEPT
iptables -A INPUT -i vlan401 -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Odpovědi

[vencour]

Když si dáš příkaz

watch -d "iptables -nvL -t nat"

uvidíš tam načítání counterů ... snad napoví (mam dojem, že potřebuješ v natu i mimo nat nějak ošetřit provoz.)

[Petr Šobáň]

A co je na tom složitého ?

iptables -P OUTPUT DROP
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -o vlan100 -j ACCEPT

.......

Případně ještě upravit forward pro jiné PC pro které ti PC dělá router.

[Tomb]

Nezmylil si si nahodou chain INPUT s chainom OUTPUT?

INPUT = z vonku do vnutra

OUTPUT = z vnutra von

myslim ze tam bude chyba