Dotaz: iptables

[Jirka]

Zdravím všechny, mám servřík fungující jako router a rád bych pomocí iptables umožnil následující věc:
Ve vnější síti je smb úložiště, který bych rád zpřístupnil pro všechny počítače ve vnitřní síti, ale zase sdílené disky na vnitřní síti nesmí být zvenčí vidět. Už pár lidí tady to má nastavený evidentně blbě a nerad bych tu samou chybu udělal taky. Momentální nastavení pravidel:

~# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i strecha -m state --state NEW -j ACCEPT
-A FORWARD -i strecha -o br0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i br0 -o strecha -j ACCEPT
-A FORWARD -i strecha -o br0 -j REJECT --reject-with icmp-port-unreachable

Díky

Odpovědi

[NN]

Povol smerem ven 445 na IP toho uloziste, to by mnelo stacit.

[Jirka]

pravidýlko by nebylo?
Připojitelnost i jiných samba disků, než na tom hlavním úložišti ve vnější síti bych taky využil. Jenže ti jedou na dhcp.

[NN]

Tvoje predposledni pravidlo, povoluje smerem ven vsechno, takze zadne dalsi neni potreba. Imho nebyt toho posledniho tak je tvuj firewall deravy jako reseto.

[Jirka]

čéče, asi máš pravdu. Už to pilně studuju, asi to bude potřeba. Disk zvenčí sice vidět není, ale na ssh to tam poslouchá jak policejní čokl. Přemejšlím, jak je to možný.

[lertimir]

navíc žádné "REJECT" není na "INPUT", takže server/router poslouchá úplně vše a odevšad.

[Jirka]

Jestli jsem iptables pochopil správně, měly by ty pravidla vypadat takhle:

root@raspi:/etc# iptables -S
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i br0 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i strecha -o br0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i br0 -o strecha -j ACCEPT

Kdyžtak mě někdo opravte.

[Petr]

Ahoj,

Jak na ten vzdaleny disk pristupujes (pres nazev nebo ip adresu) ?

Pokud pouzivas nazev stroje a nemas dobre nastavene dns zaznamy a preklad, tak to muze prekladat pres netbios, coz se ti bez wins serveru neprelozi spravne...

[Jirka]

Díky za tip, přes ip to funguje, samba klient v kde v opensuse ale nenajde nic.