Dotaz: Odstraneni aktivniho NAT spojeni

[Jan Matuska]

Zdravim, mam modelovy priklad lokalni site 192.168.1.0/24 a v ni nekolik stroju. Pocitac s Linuxem a rozhranim do internetu ma IP 192.168.1.1 Na tomto pocitaci mam pomoci iptables nastaveny NAT a to jedno pravidlo pro kazdou lokalni IP adresu, tak abych zakomentovanim prislusneho radku mohl libovolnemu PC zabranit v pristupu na internet. Vse funguje bezvadne. Ovsem problem je v tom, kdyz zacne nekdo stahovat velmi vyrazne a chci ho odpojit. Pouhe zakomentovani prislusneho radku a reload iptables nepomuze, protoze jeho NAT spojeni zustane aktivni a stahovani bezi vesele dal - pouze nenavaze uz nove spojeni. Veskere pokusy s blokaci pomoci iptables byly marne. Pomohl jedine reload vsech modulu, ktere maji co do cineni s NATem, ale nevyhoda tohoto reseni je, ze to ostatnim zrusi jejich aktivni spojeni (pada icq atd..). Proste NAT a nejakym zpusobem nadrazen nad iptables.
Moje otazka je takova: Lze nejakym zpusobem odstranit aktivni NAT spojeni? Predem dekuji za pripadnou pomoc Honza Matuska

Odpovědi

[Beda]

ta otazka je rek bych blbe polozena. da se z toho vypozorovat co chcete provest, ale neni z toho jasne jak to provadite, takze tezko rict, kde je chyba. takze by asi pomohl vypis iptables -t mangle -vnL; iptables -t nat -vnL; iptables -t filter -vnL; s oznacenim ktere pravidlo zakomentovavate (a pri jistotu co chcete dosahnout)

jinak na urovni firwallu neuvazujte o spojenich. tam jsou jen pakety. jestli pouzivate conntrack, tak je jsou tam pomocny struktury pro neco co se da obcas i prirovnat ke spojeni, ale zas tak presne to neni.

[Jan Matuska]

Omlouvam se za mirne zmatenou otazku. Kazdopadne jedna se o conntrack. Spojeni jsou vypsany v /proc/net/ip_conntrack. Klient z lokalni site, ktery ma navazane spojeni, nejde pomoci DROPU odfiltrovat a spojeni jede do te doby, nez klient spojeni ukonci. Pak samozrejme uz nove nenavaze. A ja bych chtel prave ukoncit to jeho aktivni spojeni.

Pokud to udelam tak, ze reloaduju prislusne moduly zajistujici conntrack, tak se samozrejme zrusi spojeni vsem klientum a to je neprijemne -> spadne icq apod..

[B0biN]

Pokud ten uzivatel nemusi pres ten server vubec chodit, tak mu zakaz uplny pristup!

$IPTABLES -A INPUT -p tcp -s 192.168.0.? -j DROP $IPTABLES -A OUTPUT -p tcp -s 192.168.0.? -j DROP $IPTABLES -A FORWARD -p tcp -s 192.168.0.? -j DROP

/etc/rc.d/init.d/firewall restart

a je to :o)

[B0biN]

Jo promin :o)

IPTABLES="/cesta/k/iptables"

$IPTABLES -A INPUT -p tcp -s 192.168.0.? -j DROP $IPTABLES -A OUTPUT -p tcp -s 192.168.0.? -j DROP $IPTABLES -A FORWARD -p tcp -s 192.168.0.? -j DROP

[Mirek Beneš]

Ano, taky bych to tak resil.. Ovsem par drobnych uprav:

IPTABLES="/cesta/k/iptables"

$IPTABLES -A INPUT -p tcp -s 192.168.0.? -j DROP

$IPTABLES -A OUTPUT -p tcp -d 192.168.0.? -j DROP

$IPTABLES -A FORWARD -p tcp -s 192.168.0.? -j DROP

$IPTABLES -A FORWARD -p tcp -d 192.168.0.? -j DROP

[Mirek Beneš]

...mozna by neuskodilo ani nahradit "-p tcp" striktnejsim "-p all"

[Maude Lebowski]

hm tak tohle by me taky zajimalo..

jinak ale rucne shazovat zlobiveho uzivatele je vopruz... na ponekud vyssi urovni se to resi tzv. traffic sharpingem, tj vhodnym rizenim sitoveho provozu... nedavno o tom vyslo nekolik canku na rootu, hledej HTB, je to v podstate totez co chces ty akorat si predem zadas pravidla a kontroluje to sitovy provoz samo, rozdeluje pasmo pro jednotlive pakety atd.. proste precti si ty clanky a pochopis...

[Jiří Svoboda]

Shaping (orezavani, "tvarovani"), ne sharping (ostreni).

[Maude Lebowski]

samo, sorry

[Palo]

no ja som onehda skusal na serveri program Cutter (http://www.lowth.com/cutter/). Funguje uplne spolahlivo len ma jednu navyhodu ktoru pochopis ked si k tomu precitas to kratucke howto na homapage (RST) a teda nepodarilo sa mi odcuttovat kazaa spojenie bo ono kasle na to co mu klient posiela ono sa to zastavi a po chvilke to zacne zasa pustat data akoby sa nechumelilo.... Takze na kazistov htb a/alebo pouzit modul do iptables "limit" a po stiahnuti urciteho mnozstva dat nejake shapovacie/vypinacie pravidlo inak cutter.