Dotaz: iptables-pravidla

[Lajbo]

Ahoj, videl jsem tu diskuzi o iptables a jedna vec mi uz dlouho neda spat
Mam vsechno zakazane a povoleno mam pouze :

iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o eth0 -p icmp -j ACCEPT

Ale nemohu z routeru pingat ven.Jde to jen kdyz povolim ping dovnitr:

iptables -A INPUT -i eth0 -p icmp -j ACCEPT

Nevite v cem to je? Uz jsem cetl kupu clanku-viz. root.cz, ale stale mi to nedochazi Diky moc za cenou radu, Lajbo

Odpovědi

[Lajbo]

Samozrejme to patri ty pravidla takhle

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o eth0 -p icmp -j ACCEPT

[Yeti]

Pokud tohle je jediné, co je povolené (tj. policy je DROP), tak ten ping ven sice projde, ale neprojde zpět odpověď na něj -- jak by taky mohla? (Kromě toho povolení -p icmp -j ACCEPT není žádné povolení echo-request neco echo-reply, to je povolení ICMP sakumprásk.)

[Lajbo]

Aha Ano, policy je DROP. Ale jeste jeden dotaz, kdyz povolim jen ping z nejakeho rozmezi IPecek(venkovnich) na me-na router a zbytek bude prave policy DROP a budu chtit pingovat z routeru na nejake IP(verejne)(ktere nema povoleno pingat dovnitr), pujde mi to???

[Yeti]

Pokud si uděláš jasno v tom, co povoluješ ;-)

Ping pošle paket ICMP typu echo-request a odpověď na něj je ICMP typu echo-reply. Pravidla můžeš nastavit pro každý typ ICMP paketu zvlášť (--icmp-type) ... takže ,povolení pingu` může znamenat N různých věcí. Pro přijímání odpovědi na pingy je nejlepší povolit příchozí pakety typu echo-reply (a možná dokonce stačí ve stavu RELATED, nevím teď, jesti tohle umí conntrack_icmp taky poznat).

[Lajbo]

Jo tak. Uz asi vim, neco jsem uz cetl v man. A jeste jedna vecicka:
Musim pokazde (resp. napsat do firewallu) zavadeni modulu- ikdyz jsem to uz jednou napsal, ale mezi tim casto restartuji(zapinam a vypinam) router nebo si to nejak pamatuje?
modprobe ip_tables
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe ip_MASQUERADE

[jm]

iptables-save

[Ljabo]

A to je co?

[jm]

man iptables-save