Dotaz: Jak časově povolit port Od a Do určité doby

[liman]

Prosím o radu, jak můžu časově ovlivnit přístupnost portu na zadané IP. Tzn.: dejme tomu, že chci adrese IP1:Port1 povolit vstup z internetu do lokalni site na adresu IP2:Port2 treba od 10.6.2004 do 10.7.2004, nebo 10.6.2004 od 7:00 do 15:00 ... Potěší mě každá rada, zejména pokud někdo má skript toto či něco podobného řešící. Používám RedHat8.0,jadro2.4,mám 2 síťovky pro vnitřní a vnější síť. Uvažoval jsem nad nějakým propojením cron démona, iptables a squid, ale jak? Díky

Odpovědi

[Yeti]

Aby se nekomplikovala manipulace s pravidly iptables, zaved si specialni chainy, ktere budou obsahovat akorat -j RETURN, kdyz to bude povolene, a -j REJECT, kdyz to bude zakazane, a ktere se budou z daneho mista pouzivat (... -j ten_chain). No a z cronu pak jednoduse to pravidlo zmenis pomoci -D ten_chain neco, resp. -I ten_chain neco.

[liman]

Nejsem si jistý jak je to myšleno, mohl bych poprosit o podrobnější popis? Jsem beginner...

[unchallenger]

Mohu vědět, proč měníš titulek na Yeti? No nic...

Vytvoření chainu (default REJECT):

iptables --new timechain1
iptables --append timechain1 --jump REJECT

Z cronu (nebo spíš pomocí at, protože koukám nechceš periodické změny ale nějaká konkrétní data) zakázání:

iptables --flush timechain1
iptables --append timechain1 --jump REJECT

povolení

iptables --flush timechain1
iptables --append timechain1 --jump RETURN

Chain timechain1 pak použiješ v hlavním firewallu:

iptables ... --jump timechain1

přičemž to pak bude buď pokračovat, jakoby nic, nebo se paket REJECTne a tím to skončí.

V místě ... se matchnou ty IP adresy a proty, ale nevím, jestli tam máš NAT, nebo nemáš, nebo co, ale to už si snad doplníš (viz Netfilter howto... ;-)

[liman]

NAT tam je, no já děkuji za radu, doufám že se mi to podaří správně implementovat...

[liman]

Jak na to tak koukám, ono když to jde přes nat, tak je to asi poněkud složitější že? Strávil jsem celý den pročítáním manu, a teď jsem z toho vedle a nerad bych něco zvoral. Pokud to dobře chápu tak nejprve napíšu do shellu postupně ty první dva řádky (iptables -N timechain1 a iptables -A timechain1 -j REJECT) a pak spustím dva skripty:

at -f zakaz.sh 061004 12:00

at -f povol.sh 071004 12:00

kde v zakaz.sh budou řádky

iptables -f timechain1

iptables -A timechain1 -j REJECT

a v povol.sh bude

iptables -f timechain1

iptables -A timechain1 -j RETURN

nebo ještě něco? No a nevím jak ten poslední řádek

iptables ... --jump timechain1

zakomponovat do rc.firewall když tam mám:

$IPTABLES -t nat -A PREROUTING -p UDP --dport 9998 -j DNAT --to 192.168.1.13

Šlo by na to kouknout kdybych zaslal na mail cely rc.firewall? Díky za odpověď

[unchallenger]

Ne moc efektivně, ale jednoduše to prostě matchneš dvakrát:

$IPTABLES -t nat -A PREROUTING -p UDP --dport 9998 -j timechain1
$IPTABLES -t nat -A PREROUTING -p UDP --dport 9998 -j DNAT --to 192.168.1.13

přičemž první pravidlo to buď zahodí, nebo paket projde na druhé pravidlo, kde se opravdu udělá NAT. Jen REJECT v NATu není možný, takže to namísto toho DROPneš. A všechna výše uvedená pravidla také musí mít -t nat.

[liman]

Tzn., že -t nat napíšu i do shellu při vytváření chainu?

iptables -t nat -N timechain1
iptables -t nat -A timechain1 -j DROP

a v zakaz.sh bude jen toto:

#!/bin/bash
iptables -t nat -f timechain1 
iptables -t nat -A timechain1 -j DROP 
exit 0

Je to tak OK?

[unchallenger]

Jo. (Já ti samozřejmě nemůžu dát žádnou záruku, že to bude fungovat, přesně jak píšu, když to píšu z hlavy, takže detaily si holt dolaď...)

[liman]

Jasně, díky. Mám teď malinko jiný dotaz, i když k tématu: když jsem si z shellu v iptables vytvořil ten nový chain, musím iptables ještě ukládat jako některým z následujících řádků, aby se např. po rebootu nesmazal?:

iptables-save
service iptables-save
./iptables save

Četl jsem spoustu odkazů,např. ale u posledního příkazu mě zajímá jestli to autor(http://soban.wz.cz/linux/firewall.html) nemyslel jako

./iptables-save

Taky nevím, jestli když nemám v adresáři /etc/sysconfig žádný soubor iptables tak jak to spousta odkazů uvádí, tak jestli ho výše uvedený příkaz vytvoří. Dík

[unchallenger]

Vzhledem k tomu, že je to RH, tak

service iptables save

Tím se vytvoří /etc/sysconfig/iptables (a při dalším bootu zase natáhne, pokud je služba iptables povolená).

iptables-save lze taky použít, ale vyplivne to na stdout, takže to musíš sám někam přesměrovat...

./iptables save dost závisí na tom, ve kterém jsi adresáři ;) (např. v /etc/init.d to udělá, co má).