Dotaz: Firewall na ochranu vnitřní sítě

[writer.lama]

Mám router, který je připojen do dvou sítí. Na něm mám pomocí IPTABLES zadány pravidla. Třeba aby z eth1(vnitřní síť) povolil pakety na SSH(22), ale z eth2(vnejsi sit) je zahodil. Problém je, že by ten firewall měl chránit tu vnitřní síť(eth1).

No a když se skusim připojit z vnější na SSH tak to zahodí, to je dobře. Ale pokud se z nější přes router připojím na SSH do nitřní sítě, tak to projde :(

Jak to teda zablokovat aby SSH z eth0 do eth1 neprošlo?

Odpovědi

[unchallenger]

Co máš v chainu FORWARD? Předpokládám prostě ACCEPT. Tak v něm namísto toho povol, pouze co potřebuješ (pokud jsem správně pochopil situaci).

[Petr Šobáň]

No tak povol pouze to ssh tím jedním směrem od toho jsou parametry jako -i -o -s -d v iptables -> viz: firewall.

[writer.lama]

Dík už to mám:
iptables -A FORWARD -p tcp -s 192.168.70.0/255.255.255.0 -o eth1 --dport 21 -j REJECT

[Petr Šobáň]

No to asi nebude uplne to prave

>Jak to teda zablokovat aby SSH z eth0 do eth1 neprošlo?

iptables -A FORWARD -p tcp -i eth0 -o eth1 --dport 22 -j REJECT
iptables -A FORWARD -p udp -i eth0 -o eth1 --dport 22 -j REJECT

[Petr Šobáň]

A ještě doplním lepe se to dělá tak že se všechno zakáže a pak se povoli příslušné služby

Takže forward na droop

/sbin/iptables -P FORWARD DROP

a potom povolime ve vnitrni siti ssh

iptables -A FORWARD -p tcp -i eth1 -o eth1 --dport 22 -j ACCEPT

a dale povolime jine sluzby ..........

případne provoz ve vnitrni siti neomezujeme atd....(což si myslim neni dobrý nápad).

[writer.lama]

Jo spletl sem si port, jinak na eth0 je připojena síť 192.168.70.0 takže vlastně to půodní moje pravidlo průchod zakáže (ale jen FTP). Dík všem za rady