Linux Forum — CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (skyshooter) — Wed, 06 Apr 2011 13:34:44 +0000

причём обрубило тырнет совсем а не только на той машине...

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (skyshooter) — Wed, 06 Apr 2011 13:34:18 +0000

неа тоже не катит. если смотреть трасертом то после шлюза он просто теряется т.е. он даже не перенаправляет на 1.1.1.2

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (Kettler) — Wed, 06 Apr 2011 12:57:47 +0000

Давай так
nano /home/firewall.sh
туды

#!/bin/bash
echo "1" > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -F
iptables -F -t nat
iptables -F -t mangle
 
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
 
#Маскардинг в инет и локалку
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
iptables -t nat -A PREROUTING -s 1.1.1.2 -p tcp --dport 3128 -j REDIRECT --to-ports 80
iptables -t nat -A PREROUTING -s 1.1.1.4 -p tcp --dport 80 -j DNAT --to-destination 1.1.1.2:3128

сохраняем
chmod +x /home/firewall.sh
выполняем
./home/firewall.sh
проверяем с 1.1.1.4 пробуем зайти

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (Kettler) — Wed, 06 Apr 2011 12:40:06 +0000

Ок надо подумать позже выложу что надо наверняка

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (skyshooter) — Wed, 06 Apr 2011 12:34:54 +0000

#!/bin/bash

# Lockfile location
FW_LOCKFILE="/var/run/firewall.pid"

# iptables for 2.6.9 kernel
KERNELVER=`uname -r | grep ^2.6.9-`
if ( [ -n "$KERNELVER" ] && [ -x /sbin/compat-iptables ] ); then
IPTABLESBIN="/sbin/compat-iptables"
else
IPTABLESBIN="/sbin/iptables-bin"
fi

RC=0
while true; do
if (set -o noclobber; echo "$$" > "$FW_LOCKFILE") 2> /dev/null; then
trap 'rm -f "$FW_LOCKFILE"; exit $RC' INT TERM EXIT
$IPTABLESBIN $@
RC=$?
break
fi
PID=$(cat $FW_LOCKFILE)
if [ -z "$PID" -o ! -d "/proc/$(cat $FW_LOCKFILE)" ]; then
rm -f "$FW_LOCKFILE"
continue
fi
sleep 1
done

Да, не прокатило, сетка повисла и как ты предлагал и мои наработки тоже не прокатили
А вот у тебя первая строчка 1.1.1.5 это к чему ? ну я так понял там 1.1.1.1
Да и вообще чего то я перечитал ещё раз, совсем запутался, наверно всё таки не так понял мне
попробую показать на простейшей схеме
1.1.1.2 -->1.1.1.1:80
1.1.1.1:80 ---> 1.1.1.2:3128
Почему это на первой строчке так как iptables выполняется до первого совпадения т.е. на первую строчку надо поставить разрешение на прямой проход в тырнет через шлюз айпишнику 1.1.1.2 а если это не 1.1.1.2 а любой другой получается первая строчка проходит не отработавшись и попадает под второе правило.

а вообще чтоб было проще возьмём ip пользюка 1.1.1.4 и он хочет в тырнет надо чтоб было так
1.1.1.4 --> 1.1.1.1:80 --> 1.1.1.2:3128 --> 1.1.1.1:80 и вот он тырнет для 1.1.1.4 но уже через проксю

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (Kettler) — Wed, 06 Apr 2011 10:49:07 +0000

Нужен покаж весь iptables скрипт
Chain FORWARD (policy DROP)

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (skyshooter) — Wed, 06 Apr 2011 10:12:49 +0000

Chain INPUT (policy DROP)
target prot opt source destination
DROP all -- 0.0.0.0/0 0.0.0.0/0 state INVALID
REJECT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x12/0x12 state NEW reject-with tcp-reset
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:!0x17/0x02 state NEW
DROP all -- 127.0.0.0/8 0.0.0.0/0
DROP all -- 169.254.0.0/16 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 0
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 3
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 11
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:67 dpt:68
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:67 dpt:68
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:25
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:20
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:21
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:143
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:110
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:53
ACCEPT udp -- 0.0.0.0/0 8.6.34.58 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:443
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:1875
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:5522
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:85
ACCEPT 47 -- 0.0.0.0/0 8.6.34.58
ACCEPT tcp -- 0.0.0.0/0 8.6.34.58 tcp dpt:1723
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpts:1024:65535 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:1024:65535 state RELATED,ESTABLISHED

Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 1.1.1.16 tcp dpt:5558
ACCEPT tcp -- 0.0.0.0/0 1.1.1.16 tcp dpt:5558
ACCEPT tcp -- 0.0.0.0/0 1.1.1.58 tcp dpt:5557
ACCEPT tcp -- 0.0.0.0/0 1.1.1.58 tcp dpt:5557
ACCEPT tcp -- 0.0.0.0/0 1.1.1.15 tcp dpt:5559
ACCEPT tcp -- 0.0.0.0/0 1.1.1.15 tcp dpt:5559
ACCEPT tcp -- 0.0.0.0/0 1.1.1.10 tcp dpt:5555
ACCEPT tcp -- 0.0.0.0/0 1.1.1.10 tcp dpt:5555
ACCEPT tcp -- 0.0.0.0/0 1.1.1.2 tcp dpt:5555
ACCEPT tcp -- 0.0.0.0/0 1.1.1.2 tcp dpt:5555
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0

Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:68 dpt:67
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:68 dpt:67
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:25
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:20
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:21
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:80
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:143
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:110
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:53
ACCEPT udp -- 8.6.34.58 0.0.0.0/0 udp spt:53
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:443
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:1875
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:5522
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:85
ACCEPT 47 -- 8.6.34.58 0.0.0.0/0
ACCEPT tcp -- 8.6.34.58 0.0.0.0/0 tcp spt:1723
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0

Chain drop-lan (0 references)
target prot opt source destination
DROP all -- 0.0.0.0/0 0.0.0.0/0

Ну впринцепи я допёр зачем иногда прописывают форвардс я его просто пробрасываю через некую веб морду поэтому немного не знаком был с данной коммандой. но у меня внутри сети так что впринцепи форвардс мне и не нужен

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (Kettler) — Wed, 06 Apr 2011 09:12:05 +0000

А покажи вывод
iptables -L -n

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (skyshooter) — Wed, 06 Apr 2011 08:56:51 +0000

Спасибо, попробую сегодня, у меня тоже появилось пару надумок, потом отпишусь что получилось
А как думаешь в этой схеме не надо использовать
iptables -A FORWARD .... ?
Просто читал что бывает не срабатываю перенаправления без форварда (как я понял он идёт в схеме iptables после прероутинга и получается прероутинг отрабатывается а форвард не пропускает)

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (Kettler) — Wed, 06 Apr 2011 08:14:00 +0000

iptables -t nat -A PREROUTING -s 1.1.1.5 -p tcp --dport 80 -j DNAT --to-destination 1.1.1.2:3128
iptables -t nat -A PREROUTING -s 1.1.1.2 -p tcp --dport 3128 -j REDIRECT --to-ports 80

Смотри при такой схеме)
с 1.1.1.5:80 -> 1.1.1.2:3128
1.1.1.2:3128 - > 1.1.1.1:80

и 1.1.1.1:80 не попадает под первое правило
во общем как то так получается на скок я тебя понял.

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (Kettler) — Wed, 06 Apr 2011 05:41:07 +0000

squid вроде умеет работать через прочий прокси. На что намекаю ставь на 1.1.1.1 сквид и ему указывай прокси на 1.1.1.2
Поидее понял в течении дня попробую что нибудь придумать

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (skyshooter) — Wed, 06 Apr 2011 05:29:13 +0000

Да, у меня есть мысль поставить на шлюз проксю, но шлюз это просто комп там сделано пару шар сам шлюз и почта а есть реально сервак на котором организован прокси...А ещё это более удароустойчивая система чем всё на одном серваке т.е. пробросив пакеты таким образом злоумышленник например не будет знать что пакеты проходят через проксю а не напрямую через шлюз ...

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (Kettler) — Tue, 05 Apr 2011 15:13:29 +0000

Легко!!! Разобраться в своей сети и настроить по человечески а не через задний проход.
Щас поясню для чего! Кривость собранной сети, на фиг слать друг через друга пакеты?

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (skyshooter) — Tue, 05 Apr 2011 13:44:13 +0000

так вот вопрос то и остаётся как сделать так чтоб 1.1.1.2 шёл на 1.1.1.1 через 80 порт но чтоб для него не выполнялось правило по 1 строчке

Re: CentOS-ClaerOS Необходимо перенаправить всё подсеть кроме 1 ip

null@example.com (Kettler) — Tue, 05 Apr 2011 11:46:13 +0000

Ещё какие вопросы?