pavlar пишет:

Пусть Ёжик в тумане так и остнется от него только одни убытки :  его совет на 20 мин остановил  сеть в 700 компов За такое в прилитчном обществе  канделябром по голове дают ,  а он ещё и огрызается. ..  Вопрос по теме:
arp выдаёт постоянно  какой-то левый ip  10.1.1.128  ,без MAC- адреса и типа маски.  Тогда чтобы его загасить я  присваиваю соему компу этот ip но почему-то конфликта адресов не происходит, arp уже спокойно  показывает ip  с моим MAC и я спокойно работаю в интернете  , Что за фигня

Решил огрызнуться? Ну давай шакал в овечей шкуре поговорим.
Какой тут совет? Я ток вам показал пример как можно, ну если вы на стоко тупоголовый что сразу решили пробывать на боевой машине так это ваша вина!

700 машин и без знания iptables руки вам выдернуть (кто в теме тот поймёт)\

Золотые слова.
Прежде чем...  семь раз отмерь, один раз отрежь!
Если же по делу, могу "нарисовать" набор правил и прочее для: iptables,
но, только при наличии грамотного и подробного: Т.З.

Я не отпустил FORWARD а поставил по умолчанию политику DROP
А дальше разрешил прохождение пакетов. Вам надо было ток подставить за место $wan ваш внешний интерфейс на котором работает NAT.

Чуть поправил в соответствии с п.3.2.6 правил - "Запрещено использовать грубые выражения и ненормативную лексику (мат), включая замаскированный". yars.

Мне если честно до лампочки на ваши проблемы. Но вы говорите что мои правила не работают.

$wan

  переменная которую надо обьявить в вашем скрипте где nat.

$wan

  тут внешний интерфейс.
Например так

iptables -A FORWARD -s 10.44.0.0/16 -o  ppp0 -j ACCEPT

В последний раз
Вы опустили FORWARD   в командной строке с помощью iptaples -P FORWARD DROP и тут же предложили поднять iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
что конечно же дало из-за грубой ошибки в синтаксисе   BAD агрумент.  А правильно надо было поднимать FORWARD командой iptables -P FORWARD ACCEPT  На этом я закачиваю общение на русскоязычных форумах из-за проявления вопиющего незнания  элементарных вещей  , прикрываемого несдержанным хамством и перехожу исключительно на англоязыные. Там люди покультурнее

$wan

  переменная которую надо обьявить в вашем скрипте где nat.

$wan

  тут внешний интерфейс.
Например так

iptables -A FORWARD -s 10.44.0.0/16 -o  ppp0 -j ACCEPT

iptables -A FORWARD -i  ppp0 -d 10.44.0.0/16 -j ACCEPT

iptables -P FORWARD DROP

Политика цепочки FORWARD

iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
iptables -A FORWARD  -i  $wan -d 10.44.0.0/16 -j ACCEPT

критерии разрешающее прохождение пакетов для 10.44.0.0/16 в $wan интерфейс.

Только не надо ужом на сковородке крутиться
если набрать в командной строке как  вы мне прредложили
iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
то получми
  iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
Bad argument `ACCEPT'
Try `iptables -h' or 'iptables --help' for more information.
О чем я и писал выше

Вы опустили FORWARD   в командной строке с помощью iptaples -P FORWARD  и туту же решили поднять iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
что конечно же дажо BAD агрумент. На этом я закачиваю общение на русскоязычных фолрумах из-за проявления элементарного незнания прикрываемым несдержанным хамство и перехожу исключительно на англоязыные. Там люди покультурнее

http://www.chiark.greenend.org.uk/~pete … conclusion

Conclusion

DROP offers no effective barrier to hostile forces but can dramatically slow down applications run by legitimate users. DROP should not normally be used.

http://lists.altlinux.org/pipermail/com … 71463.html
Действие DROP

Данное действие просто "сбрасывает" пакет и iptables "забывает" о его
существовании. "Сброшенные" пакеты прекращают свое движение полностью,
т.е. они не передаются в другие таблицы, как это происходит в случае с
действием ACCEPT. Следует помнить, что данное действие может иметь
негативные последствия, поскольку может оставлять незакрытые "мертвые"
сокеты как на стороне сервера, так и на стороне клиента, наилучшим
способом защиты будет использование действия REJECT особенно при защите
от сканирования портов."

http://www.opennet.ru/docs/RUS/iptables/

Команда    -P, --policy
Пример    iptables -P INPUT DROP
Описание    [color=red]Задает политику по-умолчанию для заданной цепочки[/color]. Политика по-умолчанию определяет действие, применяемое к пакетам не попавшим под действие ни одного из правил в цепочке. В качестве политики по умолчанию допускается использовать DROP и ACCEPT.

Поймите одно действие и политика РАЗНЫЕ ВЕЩИ!!!

Пакет сначала попадает под политику! Если политика DROP пакет идёт дальше по таблице (в нашем примере FORWARD)
Если в цепочке есть критерии, например в нашем случае для сети 192.168.0.0/24 -j ACCEPT то тогда пакеты разрешены на прохождение.

iptables -P FORWARD DROP

Политика цепочки FORWARD

iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
iptables -A FORWARD  -i  $wan -d 10.44.0.0/16 -j ACCEPT

критерии разрешающее прохождение пакетов для 10.44.0.0/16 в $wan интерфейс.

http://lists.altlinux.org/pipermail/com … 71463.html
Действие DROP

Данное действие просто "сбрасывает" пакет и iptables "забывает" о его
существовании. "Сброшенные" пакеты прекращают свое движение полностью,
т.е. они не передаются в другие таблицы, как это происходит в случае с
действием ACCEPT. Следует помнить, что данное действие может иметь
негативные последствия, поскольку может оставлять незакрытые "мертвые"
сокеты как на стороне сервера, так и на стороне клиента, наилучшим
способом защиты будет использование действия REJECT особенно при защите
от сканирования портов."

Пусть Ёжик в тумане так и остнется от него только одни убытки :  его совет на 20 мин остановил  сеть в 700 компов За такое в прилитчном обществе  канделябром по голове дают ,  а он ещё и огрызается. ..  Вопрос по теме:
arp выдаёт постоянно  какой-то левый ip  10.1.1.128  ,без MAC- адреса и типа маски.  Тогда чтобы его загасить я  присваиваю соему компу этот ip но почему-то конфликта адресов не происходит, arp уже спокойно  показывает ip  с моим MAC и я спокойно работаю в интернете  , Что за фигня

Решил огрызнуться? Ну давай шакал в овечей шкуре поговорим.
Какой тут совет? Я ток вам показал пример как можно, ну если вы на стоко тупоголовый что сразу решили пробывать на боевой машине так это ваша вина!

700 машин и без знания iptables руки вам выдернуть (кто в теме тот поймёт)\

Показать вам мои правила где за шлюзом всего 25 машин?
Хотя с вашими знаниями ток man читать и учиться поиском.

Если уш не можете признать своей ошибки не надо вашу головную боль вешать на других.
Устроим голосовалку кто за то что мой пример не поможет в вашем случае?

Kettler, не нужно переходить на личности.
Пока просто предупреждаю. yars.

alexfinn пишет:

pavlar пишет:

-A в  конфигах iptables появляется автоматически на действие в командной строке # iptables -P ..... ACCEPT
-A это формат конфиг-файла а ACCEPT  формат командной строки Вот и вся разница. Но командная строка -A  не воспринимает а только  -P   .....  ACCEPT

Вот вот FORWARD был жестко опушен из комнадной строки с помощью  $iptables -P FORWARD DROP  а предлагалось  подять FORWARD  с помощью (исходя из синтаксиса)  изменения строки скрипта конфига -A.....
Так вот , сколько бы вы ни бились лбом об стену, но обратно поднять FOPWARD можно тоже лишь с помощью командной строки $iptables  -P. FORWARD .ACCEPT 

скок я уже на этом форуме ток у вас получается читать маны через пятую точку. поищите на этом форуме темы с иптаблес тогда и поговорим.
а пока правильно досвидание.

pavlar пишет:

-A в  конфигах iptables появляется автоматически на действие в командной строке # iptables -P ..... ACCEPT
-A это формат конфиг-файла а ACCEPT  формат командной строки Вот и вся разница. Но командная строка -A  не воспринимает а только  -P   .....  ACCEPT

Вот вот FORWARD был жестко опушен из комнадной строки с помощью  $iptables -P FORWARD DROP  а предлагалось  подять FORWARD  с помощью (исходя из синтаксиса)  изменения строки скрипта конфига -A.....
Так вот , сколько бы вы ни бились лбом об стену, но обратно поднять FOPWARD можно тоже лишь с помощью командной строки $iptables  -P. FORWARD .ACCEPT 

-A в  конфигах iptables появляется автоматически на действие в командной строке # iptables -P ..... ACCEPT
-A это формат конфиг-файла а ACCEPT  формат командной строки Вот и вся разница. Но командная строка -A  не воспринимает а только  -P   .....  ACCEPT

4 подсетки  10.44.1.1, 10.44.2.1, 10.44.3.1, 10.44.4.1 и маска 255.255.0.0

Скажем так, где-то имеет место ошибка, ибо при указанной маске это 1 сеть 10.44/16 и 4 хоста в ней 1.1, 2.1, 3.1, 4.1. Четыре сети, это, например, 10.44.1/24, 10.44.2/24, 10.44.3/24, 10.44.4/24.
Но пока оставим это.

Теперь хотелось бы узнать, с чем собственно имеем дело.
Это шлюз, у которого одна сетевая карта смотрит наружу, а другая (или 4 других) в 10.44/16?

В иллюстративных целях создадим алиас eth0:1 с адресом 10.44.0.1/16 и воспользуемся командой

# ifconfig eth0:1 10.44.0.1 netmask 255.255.0.0
# ifconfig eth0:1
eth0:1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 10.44.0.1  netmask 255.255.0.0  broadcast 10.44.255.255
# iptables -A FORWARD -i eth0:1 -d 10.44.0.0/16 -j ACCEPT
# iptables -S FORWARD
-P FORWARD DROP
-A FORWARD -d 10.44.0.0/16 -i eth0 -j ACCEPT

Или даже без алиаса:

# iptables -A FORWARD -i eth0 -d 10.44.0.0/16 -j ACCEPT
# iptables -S FORWARD
-P FORWARD DROP
-A FORWARD -d 10.44.0.0/16 -i eth0 -j ACCEPT

Теперь позвольте поинтересоваться, что вы хотели сказать своей вышеприведённой цитатой?