Linux Forum — прошу помощи со скриптом iptables для шлюза

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Fri, 26 Apr 2013 07:27:57 +0000

UPD: открыл ntp в локалку для синхр. с PDC, добавил указание DNS и сервера времени на DNS-сервер и он же ADDC)

+ открыть спойлер

root@gw5:~# cat /etc/network/if-pre-up.d/firewall
#! /bin/sh
TH="192.168.0.65,80.247.XXX.XXX,80.247.99.XXX,109.202.X.XXX" # Trusted hosts debug,imex,avantel,hz
IPT="/sbin/iptables"
EXT_IF="eth0"
INT_IF1="eth1"
INT_IF2="eth2"
INT_IF3="eth3"

NET_WAN="194.150.156.115"

NET_LAN1="192.168.1.0/24"
NET_LAN2="192.168.2.0/24"
NET_LAN3="192.168.0.0/24"

squid3="3128"

DNS_SEARCH="search rotor.ru"

# LAN DNS
DNS="192.168.0.27" # local DNS on Ms Windows

echo "\n\t[+] Setting up dns-nameservers to DC..."
echo $DNS_SEARCH'\nnameserver '$DNS > /etc/resolv.conf # it's work if no nameservers in /etc/network/interfaces file

echo "\t[+] Changing NTP-server to DC in LAN..."
sed -i 's/^server.*/server '$DNS'/g' /etc/ntp.conf

echo "\t[+] Flashing all usr rules..."
$IPT -t mangle -F && $IPT -t filter -F && $IPT -t nat -F && $IPT -F && $IPT -X

echo "\t[+] Enabling ipv4 routing feauture..."
echo 1 > /proc/sys/net/ipv4/ip_forward

echo "\t[+] Seting global policy to DROP ALL..."
$IPT -P INPUT DROP && $IPT -P OUTPUT DROP && $IPT -P FORWARD DROP
# -----------------------------------------------------------------------------

###### INPUT chain ######
echo "\t[+] Setting up INPUT chain..."

### state tracking rules
# $IPT -A INPUT -m conntrack --ctstate INVALID -j LOG --log-prefix "DROP INVALID INPUT PKT " --log-ip-options --log-tcp-options
$IPT -A INPUT -m conntrack --ctstate INVALID -j DROP
$IPT -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

### anti-spoofing rules (inside initialired lan2lan routing accepteed)
# $IPT -A INPUT -i $INT_IF1 ! -s $NET_LAN1 -j LOG --log-prefix "DROP SPOOFED INPUT[1] PKT " # FG conpany lan
$IPT -A INPUT -i $INT_IF1 ! -s $NET_LAN1 -j DROP
#
# $IPT -A INPUT -i $INT_IF2 ! -s $NET_LAN2 -j LOG --log-prefix "DROP SPOOFED INPUT[2] PKT " # AF conpany lan
$IPT -A INPUT -i $INT_IF2 ! -s $NET_LAN2 -j DROP
#
# $IPT -A INPUT -i $INT_IF3 ! -s $NET_LAN3 -j LOG --log-prefix "DROP SPOOFED INPUT[3] PKT " # empty lan
$IPT -A INPUT -i $INT_IF3 ! -s $NET_LAN3 -j DROP

### ACCEPT rules [ssh,www,webmin,ping]
# > [WAN]
$IPT -A INPUT -i $EXT_IF -s $TH -p tcp -m multiport --dport ssh,www,webmin,3333,3335,3336,3389,6666 -m tcp --syn -m conntrack --ctstate NEW -j ACCEPT

# > [LAN]
$IPT -A INPUT ! -i $EXT_IF -p tcp -m multiport --dport ssh,$squid3,webmin -m conntrack --ctstate NEW -j ACCEPT # allow to connect proxy and ssh from LAN's ip

# > [ANY]
$IPT -A INPUT -p icmp --icmp-type any -j ACCEPT

### default INPUT LOG rule
# $IPT -A INPUT ! -i lo -j LOG --log-prefix "DROP NO-LOOPBACK INPUT PKT " --log-ip-options --log-tcp-options

### make sure that loopback traffic is accepted

$IPT -A INPUT -i lo -j ACCEPT
# -----------------------------------------------------------------------------

###### OUTPUT chain ######
echo "\t[+] Setting up OUTPUT chain..."

### state tracking rules
# $IPT -A OUTPUT -m conntrack --ctstate INVALID -j LOG --log-prefix "DROP INVALID OUTPUT PKT " --log-ip-options --log-tcp-options
$IPT -A OUTPUT -m conntrack --ctstate INVALID -j DROP
$IPT -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

### ACCEPT rules for allowing connections out [ftp,ssh,www,ntp,https,dns,ping]
$IPT -A OUTPUT -o $EXT_IF -s $NET_WAN -p tcp -m multiport --dport ftp-data,ftp,ssh,www,ntp,https,aol,xmpp-client -m conntrack --ctstate NEW -j ACCEPT
$IPT -A OUTPUT -o $EXT_IF -s $NET_WAN -p udp -m multiport --dport ssh,www,ntp,https,aol,xmpp-client -m conntrack --ctstate NEW -j ACCEPT

$IPT -A OUTPUT -o $EXT_IF -p tcp --dport domain -m conntrack --ctstate NEW -j ACCEPT # DNS tcp/udp
$IPT -A OUTPUT -o $EXT_IF -p udp --dport domain -m conntrack --ctstate NEW -j ACCEPT

$IPT -A OUTPUT -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -p tcp -m multiport --dport domain,ssh,ntp -m conntrack --ctstate NEW -j ACCEPT # allow ssh,dns from LAN
$IPT -A OUTPUT -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -p udp -m multiport --dport domain,ssh,ntp -m conntrack --ctstate NEW -j ACCEPT # allow ssh,dns from LAN

$IPT -A OUTPUT -p icmp --icmp-type any -j ACCEPT

### default OUTPUT LOG rule
# $IPT -A OUTPUT ! -o lo -j LOG --log-prefix "DROP NO-LOOPBACK OUTPUT PKT " --log-ip-options --log-tcp-options

### make sure that loopback traffic is accepted
$IPT -A OUTPUT -o lo -j ACCEPT
# -----------------------------------------------------------------------------

###### FORWARD chain ######
#
echo "\t[+] Setting up FORWARD chain..."

### state tracking rules
$IPT -A FORWARD -m conntrack --ctstate INVALID -j LOG --log-prefix "DROP INVALID FORWARD PKT " --log-ip-options --log-tcp-options
$IPT -A FORWARD -m conntrack --ctstate INVALID -j DROP
$IPT -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

### anti-spoofing rules
# $IPT -A FORWARD -i $INT_IF1 ! -s $NET_LAN1 -j LOG --log-prefix "DROP SPOOFED FORWARD[1] PKT " # FG company lan
$IPT -A FORWARD -i $INT_IF1 ! -s $NET_LAN1 -j DROP
#
# $IPT -A FORWARD -i $INT_IF2 ! -s $NET_LAN2 -j LOG --log-prefix "DROP SPOOFED FORWARD[2] PKT " # AF company lan
$IPT -A FORWARD -i $INT_IF2 ! -s $NET_LAN2 -j DROP
#
# $IPT -A FORWARD -i $INT_IF3 ! -s $NET_LAN3 -j LOG --log-prefix "DROP SPOOFED FORWARD[3] PKT " # empty lan
$IPT -A FORWARD -i $INT_IF3 ! -s $NET_LAN3 -j DROP
#
# allow to forward: [rdp's, escom_8080],[mail only from lan-s_ip]
$IPT -A FORWARD -i $EXT_IF -s $TH -p tcp -m multiport --dport 3333,3335,3389,6666,http-alt -m tcp --syn -m conntrack --ctstate NEW -j ACCEPT
$IPT -A FORWARD -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -p tcp -m multiport --dport smtp,pop3,ntp -m conntrack --ctstate NEW -j ACCEPT # MAIL fwd from LAN's accept
$IPT -A FORWARD -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -p udp -m multiport --dport ntp -m conntrack --ctstate NEW -j ACCEPT # time fwd from LAN's$

# $IPT -A FORWARD -p tcp -m multiport --dport domain,ntp -m conntrack --ctstate NEW -j ACCEPT # DNS, NTP tcp/udp fwd
$IPT -A FORWARD -p udp -m multiport --dport domain,ntp,123 -m conntrack --ctstate NEW -j ACCEPT
$IPT -A FORWARD -p icmp --icmp-type any -j ACCEPT
#
### default LOG rule
# $IPT -A FORWARD ! -i lo -j LOG --log-prefix "DROP LOOPBACK FORWARD PKT " --log-ip-options --log-tcp-options
# -----------------------------------------------------------------------------

###### NAT rules ######
#
echo "\t[+] Setting up NAT rules..."

$IPT -t nat -A PREROUTING -p tcp --dport 3333 -i $EXT_IF -j DNAT --to 192.168.1.250:3389 # RTS (and DMZ)
$IPT -t nat -A PREROUTING -p tcp --dport 3335 -i $EXT_IF -j DNAT --to 192.168.1.4:3389 # Machine D2
$IPT -t nat -A PREROUTING -p tcp --dport 3389 -i $EXT_IF -j DNAT --to 192.168.1.2:3389 # ADDC name: XXX1
$IPT -t nat -A PREROUTING -p tcp --dport 6666 -i $EXT_IF -j DNAT --to 192.168.1.2:8080 # escom remote mycompany -> enemy1

# Tune Up (troubleshooting's)
$IPT -t nat -A PREROUTING -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -p tcp -m multiport --dport ftp,ftp-data,www,https,aol,xmpp-client -j REDIRECT --to-ports $squid3 # add www,https
$IPT -t nat -A PREROUTING -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -p udp -m multiport --dport www,https,aol,xmpp-client -j REDIRECT --to-ports $squid3 # add www,https
# http,https,icq,qip.ru redirect to -> squid3

# -----------------------------------------------------------------------------

##### MASCARADING #####
#
echo "\t[+] Mascarade require traffic...\n"
$IPT -t nat -A POSTROUTING -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -o $EXT_IF -j MASQUERADE # enable acces LAN's -> WAN
#
echo INTERNET:'\t'$NET_WAN '('$EXT_IF')'
echo NETWORKS:'\n\t\t'$NET_LAN1 '('$INT_IF1')\n\t\t'$NET_LAN2 '('$INT_IF2')\n\t\t'$NET_LAN3 '('$INT_IF3')'
root@gw5:~#

зы: Если кому что понадобится, готов комментировать код.)

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Fri, 19 Apr 2013 03:36:37 +0000

urfin⇓ пишет:

Попробуйте
$IPT -A INPUT ! -i $EXT_IF -p tcp --dport https -m conntrack --ctstate NEW -j REJECT --reject-with tcp-reset

вот оно:

urfin⇓ пишет:

tcp-reset

то что не удалось найти!! Спасибо, в который раз уже выручаете)))

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (urfin) — Thu, 18 Apr 2013 11:52:35 +0000

Enzo_brn пишет:

Чет не пойму как отклонить от кл. ЛС обращение http secure.. (Чтобы когда клиентский браузер не настроен на использование прокси сервера, сразу приходило "соединение было сброшено", а не отвал по таймауту, который долго ждать)
делал так, не помогло - все равно браузер долго тупит:
$IPT -A INPUT ! -i $EXT_IF -p tcp --dport https -m conntrack --ctstate NEW -j REJECT
может это по тому что icmp закрыто все кроме эхо? (насколько я понял любые перенаправления https не имеют смысла..)

Попробуйте

$IPT -A INPUT ! -i $EXT_IF -p tcp --dport https -m conntrack --ctstate NEW -j REJECT --reject-with tcp-reset

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Thu, 18 Apr 2013 11:01:02 +0000

Чет не пойму как отклонить от кл. ЛС обращение http secure.. (Чтобы когда клиентский браузер не настроен на использование прокси сервера, сразу приходило "соединение было сброшено", а не отвал по таймауту, который долго ждать)
делал так, не помогло - все равно браузер долго тупит:

$IPT -A INPUT ! -i $EXT_IF -p tcp --dport https -m conntrack --ctstate NEW -j REJECT

может это по тому что icmp закрыто все кроме эхо? (насколько я понял любые перенаправления https не имеют смысла..)

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Mon, 15 Apr 2013 12:15:45 +0000

urfin⇓ пишет:

Может так: iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

А это мысль! СПС))

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Mon, 15 Apr 2013 12:11:10 +0000

urfin⇓ пишет:

Все работает?

угу!

urfin⇓ пишет:

Тогда очень подробненько задокументируйте все это где-нибудь у себя, иначе, через полгода или позже, начнете ломать себе голову: "а что это я за CENSORED нагородил?"

гугл докс уже ни раз спасал мир от гибели! немного офтоп: сделал сквида прозрачным (intercept) и добавил прероутингом редирект 80-го на 3128. В итоге имеем: все шляпные web-установщики на клиенте отрабатывают без проблем свои загрузки, фурычет и не настроенный на прокси браузер, который не поймет 443 https:// ну да и норм, клиент позвонит, ТП - настроит на исп. прокси. Насчет ssl-bump - боюсь пока лезть.. а и в скрипте теперь 3 ЛС))

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (urfin) — Mon, 15 Apr 2013 12:05:51 +0000

Enzo_brn⇓ пишет:

Как бы указать мульти-интерфейс

Может так: iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (urfin) — Mon, 15 Apr 2013 11:55:52 +0000

Enzo_brn⇓ пишет:

urfin, спасибо)) кажется я упростил: gw5.fw

Все работает? Тогда очень подробненько задокументируйте все это где-нибудь у себя, иначе, через полгода или позже, начнете ломать себе голову: "а что это я за CENSORED нагородил?"

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Mon, 15 Apr 2013 11:47:56 +0000

urfin⇓ пишет:

не знаю, как сейчас, но раньше микрософтовская реализация tcp-протокола, была несколько кривовата

и почему это никого не удивляет..

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Mon, 15 Apr 2013 11:42:40 +0000

urfin, СПС)) кажется я упростил: gw5.fw

+ открыть спойлер

Консоль:

#!/bin/bash
#
TH="192.168.0.65" # Trusted hosts
IPT="/sbin/iptables"
EXT_IF="eth0"
#
INT_IF1="eth1"
INT_IF2="eth2"
INT_IF3="eth3"
#
NET_WAN="192.168.0.0/24"
#
NET_LAN1="192.168.1.0/24"
NET_LAN2="192.168.2.0/24"
NET_LAN3="192.168.3.0/24"
#
squid3="3128"
EXT_RDP="3333,3335,3336,5555,6666"
INT_RDP="3389"
escom="8080"
#
#
echo "[+] Flashing all usr rules..."
$IPT -t mangle -F && $IPT -t filter -F && $IPT -t nat -F && $IPT -F && $IPT -X

echo "[+] Enabling ipv4 routing feauture..."
echo 1 > /proc/sys/net/ipv4/ip_forward

echo "[+] Seting global policy to DROP ALL..."
$IPT -P INPUT DROP && $IPT -P OUTPUT DROP && $IPT -P FORWARD DROP
# -----------------------------------------------------------------------------

###### INPUT chain ######
echo "[+] Setting up INPUT chain..."

### state tracking rules
$IPT -A INPUT -m conntrack --ctstate INVALID -j LOG --log-prefix "DROP INVALID INPUT PKT " --log-ip-options --log-tcp-options
$IPT -A INPUT -m conntrack --ctstate INVALID -j DROP
$IPT -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

### anti-spoofing rules
$IPT -A INPUT -i $INT_IF1 ! -s $NET_LAN1 -j LOG --log-prefix "DROP SPOOFED INPUT[1] PKT " # FG company
$IPT -A INPUT -i $INT_IF1 ! -s $NET_LAN1 -j DROP

$IPT -A INPUT -i $INT_IF2 ! -s $NET_LAN2 -j LOG --log-prefix "DROP SPOOFED INPUT[2] PKT " # AF company
$IPT -A INPUT -i $INT_IF2 ! -s $NET_LAN2 -j DROP

$IPT -A INPUT -i $INT_IF3 ! -s $NET_LAN3 -j LOG --log-prefix "DROP SPOOFED INPUT[3] PKT " # free company
$IPT -A INPUT -i $INT_IF3 ! -s $NET_LAN3 -j DROP

### ACCEPT rules [ssh,www,erdp,escom,ping]
$IPT -A INPUT -i $INT_IF1 -p tcp --dport $squid3 -m conntrack --ctstate NEW -j ACCEPT # allow to connetc to proxy from LAN1
$IPT -A INPUT -i $INT_IF2 -p tcp --dport $squid3 -m conntrack --ctstate NEW -j ACCEPT # allow to connetc to proxy from LAN2
$IPT -A INPUT -i $INT_IF3 -p tcp --dport $squid3 -m conntrack --ctstate NEW -j ACCEPT # allow to connetc to proxy from LAN3
#
$IPT -A INPUT -i $EXT_IF -s $TH -p tcp -m multiport --dport ssh,www,$EXT_RDP,$escom -m tcp --syn -m conntrack --ctstate NEW -j ACCEPT # allow tr-ed in-g.
$IPT -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

### default INPUT LOG rule
$IPT -A INPUT ! -i lo -j LOG --log-prefix "DROP NO-LOOPBACK INPUT PKT " --log-ip-options --log-tcp-options

### make sure that loopback traffic is accepted
$IPT -A INPUT -i lo -j ACCEPT
# -----------------------------------------------------------------------------

###### OUTPUT chain ######
echo "[+] Setting up OUTPUT chain..."

### state tracking rules
$IPT -A OUTPUT -m conntrack --ctstate INVALID -j LOG --log-prefix "DROP INVALID OUTPUT PKT " --log-ip-options --log-tcp-options
$IPT -A OUTPUT -m conntrack --ctstate INVALID -j DROP
$IPT -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

### ACCEPT rules for allowing connections out [ftp,ssh,smtp,www,ntp,pop3,https,rdp,icq,escom]
$IPT -A OUTPUT -o $EXT_IF -p tcp -m multiport --dport ftp,ssh,smtp,www,ntp,pop3,https,$INT_RDP,aol,$escom -m conntrack --ctstate NEW -j ACCEPT
$IPT -A OUTPUT -o $EXT_IF -p udp -m multiport --dport ssh,www,ntp,pop3,https,$INT_RDP,aol,$escom -m conntrack --ctstate NEW -j ACCEPT
#
$IPT -A OUTPUT -o $EXT_IF -p tcp --dport domain -m conntrack --ctstate NEW -j ACCEPT # DNS tcp/udp
$IPT -A OUTPUT -o $EXT_IF -p udp --dport domain -m conntrack --ctstate NEW -j ACCEPT
$IPT -A OUTPUT -o $EXT_IF -p icmp --icmp-type echo-request -j ACCEPT

### default OUTPUT LOG rule
$IPT -A OUTPUT ! -o lo -j LOG --log-prefix "DROP NO-LOOPBACK OUTPUT PKT " --log-ip-options --log-tcp-options

### make sure that loopback traffic is accepted
$IPT -A OUTPUT -o lo -j ACCEPT
# -----------------------------------------------------------------------------

###### FORWARD chain ######
#
echo "[+] Setting up FORWARD chain..."

### anti-spoofing rules
$IPT -A FORWARD -i $INT_IF1 ! -s $NET_LAN1 -j LOG --log-prefix "DROP SPOOFED FORWARD[1] PKT " # FG
$IPT -A FORWARD -i $INT_IF1 ! -s $NET_LAN1 -j DROP

$IPT -A FORWARD -i $INT_IF2 ! -s $NET_LAN2 -j LOG --log-prefix "DROP SPOOFED FORWARD[2] PKT " # AF
$IPT -A FORWARD -i $INT_IF2 ! -s $NET_LAN2 -j DROP

$IPT -A FORWARD -i $INT_IF3 ! -s $NET_LAN3 -j LOG --log-prefix "DROP SPOOFED FORWARD[3] PKT " # free
$IPT -A FORWARD -i $INT_IF3 ! -s $NET_LAN3 -j DROP

$IPT -A FORWARD -p tcp --dport domain -m conntrack --ctstate NEW -j ACCEPT # DNS tcp/udp
$IPT -A FORWARD -p udp --dport domain -m conntrack --ctstate NEW -j ACCEPT
$IPT -A FORWARD -p icmp --icmp-type echo-request -j ACCEPT

### default LOG rule
$IPT -A FORWARD ! -i lo -j LOG --log-prefix "DROP LOOPBACK FORWARD PKT " --log-ip-options --log-tcp-options
# -----------------------------------------------------------------------------

###### NAT rules ######
#
echo "[+] Setting up NAT rules..."
$IPT -t nat -A PREROUTING -p tcp --dport 3333 -i $EXT_IF -j DNAT --to 192.168.1.250:$INT_RDP
$IPT -t nat -A PREROUTING -p tcp --dport 3335 -i $EXT_IF -j DNAT --to 192.168.1.4:$INT_RDP
$IPT -t nat -A PREROUTING -p tcp --dport 3336 -i $EXT_IF -j DNAT --to 192.168.1.2:$INT_RDP # ADDC name: RDC1
$IPT -t nat -A PREROUTING -p tcp --dport 5555 -i $EXT_IF -j DNAT --to 192.168.1.232:$INT_RDP
$IPT -t nat -A PREROUTING -p tcp --dport 6666 -i $EXT_IF -j DNAT --to 192.168.1.2:$escom # escom remote mycompany -> enemy1
#
$IPT -t nat -A PREROUTING -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -p tcp -m tcp --dport www -j REDIRECT --to-ports $squid3
# -----------------------------------------------------------------------------

echo "[+] Mascarade require traffic..."
$IPT -t nat -A POSTROUTING -s $NET_LAN1,$NET_LAN2,$NET_LAN3 -o $EXT_IF -j MASQUERADE
#

есть, правда незадачка: Как бы указать мульти-интерфейс, без циклов.. наподобие этого.

IF_LANS=eth1 eth2 eth3
  
for i in $IF_LANS
 do
  iptables -A INPUT -p ALL -i $i -m state --state ESTABLISHED,RELATED -j ACCEPT  
done

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (urfin) — Mon, 15 Apr 2013 11:23:26 +0000

Enzo_brn⇓ пишет:

Интересно.. Это полезно для высоко нагруженных соединений, или для всех

Для всех, но в плане защищенности от спуфинг-атак, типа "предсказание номера tcp-последовательности". Однако, могут возникнуть проблемы с виндовс-клиентами, не знаю, как сейчас, но раньше микрософтовская реализация tcp-протокола, была несколько кривовата, и при некоторых условиях, пакеты, сгенерированные программами от Микрософт маркировались как NEW, но со сброшенным флагом SYN.

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Mon, 15 Apr 2013 10:58:34 +0000

urfin⇓ пишет:

Немного подредактировал INPUT
+ секция INPUT
и добавил проверку на наличие флага SYN при состоянии NEW (запрос на установление соединения).

"SYN-SENT Клиент отправил запрос серверу на установление соединения и ожидает ответа
SYN-RECEIVED Сервер получил запрос на соединение, отправил ответный запрос и ожидает подтверждения"

Интересно.. Это полезно для высоко нагруженных соединений, или для всех. Было бы любопытно понять как (по-идее) должна изменится скорость обработки запросов от клиентов, как-то приходит человеко-понятная аналогия типо проскси станет более лоялен с клиентами.. правильно ли до меня дошла суть использования флага SYN?

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Mon, 15 Apr 2013 10:16:31 +0000

bormant⇓ пишет:

У меня одного складывается ощущение, что про файлик /etc/services настройщики фаервола в этой теме не сильно в курсе?

все-все, вернулся на путь истинный, только не пинайте!

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Mon, 15 Apr 2013 04:01:02 +0000

kisil⇓ пишет:

Ого. А что в остальных 50% будет?

То-же и будет, остальные 50% - на переосмысливание первых 50%, сделаю все "Корбен Даллас"xD

Re: прошу помощи со скриптом iptables для шлюза

null@example.com (Me_Shock) — Sun, 14 Apr 2013 16:39:21 +0000

urfin⇓ пишет:

ТС решил пойти своим путем, через переменные, так ему показалось проще, чем сверять каждый порт со списком services

Угу, можно многое упростить (жаль не в пользу понятности) в т.ч. пользовать --multiport и циклы в кот. менять цепочки, чтобы не разводить мильён писанины. Просто в определенный момент осознал что не все влазиет в голову, поэтому на дебаге пока так. СПС за "SYN", покане осознал, но пойму.)