alexfinn пишет:-A INPUT -s внешнийайпи -j ACCEPTЭто я в курсе.
Как заметил есть проброс портов на внутренние сервера.
На данный момент с любого IP можно подключиться по rdp набрав мой wan_ip:4452 и зайти на виндовую машину
Мне нужно запретить это и разрешить только нужные ip.
Какое правило дописать? Или через ipset делать?
А что мешает дополнить правила прероутинга словами "-s внешний_IP"?
]]>-A INPUT -s внешнийайпи -j ACCEPT
Это я в курсе.
Как заметил есть проброс портов на внутренние сервера.
На данный момент с любого IP можно подключиться по rdp набрав мой wan_ip:4452 и зайти на виндовую машину
Мне нужно запретить это и разрешить только нужные ip.
Какое правило дописать? Или через ipset делать?
-A INPUT -s внешнийайпи -j ACCEPT*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4451 -i eth0 -j DNAT --to-destination 192.168.1.4:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4452 -i eth0 -j DNAT --to-destination 192.168.1.5:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4453 -i eth0 -j DNAT --to-destination 192.168.1.6:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4454 -i eth0 -j DNAT --to-destination 192.168.1.7:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4455 -i eth0 -j DNAT --to-destination 192.168.1.8:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4456 -i eth0 -j DNAT --to-destination 192.168.1.9:3389
-A POSTROUTING -o eth0 -s 192.168.1.0/24 -j MASQUERADE
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
*filter
#### drop rules ###
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:RH-Firewall-1-INPUT - [0:0]
#### state rules ###
-A INPUT -m state --state INVALID -j DROP
-A FORWARD -m state --state INVALID -j DROP
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
### localhost ###
-A INPUT ! -i lo -s 127.0.0.1 -j DROP
-A FORWARD ! -i lo -s 127.0.0.1 -j DROP
-A FORWARD ! -i lo -d 127.0.0.1 -j DROP
-A INPUT ! -i lo -d 127.0.0.1 -j DROP
-A INPUT -d 127.0.0.1 -j ACCEPT
-A INPUT -s 127.0.0.1 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A INPUT -p icmp -m icmp -j ACCEPT
-A INPUT -s 172.16.23.0/24 -j ACCEPT
-A INPUT -s wan_ip -j ACCEPT
COMMIT