Linux Forum — centos iptables

Re: centos iptables

null@example.com (kom-pik) — Fri, 24 May 2013 14:46:46 +0000

подскажет кто?

Re: centos iptables

null@example.com (kom-pik) — Fri, 24 May 2013 11:04:20 +0000

и мне список через запитую указывать?

Re: centos iptables

null@example.com (Cruiser78) — Fri, 24 May 2013 10:40:10 +0000

kom-pik пишет:

alexfinn пишет:
-A INPUT -s внешнийайпи -j ACCEPT
Это я в курсе.
Как заметил есть проброс портов на внутренние сервера.
На данный момент с любого IP можно подключиться по rdp набрав мой wan_ip:4452 и зайти на виндовую машину
Мне нужно запретить это и разрешить только нужные ip.
Какое правило дописать? Или через ipset делать?

А что мешает дополнить правила прероутинга словами "-s внешний_IP"?

Re: centos iptables

null@example.com (kom-pik) — Fri, 24 May 2013 10:17:21 +0000

alexfinn пишет:

-A INPUT -s внешнийайпи -j ACCEPT

Это я в курсе.
Как заметил есть проброс портов на внутренние сервера.
На данный момент с любого IP можно подключиться по rdp набрав мой wan_ip:4452 и зайти на виндовую машину
Мне нужно запретить это и разрешить только нужные ip.
Какое правило дописать? Или через ipset делать?

Re: centos iptables

null@example.com (alexfinn) — Fri, 24 May 2013 09:48:59 +0000

-A INPUT -s внешнийайпи -j ACCEPT

centos iptables

null@example.com (kom-pik) — Fri, 24 May 2013 09:12:45 +0000

настроил iptables, единственное вопрос, каким правилом разрешить доступ с определенных внешних IP

*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4451 -i eth0 -j DNAT --to-destination 192.168.1.4:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4452 -i eth0 -j DNAT --to-destination 192.168.1.5:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4453 -i eth0 -j DNAT --to-destination 192.168.1.6:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4454 -i eth0 -j DNAT --to-destination 192.168.1.7:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4455 -i eth0 -j DNAT --to-destination 192.168.1.8:3389
-A PREROUTING -d wan_ip -p tcp -m multiport --dports 4456 -i eth0 -j DNAT --to-destination 192.168.1.9:3389
-A POSTROUTING -o eth0 -s 192.168.1.0/24 -j MASQUERADE
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
*filter
#### drop rules ###
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:RH-Firewall-1-INPUT - [0:0]
#### state rules ###
-A INPUT -m state --state INVALID -j DROP
-A FORWARD -m state --state INVALID -j DROP
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
### localhost ###
-A INPUT ! -i lo -s 127.0.0.1 -j DROP
-A FORWARD ! -i lo -s 127.0.0.1 -j DROP
-A FORWARD ! -i lo -d 127.0.0.1 -j DROP
-A INPUT ! -i lo -d 127.0.0.1 -j DROP
-A INPUT -d 127.0.0.1 -j ACCEPT
-A INPUT -s 127.0.0.1 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A INPUT -p icmp -m icmp -j ACCEPT
-A INPUT -s 172.16.23.0/24 -j ACCEPT
-A INPUT -s wan_ip -j ACCEPT
COMMIT