Настоятельно просим вас при общении соблюдать Правила форума и законы РФ. Наша тематика вне политики, поэтому воздержитесь от обсуждения ситуации на Украине и связанных с ней событий, независимо от того, какую сторону вы поддерживаете.
Также напоминаем, что наш форум находится в доменной зоне .ru, физически расположен на российских серверах и мы соблюдаем действующее законодательство России. Любые сообщения о политике будут удаляться.
Linux Forum → Debian GNU/Linux → Помогите раздать инет в сети
Попробуй принудительно указать интерфейс:
$IPT -A INPUT -i $LAN -p tcp --dport 22 -j ACCEPT $IPT -A OUTPUT -o $LAN -p tcp --sport 22 -j ACCEPT
Этот вариант работает. Применил эти же правила для порта 27015 - не работает.
Открыл порты вот так. Не знаю на сколько это соответствует всему скрипту.
Для серверов:
$IPT -A INPUT -p tcp --dport 27010:27030 -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 27010:27030 -j ACCEPT
$IPT -A INPUT -p udp --dport 27010:27030 -j ACCEPT
$IPT -A OUTPUT -p udp --sport 27010:27030 -j ACCEPTДля SSH:
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 22 -j ACCEPT
$IPT -A INPUT -p udp --dport 22 -j ACCEPT
$IPT -A OUTPUT -p udp --sport 22 -j ACCEPTДля 80:
$IPT -A INPUT -p tcp --dport 80 -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 80 -j ACCEPT
$IPT -A INPUT -p udp --dport 80 -j ACCEPT
$IPT -A OUTPUT -p udp --sport 80 -j ACCEPT
Короче шерстил я свой скрипт, и немного в сторону упрощения смотри (сделай только резервную копию) вот эту толпу с RELATED,ESTABLISHED:
$IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
$IPT -A FORWARD -o $WAN -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A FORWARD -o $LAN -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPT -A FORWARD -i $WAN -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
$IPT -A FORWARD -i $LAN -m state --state NEW,RELATED,ESTABLISHED -j ACCEPTменяй на:
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPTдалее так как на цепочку OUTPUT стоит правило NEW то в двойной записи смысла наверное нет т.е.
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 22 -j ACCEPTможно оставить только
$IPT -A INPUT -p tcp --dport 22 -j ACCEPTа OUTPUT сам откроется исходя из правила:
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
Вот в таком виде сейчас firewall.sh:
#!/bin/bash
# Тут в принципе может и не надо этого всего но не помеха вдруг какой модуль не подгружен или форвардинг не включен
echo "1" > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
# Объявление переменных
export IPT="iptables"
# Интерфейс который смотрит в интернет
export LAN=eth0
# Локальная сеть
export WAN=eth1
export WAN_IP_RANGE=192.168.0.0/24
# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X
# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено - запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $WAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $WAN -j ACCEPT
# Принимать все пакеты, которые инициированы из уже установленного соединения, и имеющим
# признак ESTABLISHED.
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $WAN -o $LAN -j ACCEPT
# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP
# Приводит к связыванию системных ресурсов, так что реальный обмен данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP
# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -i $LAN -o $WAN -j REJECT
# Маскарадинг
$IPT -t nat -A POSTROUTING -o $LAN -s $WAN_IP_RANGE -j MASQUERADE
# Открываем порт для ssh
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A INPUT -p udp --dport 22 -j ACCEPT
# Открытие портов для торрентов
$IPT -A INPUT -p tcp --dport 6881:6889 -m state --state NEW -j ACCEPT
# Откытие 443 порта
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT
$IPT -A INPUT -p udp --dport 443 -j ACCEPT
# Открываем 80 порт для веб сайтов
$IPT -A INPUT -p tcp --dport 80 -j ACCEPT
$IPT -A INPUT -p udp --dport 80 -j ACCEPT
# Открытие портов для серверов
$IPT -A INPUT -p tcp --dport 27010:27030 -j ACCEPT
$IPT -A INPUT -p udp --dport 27010:27030 -j ACCEPT
# Открытие порта для Team Speak
$IPT -A INPUT -p tcp --dport 9987 -j ACCEPT
$IPT -A INPUT -p udp --dport 9987 -j ACCEPT
#Вывод информации
$IPT -L -n -t natКажись работает, правда не все проверено (некому, проверен только порт 27015).
Пока оставляй так, со временем разберешься более подробно, хотя не всё есть гуд, например правильнее:
вместо
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPTправильнее вот так
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPTну и тогда все порты ручками открывать и знать какому порту какую цепочку (INPUT\ OUTPUT\ FORWARD)
Читай тему, пробуй
http://linuxforum.ru/viewtopic.php?id=159
Порты кстати не по одному можно открывать, например:
#Разрешаем NETBIOS
iptables -A FORWARD -i eth0 -o eth1 -p udp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -p tcp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -p udp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --ports 135,136,137,138,139,445 -j ACCEPTБез OUTPUT'a перестает резолвиться DNS
#Разрешаем DNS
$IPT -A INPUT -p udp --sport 53 -j ACCEPT
$IPT -A OUTPUT -p udp --dport 53 -j ACCEPTHAEMHIK, там много чего перестает.
Вот пример хороший как надо.
http://linuxforum.ru/viewtopic.php?pid=173721#p173721
ERT заходи в конференцию быстрее помогу что тебе надо
ERT заходи в конференцию быстрее помогу что тебе надо
Это что и где?
Kettler пишет:ERT заходи в конференцию быстрее помогу что тебе надо
Это что и где?
http://linuxforum.ru/viewtopic.php?id=13158
Я думаю, что тему эту стоит завершить рабочим конфигом firewall.sh? Придет кто-то на форум с такими-же знаниями как и у меня - не разберется, читая все написанные посты. Меня то вы провели поэтапно и многое стало понятным.
Так что вот рабочий конфиг (может и не доскональный, но рабочий) для раздачи инета в локальную сеть где:
eth0 (смотрит в инет) и eth1 (смотрит в локальную сеть). В локальной сети 16 машин (IP 192.168.0.2, 192.168.0.101 - 192.168.0.115) с ОС Windows XP Pro.
eth0 - статический IP (выделенная линия от провайдера, без модема).
eth1 - назначаю address 192.168.0.1, netmask 255.255.255.0, broadcast 192.168.0.255 и network 192.168.0.0
Спасибо: newzenon, Kettler, kisil и HAEMHIK (всем, кто принимал участие).
#!/bin/bash
# Тут в принципе может и не надо этого всего но не помеха вдруг какой модуль не подгружен или форвардинг не включен
echo "1" > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
# Объявление переменных
export IPT="iptables"
# Интерфейс который смотрит в интернет
export LAN=eth0
# Локальная сеть
export WAN=eth1
export WAN_IP_RANGE=192.168.0.0/24
# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X
# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено - запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $WAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $WAN -j ACCEPT
# Принимать все пакеты, которые инициированы из уже установленного соединения, и имеющим
# признак ESTABLISHED.
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $WAN -o $LAN -j ACCEPT
# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP
# Приводит к связыванию системных ресурсов, так что реальный обмен данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP
# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -o $WAN -i $LAN -j REJECT
# Маскарадинг
$IPT -t nat -A POSTROUTING -s $WAN_IP_RANGE -o $LAN -j MASQUERADE
# Открываем порт для ssh
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A INPUT -p udp --dport 22 -j ACCEPT
# Открытие портов для торрентов
$IPT -A INPUT -p tcp --dport 6881:6889 -m state --state NEW -j ACCEPT
# Откытие 443 порта
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT
$IPT -A INPUT -p udp --dport 443 -j ACCEPT
# Открываем 80 порт для веб сайтов
$IPT -A INPUT -p tcp --dport 80 -j ACCEPT
$IPT -A INPUT -p udp --dport 80 -j ACCEPT
# Открытие портов для игровых серверов
$IPT -A INPUT -p tcp --dport 27010:27030 -j ACCEPT
$IPT -A INPUT -p udp --dport 27010:27030 -j ACCEPT
# Открытие порта для голосового сервера Team Speak
$IPT -A INPUT -p tcp --dport 9987 -j ACCEPT
$IPT -A INPUT -p udp --dport 9987 -j ACCEPT
#Вывод информации
$IPT -L -n -t natТолько поменяй местами WAN и LAN - так более адекватно будет, а то делали по-быстрому все. wink
Только поменяй местами WAN и LAN - так более адекватно будет, а то делали по-быстрому все. wink
Здесь?
$IPT -A FORWARD -i $WAN -o $LAN -j ACCEPT на $IPT -A FORWARD -o $LAN -i $WAN -j ACCEPT.
Нет во всем скрипте: по смыслу более понятно чтобы LAN - внутренняя сеть, а WAN - снаружи.
Теперь про то как сохранять \ загружать правила.
Поместить запуск в rc.local не есть самое правильное решение, более правильно - это сохранить правила iptables перед выключением, потом перед поднятием сетевого интерфейса загрузить правила, объясню как это сделать:
Для сохранения правил iptables существует команда:
$ iptables-save > /etc/ip_rulles.lstПосле этого правила будут сохранены в файле (имя произвольное) /etc/ip_rulles.lst
Для загрузки правил соответственно:
$ iptables-restore < /etc/ip_rulles.lstНу и самое интересное - в файле настроек сети /etc/network/interfaces в каждый из интерфейсов можно добавлять секции которые будут выполнятся до поднятия, после поднятия, до отключения и после отключения интерфейса - секции:
pre-up
up
post-down
downВ нашем примере сохранение \ восстановление правил лучше поместить в секцию с loopback interface, вот как это будет выглядеть:
# The loopback network interface
auto lo
iface lo inet loopback
pre-up echo "1" > /proc/sys/net/ipv4/ip_forward # Включаем форвардинг пакетов
pre-up iptables-restore < /etc/ip_rulles.lst # Загружаем правила
post-down iptables-save > /etc/ip_rulles.lst # Сохраняем правилаПосле этого из rc.local необходимо лишнее убрать.
Теперь необходимо выполнить наш скрипт и сохранить правила
$ sh /etc/firewall.sh
$ iptables-save > /etc/ip_rulles.lstТеперь все правила будут выставляться автоматически.
Также если сделать restart сети - правила сохраняться и сразу загрузятся.
Чтобы обновить можно принудительно сделать:
$ /etc/init.d/networking restart # start | stop | force-reloadили
$ ifdown lo
$ ifup loОбобщил:
http://linuxforum.ru/viewtopic.php?pid=176106#p176106
Здравствуйте!
Решил сделать шлюз так как у вас написано в статье http://linuxforum.ru/viewtopic.php?pid=176106#p176106
в итоге все получилось если бы не одно но! Почему то открыты все порты! Подскажите как их закрыть что бы работали которые допустим указаны в вашем конфиге.
за ранее спасибо.
Закрываются порты вот этими правилами
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROPЧто там у дальше у тебя я не знаю.
Покажи:
Скрипт вот:
#!/bin/bash
# Тут в принципе может и не надо этого всего но не помеха вдруг какой модуль не подгружен или форвардинг не включен
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
# Объявление переменных
export IPT="iptables"
# Интерфейс который смотрит в интернет
export WAN=eth0
# Локальная сеть
export LAN=eth1
export LAN_IP_RANGE=192.168.1.0/24
# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X
# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено - запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN -j ACCEPT
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
# Пропускать все уже инициированные соединения, а также дочерние от них
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
# Пропускать новые, а так же уже инициированные и их дочерние соединения
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Разрешить форвардинг для новых, а так же уже инициированных и их дочерних соединений
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP
# Приводит к связыванию системных ресурсов, так что реальный обмен данными становится не возможным.
$IPT -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
$IPT -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP
# Разрешаем доступ из внутренней сети наружу
$IPT -A FORWARD -i $LAN -o $WAN -j ACCEPT
# Запрещаем доступ снаружи во внутреннюю сеть
$IPT -A FORWARD -i $WAN -o $LAN -j REJECT
# Маскарадинг
$IPT -t nat -A POSTROUTING -o $WAN -s $LAN_IP_RANGE -j MASQUERADE
# Далее дано как пример открытие портов извне:
# **********************************************************************
# Открываем порт для ssh
$IPT -A INPUT -i $WAN -p tcp --dport 22 -j ACCEPT
# Открытие портов для торрентов (такие же указать в torrent-клиенте)
$IPT -A INPUT -i $WAN -p tcp -m multiport --ports 50100:51100 -j ACCEPT
# Открытие 443 порта
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT
# Открываем 80 порт для веб сайтов
$IPT -A INPUT -i $WAN -p all --dport 80 -j ACCEPT
# Открытие портов для игровых серверов
$IPT -A INPUT -i $WAN -p tcp --dport 27010:27030 -j ACCEPT
$IPT -A INPUT -i $WAN -p udp --dport 27010:27030 -j ACCEPT
# **********************************************************************
# Вывод информации о состоянии
$IPT -Liptables -L -n -v --line-numbers вот:
root@stash:/home/wild# iptables -L -n -v --line-numbers
Chain INPUT (policy DROP 990 packets, 113K bytes)
num pkts bytes target prot opt in out source destination
1 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:5222
2 0 0 DROP udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:5222
3 0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
4 1679 142K ACCEPT all -- eth1 * 0.0.0.0/0 0.0.0.0/0
5 190 39029 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
6 20 2154 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID
7 25 2554 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:!0x17/0x02 state NEW
8 0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:11
9 0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 multiport ports 50100:51100
10 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:443
11 0 0 ACCEPT tcp -- eth0 * 0.0.0.0/0 0.0.0.0/0 tcp dpts:27010:27030
12 0 0 ACCEPT udp -- eth0 * 0.0.0.0/0 0.0.0.0/0 udp dpts:27010:27030
Chain FORWARD (policy DROP 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 DROP all -- * * 192.168.1.98 0.0.0.0/0
2 1102 56708 TCPMSS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x02 TCPMSS clamp to PMTU
3 61878 46M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state NEW,RELATED,ESTABLISHED
4 1 40 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID
5 0 0 ACCEPT all -- eth1 eth0 0.0.0.0/0 0.0.0.0/0
6 0 0 REJECT all -- eth0 eth1 0.0.0.0/0 0.0.0.0/0 reject-with icmp-port-unreachable
Chain OUTPUT (policy DROP 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- * lo 0.0.0.0/0 0.0.0.0/0
2 592 123K ACCEPT all -- * eth1 0.0.0.0/0 0.0.0.0/0
3 253 31719 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state NEW,RELATED,ESTABLISHED
4 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:!0x17/0x02 state NEWВсё в порядке криминала никакого нет, открыто в $WAN только то что открыл, что не нравиться-то?
Ужесточить можно так, это:
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
# Пропускать все уже инициированные соединения, а также дочерние от них
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
# Пропускать новые, а так же уже инициированные и их дочерние соединения
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Разрешить форвардинг для новых, а так же уже инициированных и их дочерних соединений
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPTМеняем на:
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPTНо учти с открытием нужных портов придётся сложнее.
Опять таки это изменение не влияет на кол-во портов отрытых наружу, это запрещает программам открывать порты изнутри (снаружи они по-прежнему будут закрыты). В частности торренты для себя дорожку не протопчут.
вот в чём и проблема.
То что любая игра любое приложение использующее порты работает свободно!
уже не понимаю в чем может быть проблема!
а как мне заблокировать все IP адреса кроме тех которые мне нужно?
вот в чём и проблема.
То что любая игра любое приложение использующее порты работает свободно!
уже не понимаю в чем может быть проблема!
Еще раз прочти, дописал про программы, то бишь NEW убери.
Спасибо огромное насчёт портов получилось!
Подскажите пожалуйста ещё блокировать IP не нужные!
Ну к примеру:
iptables -A INPUT -s IP -j REJECTLinux Forum → Debian GNU/Linux → Помогите раздать инет в сети
Форум работает на PunBB, при поддержке Informer Technologies, Inc
