31 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

nat - это маршрутизация,
forward - фильтрация.
Это в принципе разные вещи.
Говоря простым языком, то nat говорит куда идти, а forward говорит кому идти (или не идти).

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null
+ astalavista

32 Ответ от astalavista

  • astalavista
  • astalavista
  • Пользователь
  • Неактивен
  • Зарегистрирован: 13.03.2010
  • Сообщений: 203
  • Репутация : [ 0 | 0 ]

Сделал так

iptables -A torrent -m recent --update --seconds 600 --hitcount 3 -j DROP
iptables -A torrent -m recent --set -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate NEW -p tcp --dport 80 443 53 -j ACCEPT

iptables -A FORWARD -m conntrack --ctstate NEW -s 192.168.0.2 -p tcp  -j torrent
iptables -A FORWARD -m conntrack --ctstate NEW -s 192.168.0.3 -p tcp  -j torrent
iptables -A FORWARD -m conntrack --ctstate NEW -s 192.168.0.4 -p tcp  -j torrent
...
iptables -A FORWARD -m conntrack --ctstate NEW -s 192.168.0.10 -p tcp  -j torrent

Выдает

Couldn't load target `torrent`:/lib/xtables/libipt_torrent.so: cannot open shared object file: No such file or directory

Это наверное какой то модуль не установлен? Как его установить?

I like Linux

33 Ответ от Kettler (07.02.2011 16:26:10 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Я не поддерживаю вышестоящую идею но подскажу.
Перед тем как что что кидать в цепочку torrent её надо создать.

iptables -A FORWARD -m conntrack --ctstate NEW -s 192.168.0.2 -p tcp  -j torrent
ну ну с такими правилами вас юзеры порвут как тузик грелку.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

34 Ответ от a-x

  • a-x
  • Новичок
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 07.03.2010
  • Сообщений: 88
  • Репутация : [ 3 | 0 ]
Kettler пишет:

iptables -A FORWARD -m conntrack --ctstate NEW -s 192.168.0.2 -p tcp  -j torrent
ну ну с такими правилами вас юзеры порвут как тузик грелку.

А конкретнее, за что будут рвать?

35 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Да потомуч-то по умолчанию всех гонит через torrent
а там через
iptables -A torrent -m recent --update --seconds 600 --hitcount 3 -j DROP

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

36 Ответ от Kettler (07.02.2011 16:44:02 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Тут надо по другому. Иметь 2 цепочки
В первую цепочку гнать нам основые порты (53 80 110 5190 и т. д)
Во вторую всё что нам не известно и всякую CENSORED. Но ещё чтоб на засрали канал настроить tc ну это уже приоритет прохождения.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

37 Ответ от astalavista

  • astalavista
  • astalavista
  • Пользователь
  • Неактивен
  • Зарегистрирован: 13.03.2010
  • Сообщений: 203
  • Репутация : [ 0 | 0 ]

Помогите пожалуйста практическим советом. Если можно скиньте скрипт, который добавляет эти правила в iptables. Я настолько уже устал, если честно, от этого поиска решения и т.п. что мне уже ...  ac

I like Linux

38 Ответ от Kettler (07.02.2011 17:04:11 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

astalavista вы провайдер или кто? Вам уже сказали закрыть все порты и открыть нужные
Сначала найдите проблему потом можно решить.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

39 Ответ от a-x

  • a-x
  • Новичок
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 07.03.2010
  • Сообщений: 88
  • Репутация : [ 3 | 0 ]
Kettler пишет:

Тут надо по другому. Иметь 2 цепочки
В первую цепочку гнать нам основые порты (53 80 110 5190 и т. д)
Во вторую всё что нам не известно и всякую CENSORED. Но ещё чтоб на засрали канал настроить tc ну это уже приоритет прохождения.

Так и было сказано, внимательнее надо бы  smile

40 Ответ от a-x (07.02.2011 17:30:31 отредактировано a-x)

  • a-x
  • Новичок
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 07.03.2010
  • Сообщений: 88
  • Репутация : [ 3 | 0 ]
Kettler пишет:

astalavista вы провайдер или кто? Вам уже сказали закрыть все порты и открыть нужные
Сначала найдите проблему потом можно решить.

Какие порты Вы так настойчиво предлагате закрыть? Обрубить торрент так можно, так вот тогда клиенты и съедят  smile

41 Ответ от astalavista

  • astalavista
  • astalavista
  • Пользователь
  • Неактивен
  • Зарегистрирован: 13.03.2010
  • Сообщений: 203
  • Репутация : [ 0 | 0 ]

.... нет не провайдер. Я уже проблему обьяснил несколько раз. Если нет решения или нет возвожности помочь реальным примером, то и фиг с ним.  Я реально устал одно и тоже говорить 10 раз...

I like Linux

42 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Нет а давай отпиши всё от а до я что хочешь а тут поможем.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

43 Ответ от astalavista

  • astalavista
  • astalavista
  • Пользователь
  • Неактивен
  • Зарегистрирован: 13.03.2010
  • Сообщений: 203
  • Репутация : [ 0 | 0 ]

Имеется 10 человек. Каждый имеет скорость 1 Мбит/с. Но из-за количества одновременных соединений от некоторых человек (торренты), забивается канал и у остальных проблемы. Нужно ограничить количество одновременных сессий торрента до 3 , для каждого ip адреса.

I like Linux

44 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]

кстати. знаю, но не скажу bx
угадайте - почему?

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)
+ astalavista

45 Ответ от Kettler (08.02.2011 11:17:30 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
astalavista пишет:

Имеется 10 человек. Каждый имеет скорость 1 Мбит/с. Но из-за количества одновременных соединений от некоторых человек (торренты), забивается канал и у остальных проблемы. Нужно ограничить количество одновременных сессий торрента до 3 , для каждого ip адреса.

Просто добавь в скрипт и подставь свой ип и проверяй
iptables -A FORWARD -s 172.16.0.33 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP
Если будет ругать на connlimit попробуй
modprobe connlimit
modprobe xt_connlimit

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.
+ astalavista

46 Ответ от astalavista

  • astalavista
  • astalavista
  • Пользователь
  • Неактивен
  • Зарегистрирован: 13.03.2010
  • Сообщений: 203
  • Репутация : [ 0 | 0 ]
drBatty пишет:

кстати. знаю, но не скажу wink
угадайте - почему?

Потому что просто помочь человеку в решении проблемы стало для многих невозможным. Из-за того что многие пытаются думать только о себе. И не понимают, что на форум просто может обратиться человек, который не спец в данной области, но спец в другой и вместо того, чтобы помочь комуто всегда думают только о своих интересах. Это предположение, а не утверждение...

I like Linux

47 Ответ от astalavista

  • astalavista
  • astalavista
  • Пользователь
  • Неактивен
  • Зарегистрирован: 13.03.2010
  • Сообщений: 203
  • Репутация : [ 0 | 0 ]
Kettler пишет:

Просто добавь в скрипт и подставь свой ип и проверяй
iptables -A FORWARD -s 172.16.0.33 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP

Не режет. Все равно то ip который подставляю прет в сеть с кучей соединений и интернет очень тормозит из-за него.

I like Linux

48 Ответ от a-x (11.02.2011 09:33:30 отредактировано a-x)

  • a-x
  • Новичок
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 07.03.2010
  • Сообщений: 88
  • Репутация : [ 3 | 0 ]
astalavista пишет:
Kettler пишет:

Просто добавь в скрипт и подставь свой ип и проверяй
iptables -A FORWARD -s 172.16.0.33 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP

Не режет. Все равно то ip который подставляю прет в сеть с кучей соединений и интернет очень тормозит из-за него.

Можно увидеть вывод iptables -S FORWARD

49 Ответ от astalavista

  • astalavista
  • astalavista
  • Пользователь
  • Неактивен
  • Зарегистрирован: 13.03.2010
  • Сообщений: 203
  • Репутация : [ 0 | 0 ]
-P FORWARD DROP
-A FORWARD -i lo -j ACCEPT 
-A FORWARD -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
-A FORWARD -m state --state ESTABLISHED -j ACCEPT 
-A FORWARD -p tcp -m state --state RELATED -m tcp --dport 1024:65535 -j ACCEPT 
-A FORWARD -p udp -m state --state RELATED -m udp --dport 1024:65535 -j ACCEPT 
-A FORWARD -p icmp -m state --state RELATED -j ACCEPT 
-A FORWARD -j HOST_BLOCK 
-A FORWARD -i eth2 -j MAC_FILTER 
-A FORWARD -i eth0 -o ! eth0 -j UPNP_FORWARD 
-A FORWARD -j SPOOF_CHK 
-A FORWARD -i eth0 -j VALID_CHK 
-A FORWARD -i eth2 -o eth2 -j ACCEPT 
-A FORWARD -i eth2 -o eth0 -j LAN_INET_FORWARD_CHAIN 
-A FORWARD -m limit --limit 1/min --limit-burst 3 -j LOG --log-prefix "Dropped FORWARD packet: " --log-level 6 
-A FORWARD -j DROP 
-A FORWARD -s 192.168.0.2/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP 
-A FORWARD -s 192.168.0.3/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP 
-A FORWARD -s 192.168.0.4/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP 
-A FORWARD -s 192.168.0.5/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP 
-A FORWARD -s 192.168.0.6/32 -p tcp -m connlimit --connlimit-above 5 --connlimit-mask 0 -j DROP
I like Linux

50 Ответ от a-x

  • a-x
  • Новичок
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 07.03.2010
  • Сообщений: 88
  • Репутация : [ 3 | 0 ]

Вам же советовали изучить больше iptables, вместо этого идут какие-то обиды про нежелание помочь.
Прочитав хоть немного поняли бы сразу, что FORWARD это цепочка, пакет идет по ней пока к нему не будет применено действие.
У вас перед connlimit стоит правило -A FORWARD -j DROP, которое означает любой пакет отбросить, т.о. до ваших лимитов ни один пакет не дойдет никогда.
Как сделать, уже много раз говорили и примеры давали.
Пускаете сначала без ограничений стандартные соединения (веб, фтп, почта и т.д.),  а остальное ограничиваете.

+ astalavista