Настоятельно просим вас при общении соблюдать Правила форума и законы РФ. Наша тематика вне политики, поэтому воздержитесь от обсуждения ситуации на Украине и связанных с ней событий, независимо от того, какую сторону вы поддерживаете.
Также напоминаем, что наш форум находится в доменной зоне .ru, физически расположен на российских серверах и мы соблюдаем действующее законодательство России. Любые сообщения о политике будут удаляться.
Linux Forum → Администрирование и настройка сетей → iptables
Доброго времени суток.
Я можно сказать вообще новичёк iptables, поэтому и прошу помощи в следующем вопросе.
Значит iptables стоит и работает, все отлично, но есть такая ситуация которую нужно решить:
т.е. имеется определенный IP который выходит в инет и имеет доступ к любому ресурсу в инете.
как можно определенному IP запретить выходить в инете на некоторые сайты?
запрешаем отправку пакетов для всех протоколов с 192.168.0.1 на 93.186.228.129 и обратно по порту 80
чтоб узнать ip адрес сайта
user@pc:~$ ping -c 1 vkontakte.ru
PING vkontakte.ru (93.186.228.129) 56(84) bytes of data.
iptables -A INPUT -p ALL -d 192.168.0.1 -s 93.186.228.129 --dport 80 -j DROP
iptables -A OUTPUT -p ALL -s 192.168.0.1 -d 93.186.228.129 --sport 80 -j DROP
Имхо поможет SQUID
This program generates an iptables firewall script for use with the 2.4 or later linux kernel. It is intended for use on a single system connected to the Internet or a gateway system for a private, internal network. It provides a range of options, but is not intended to cover every possible situation. Make sure you understand what each option in the generator does and take the time to read the comments in the resulting firewall. This generator will not, for example, generate a firewall suitable for use with a DMZ, but it can provide a starting point. For the most common uses the generator should produce a firewall ready for use.Easy Firewall Generator for IPTables
P.S. может кому пригодится 
Доброго здоровья Всем ! Уважаемые , подскажите пожалуйста ... имеется файл iptables при использование которого не пускает на 80 порт , что и как нужно поправить , заранее благодарен за поддержку !
# Generated by iptables-save v1.3.5 on Thu Dec 3 14:58:04 2009
*nat
:PREROUTING ACCEPT [1137:113141]
:POSTROUTING ACCEPT [173:10644]
:OUTPUT ACCEPT [175:10724]
-A PREROUTING -s 10.0.0.1 -i eth0 -j ACCEPT
COMMIT
# Completed on Thu Dec 3 14:58:04 2009
# Generated by iptables-save v1.3.5 on Thu Dec 3 14:58:04 2009
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT DROP [2:80]
-A INPUT -i lo -j ACCEPT
-A INPUT -i ! lo -m state --state NEW -j DROP
-A INPUT -s 127.0.0.0/255.0.0.0 -i ! lo -j DROP
-A INPUT -m state --state INVALID -j DROP
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -p udp -m udp --dport 138 -j DROP
-A INPUT -p udp -m udp --dport 113 -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A INPUT -p udp -j RETURN
-A INPUT -p icmp -f -j DROP
-A INPUT -i eth0 -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A INPUT -i eth0 -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -i eth0 -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 6000:6063 --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
-A INPUT -i eth0 -p tcp -m tcp -m multiport --dports 783 -j DROP
-A INPUT -i eth0 -p tcp -m tcp -m multiport --dports 3310 -j DROP
-A INPUT -i eth0 -p tcp -m tcp -m multiport --dports 10000 -j DROP
-A INPUT -i eth0 -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 53 --dport 1024:65353 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 113 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 113 -j DROP
-A INPUT -i eth0 -p tcp -m tcp --sport 25 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 110 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 143 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 22 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 22 --dport 1020:1023 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 21 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -m multiport --sports 80,443 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 20 --dport 1024:65535 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 1024:65535 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 23 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 79 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 43 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 70 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --sport 210 --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A OUTPUT -p udp -j ACCEPT
-A OUTPUT -p icmp -f -j DROP
-A OUTPUT -o eth0 -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A OUTPUT -o eth0 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A OUTPUT -o eth0 -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --sport 1024:65535 --dport 53 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 53 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 113 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 25 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 110 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 143 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 22 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1020:1023 --dport 22 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 21 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 -m multiport --dports 80,443 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 20 ! --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 1024:65535 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 23 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 79 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 43 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 70 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 --dport 210 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --sport 32769:65535 --dport 33434:33523 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --sport 68 --dport 67 -j ACCEPT
COMMIT
# Completed on Thu Dec 3 14:58:04 2009 iptables -A INPUT -i eth0 -p tsp --dpotr 80 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tsp --spotr 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tsp --dpotr 80 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tsp --spotr 80 -j ACCEPT
Добро , попробую ! а те правила ,которые в этом конфиге относительно 80 порта нужно удалить !?
-A INPUT -i eth0 -p tcp -m tcp --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -m multiport --sports 80,443 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 -m multiport --dports 80,443 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 1024:65535 ! --tcp-flags FIN,SYN,RST,ACK SYN -m multiport --sports 80,443 -j ACCEPT
входяшие пакеты на eth0 по протоколу tcp на порт 1024:65535, кроме тех что имеют --tcp-flags FIN,SYN,RST,ACK SYN с порта 80, 443 разрешить
-A OUTPUT -o eth0 -p tcp -m tcp --sport 1024:65535 -m multiport --dports 80,443 -j ACCEPT
исходящие пакеты с eth0 по протоколу tcp с порта 1024:65535, на порт 80,443 разрешить
зачем вообще такой замороченый скрипт! что ваше надо от iptables?
вообщем есть домашняя машинка , на которой стоит сайт ... сайт не плохо посещаем ))) хотелось бы зарубить все (ну кроме почты ) , и зарубить жестко (разные возможности пингануть эту машинку) ... вообщем отсекать все - что не касается необходимых служб ))) надеюсь формулировка не совсем запутанная ))) тот конфиг что предоставлен выше , всем устраивает .. только 80 порт был почему то не доступен ((
я так понял машина не в сети!
кнужно открыть петлю, порт 80, 8080, 443, почтовые порты 25, 2525, 110
остальное в том числе пинг закрыть... что еще?
Прости не понял ,что значит не в сети !? реальный IP , машинка смотрит в инет , вот поэтому и хотелось бы максимально все закрыть ... кстати дистр -Centos_5_4 .
нужно открыть петлю, порт 80, 8080, 443, почтовые порты 25, 2525, 110
точно !!! и закрыть все и вся остальное )))
# Отчишаем правила
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
# Выставляем политики по умолчанию (если не разрешено, то запрещено)
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
# Разрешаем прохождение любого трафика по интерфейсу обратной петли.
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
iptables -A INPUT -m state --state INVALID -j DROP
# Открываем порты
iptables -A INPUT -p tcp -m multiport --dport 80,25,110,443,2525,8080 -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --sport 80,25,110,443,2525,8080 -j ACCEPT
Вопрос по "транслированию" ftp-трафика через
а) iptables
б) squid
не снимается с повестки дня.
Итак, имею хост, на котором развернут шлюз в интернет. Соответственно два сетевых интерфейса. Правила iptables - "запрещено всё, что явно не разрешено". Есть в интернете ftp-сервера, джоступ к которым надо дать юзерям локальной сети. Например, ftp.nalog.ru.
Этап 1. Пропиcываю в МЭ для начала следующие правила:
$IPT -t nat -A PREROUTING -i $LOCAL_IF -s 192.168.43.0/24 -p tcp -m multiport --dport 80 -j REDIRECT --to-port 3128
# FTP
$IPT -A OUTPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 20 -m state --state NEW -j ACCEPT
# PASSIVE FTP
$IPT -t filter -A OUTPUT -p tcp -m tcp --dport $UNPRIPORTS -m state --state NEW -j ACCEPTFTP с данного хоста работает, что и следовало ожидать. Однако, как ни бился, никак не могу организовать гарантированный проброс ftp-трафика между компьютерами локальной сети и этим ftp-сервером. А именно:
# FTP
$IPT -A FORWARD -i $LOCAL_IF -p tcp --dport 21 -j ACCEPT
$IPT -A FORWARD -i $EXT_IF -p tcp --sport 21 -j ACCEPT
$IPT -A FORWARD -i $LOCAL_IF -p tcp --dport 20 -j ACCEPT
$IPT -A FORWARD -i $EXT_IF -p tcp --sport 20 -j ACCEPT
# PASSIVE FTP
$IPT -t filter -A FORWARD -p tcp -m tcp --dport $UNPRIPORTS -m state --state NEW -j ACCEPT
$IPT -t filter -A FORWARD -p udp -m udp --dport $UNPRIPORTS -m state --state NEW -j ACCEPTИ на юзерской рабочей станции (IE) отключаю режим - ходить через покси (80й порт - по PREROUTING'у на сквид и так завернется). Работает нормально, доступ к внешним ftp есть.
Теперь хочу завернуть ftp-трафик на squd (с целью регистрации GET'ов).
$IPT -t nat -A PREROUTING -i $LOCAL_IF -s 192.168.43.0/24 -p tcp -m multiport --dport 21,80 -j REDIRECT --to-port 3128Увы, IE достучаться до внешнего ftp не может. Равно как не может достучаться до внешнего ftp и в режиме использования proxy.
Собственно нужна помощь в настройке iptables в части проброса подобного ftp-трафика через proxy, через squid. Я никак не соображу, как это сделать.
В етой теме обсуждаем iptables.
Как правильно сохранить ведёные настройка типа iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE чтобы всё работало после перезагрузки ато настроил теперь боюсь выключить комп
Помогите расскажите там вроди скрипт надо какой куда его пихать
И что никто не знает как сохранить ?
Попробую и я помочь.
Не заню на сколько правильно я делаю, но я создаю правила путем редактирования /etc/sysconfig/iptables
Еще проверяю через system-config-services стоит ли автозапуском iptables
А проходящие пакеты разрешаю путем редактирования файла /etc/sysctl.conf
Очередной вопрос по IPTABLES.
Кто пользовался какими-либо расширениями?
Помогите, пожалуйста, выбрать простейший конфигуратор правил для iptables, чтобы не нужно было делать эту настройку вручную (благо роль машины с линуксом - обычный роутер-сервер, ничего серьезного), чтобы открыть определенные порты для доступа к серверу извне и сделать перенаправление для всех остальных на локальную машину (то есть не закрывать их, чтобы для открытия порта, на котором что-то будет на локальной машине и требуется доступ к этому извне, в дальнейшем что-либо делать не нужно было). Ранее пользовался arno-iptables-firewall, но сейчас, после переустановки системы, почему-то никак не могу открыть нужные порты, да и перенаправить все нужные порты на локальную машину не получалось.
KonH, Какой дистрибутив?
Hrafn, Debian Lenny.
Приветствую. Решил собрать шлюз на ubuntu server 9.10. Выкладываю весь конфиг, дабы профи сделали необходимые замечания и дополнения по оптимизации и безопасности. Задачи шлюза: разрешить выборочным IP доступ по HTTP, через squid прозрачный, SMTP, POP3, DNS, пробросить на определенный IP RDP из вне.
Вопросы:
1. Не происходит заворачивание порта на squid
2. Открыть порты нужно не всей подсети, а выборочным IP, каким образом задать список этих IP, чтобы не создавать правила для каждого IP?
конфиг iptables:
#!/bin/sh
IP="192.168.0.8"
start_fw()
{
# Очищаем все таблицы
iptables -F
iptables -t nat -F
# Перенаправление пакетов через ядро
echo 1 > /proc/sys/net/ipv4/ip_forward
# Запрещаем пакеты
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
# Принимаем трафик на loopback-интерфейсе
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# DNS
iptables -A FORWARD -p udp --sport 53 -j ACCEPT
iptables -A FORWARD -p udp --dport 53 -j ACCEPT
# HTTP
iptables -A FORWARD -p tcp --dport 80 -s $IP -j ACCEPT
iptables -A FORWARD -p tcp --sport 80 -d $IP -j ACCEPT
# POP3
iptables -A FORWARD -p tcp --dport 110 -s $IP -j ACCEPT
iptables -A FORWARD -p tcp --sport 110 -d $IP -j ACCEPT
# SMTP
iptables -A FORWARD -p tcp --dport 25 -s $IP -j ACCEPT
iptables -A FORWARD -p tcp --sport 25 -d $IP -j ACCEPT
# Заворачиваем squid
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 3128
# Проброс RDP
iptables -t nat -A PREROUTING -p tcp --dport 3389 -i eth1 -j DNAT --to-destination 192.168.0.253
iptables -A FORWARD -p tcp -d 192.168.0.253 --dport 3389 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.0.253 --sport 3389 -j ACCEPT
# Включаем NAT
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source xx.xx.xx.xx
}
case "$1" in
start) echo -n "Start firewall"
start_fw
echo "."
;;
stop) echo -n "Stop firewall"
iptables -F
iptables -t nat -F
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
echo "."
;;
restart) echo -n "Restart firewall"
iptables -F
iptables -X
start_fw
echo "."
;;
esac
exit 0Конфиг squid:
acl net src 192.168.0.0/24
http_access allow net
http_port 3128 transparent
Возможно ли в iptables определять с какого приложения идёт запрос?
и по пользователю. Есть такая фича, что некоторые приложения имеют своего пользователя в системе.
Ну я имею введу переадресовывать запросы с одного приложения на один адрес, а с другого на другой. Хочу попробовать повесить ssh на 80 порт. То-есть апач крутится на 127.0.0.1:80 а ssh на 127.0.0.1:22 и запросы которые выполнены не по ssh протоколу они идут на 127.0.0.1:80 то-есть на апач, а другие запросы идут на ssh smile
Для того что бы повесить ssh на другой порт вовсе не обязательно мудрить с правилами iptables
Это можно сделать средствами самих апача и ssh
Достаточно в их конфигах указать слушать нужные порты:
так по умолчанию:
/etc/ssh/sshd_config
Port 22
/etc/httpd/conf/httpd.conf
Listen 80
Меняйте как вам вздумается и дело в шляпе!
Vadimsky, ну а 2 программы на одном порту то вряд ли уживутся, повнимательнее прочитайте что я писал, вы не верно поняли сути smile
Спецы, дайте дельный совет по 48 посту.
Я хочу открыть udp порт .... на определеную машину из сети...
iptables -A FORWARD -p udp --dport 333 -s 192.168.1.2 -m state --state NEW -j ACCEPT
вот так правельно Huh
да может быть ваши дополнения еще будут поповоду моих правил?
Чуть не забыл мне еще нужно открыть на этом же 333 порте и tcp.... просто сменить udp на tcp ?
Я хочу открыть udp порт .... на определеную машину из сети...
iptables -A FORWARD -p udp --dport 333 -s 192.168.1.2 -m state --state NEW -j ACCEPT
вот так правельно Huh
да может быть ваши дополнения еще будут поповоду моих правил?
Чуть не забыл мне еще нужно открыть на этом же 333 порте и tcp.... просто сменить udp на tcp ?
Откуда и куда, можно уточнить?
Если откуда то, на "мой" компьютер, то не правильно. Если откуда то на 192.168.1.2, то то же не правильно.
iegrec пишет:Я хочу открыть udp порт .... на определеную машину из сети...
iptables -A FORWARD -p udp --dport 333 -s 192.168.1.2 -m state --state NEW -j ACCEPT
вот так правельно Huh
да может быть ваши дополнения еще будут поповоду моих правил?
Чуть не забыл мне еще нужно открыть на этом же 333 порте и tcp.... просто сменить udp на tcp ?Откуда и куда, можно уточнить?
Если откуда то, на "мой" компьютер, то не правильно. Если откуда то на 192.168.1.2, то то же не правильно.
eth0-LAN
eth1-INET
я хочу открыть вот этому ip 192.168.1.1 порт udp 333 в интернет.
CyberDaemon пишет:iegrec пишет:Я хочу открыть udp порт .... на определеную машину из сети...
iptables -A FORWARD -p udp --dport 333 -s 192.168.1.2 -m state --state NEW -j ACCEPT
вот так правельно Huh
да может быть ваши дополнения еще будут поповоду моих правил?
Чуть не забыл мне еще нужно открыть на этом же 333 порте и tcp.... просто сменить udp на tcp ?Откуда и куда, можно уточнить?
Если откуда то, на "мой" компьютер, то не правильно. Если откуда то на 192.168.1.2, то то же не правильно.eth0-LAN
eth1-INETя хочу открыть вот этому ip 192.168.1.1 порт udp 333 в интернет.
В обратную сторону FORWARD то же открыть надо.
iegrec пишет:CyberDaemon пишет:Откуда и куда, можно уточнить?
Если откуда то, на "мой" компьютер, то не правильно. Если откуда то на 192.168.1.2, то то же не правильно.eth0-LAN
eth1-INETя хочу открыть вот этому ip 192.168.1.1 порт udp 333 в интернет.
В обратную сторону FORWARD то же открыть надо.
КАК ЭТО СДЕЛАТЬ ????
Linux Forum → Администрирование и настройка сетей → iptables
Форум работает на PunBB, при поддержке Informer Technologies, Inc
