1 Тема от Me_Shock

  • Me_Shock
  • Me_Shock
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 281
  • Репутация : [ 2 | 0 ]

Всем доброго времени суток.
Нужно чтобы правила iptables применялись сразу после поднятия ВСЕХ сетевых интерфейсов.
делал так: 

# chmod +x /etc/network/if-up.d/firewall

но это не подходит т.к. они применяется 2 раза (видимо по кол-ву интерфейсов eth0 и eth1 у меня), что видно в /var/log/boot
Возможно, это не критично, т.к. файрвол сначала "себя чистит" но все-же криво. Куда следует положить файлик чтобы было по уму?
Спасибо)

надпись на двери старого трамвая: "ВЫХОДА НЕТ!" | ❤windows 8 enterprise

2 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

1) 

/etc/rc.local

2) 

auto eth1
iface eth1 inet xxx
  pre-up iptables-restore < /xxx/iptables.rules
Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.
+ Me_Shock

3 Ответ от Me_Shock (24.05.2013 12:47:54 отредактировано Me_Shock)

  • Me_Shock
  • Me_Shock
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 281
  • Репутация : [ 2 | 0 ]

Kettler, у меня нету /etc/rc.local на Linux gw5 3.2.0-4-amd64 #1 SMP Debian 3.2.41-2+deb7u2 x86_64 GNU/Linux
а iptables-restore не подходит т.к. в скрипте еще dns-ы и ntp-серверы меняются.(вплане подходит, но хочется 1м файлом)

надпись на двери старого трамвая: "ВЫХОДА НЕТ!" | ❤windows 8 enterprise

4 Ответ от Lupo Alberto (24.05.2013 13:08:08 отредактировано Lupo Alberto)

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
Me_Shock⇓ пишет:

а iptables-restore не подходит т.к. в скрипте еще dns-ы и ntp-серверы меняются.(вплане подходит, но хочется 1м файлом)

Насколько я понимаю, вместо

pre-up iptables-restore < /xxx/iptables.rules

можно указать вызов скрипта, в котором и прописать любые нужные вам команды, т.е.

pre-up ПУТЬ_К_СКРИПТУ
Был, был и весь вышел...
+ Me_Shock

5 Ответ от Me_Shock

  • Me_Shock
  • Me_Shock
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.01.2011
  • Сообщений: 281
  • Репутация : [ 2 | 0 ]
Lupo Alberto⇓ пишет:

Насколько я понимаю, вместо

аааа!! Сделал, работает! Не понял, почему в логе загрузки не промелькнуло эхо из скрипта.. Это нормально? # cat /etc/network/firewall

+ открыть спойлер

 Консоль:
#! /bin/sh
echo applying firewall rules form file: /etc/network/firewall|ccze -A
TH="192.168.0.65,80.247.XX.XXX,109.202.X.XXX" # Trusted hosts: 1.debug 2.imex 3.avantel
IT="/sbin/iptables"
EX_IF="eth0"
IN_IF="eth1"

GW_IP="194.150.156.115"
N_LAN="192.168.1.0/24"

SQUID="3128"
DS="qwerty.ru"
NS1="192.168.0.5"
NS2="192.168.0.6"

P_WAN_TCP="ssh,www,3333,3335,3336,3389,6666,webmin"
P_LAN_TCP="ftp-data,ftp,smtp,ssh,domain,pop3,ntp,www,https,openvpn,3128,3389,sip,aol,xmpp-client"
P_LAN_UDP="ssh,domain,pop3,ntp,https,openvpn,3128,3389,sip,aol,xmpp-client"

echo 'search '$DS'\nnameserver '$NS1'\nnameserver '$NS2 > /etc/resolv.conf
sed -i '/^server.*/d' /etc/ntp.conf && echo 'server '$NS1'\nserver '$NS2 >> /etc/ntp.conf
echo 1 > /proc/sys/net/ipv4/ip_forward

$IT -t mangle -F && $IT -t filter -F && $IT -t nat -F && $IT -F && $IT -X
$IT -P INPUT DROP && $IT -P OUTPUT ACCEPT && $IT -P FORWARD ACCEPT
# ------------------------------------------------------------------------------------------------------------------------

# -------------------------------------------------------------------------------------------------------------------------
$IT -t nat -A PREROUTING -s $N_LAN -p tcp -m multiport --dport www,aol,xmpp-client -j REDIRECT --to-ports $SQUID
$IT -t nat -A POSTROUTING -s $N_LAN -o $EX_IF -j MASQUERADE
# -------------------------------------------------------------------------------------------------------------------------
$IT -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
$IT -A INPUT -i lo -j ACCEPT
$IT -A INPUT -i $EX_IF -s $TH -p tcp -m multiport --dport $P_WAN_TCP -j ACCEPT # -m tcp --syn -m conntrack --ctstate NEW -j ACCEPT
# -------------------------------------------------------------------------------------------------------------------------
$IT -A INPUT -s $N_LAN -p tcp -m multiport --dport $P_LAN_TCP -j ACCEPT
$IT -A INPUT -s $N_LAN -p udp -m multiport --dport $P_LAN_UDP -j ACCEPT
$IT -A INPUT -s $N_LAN -p icmp --icmp-type any -j ACCEPT
exit 0

надпись на двери старого трамвая: "ВЫХОДА НЕТ!" | ❤windows 8 enterprise

6 Ответ от i2ks

  • i2ks
  • Участник Форума
  • Неактивен
  • Зарегистрирован: 20.02.2010
  • Сообщений: 6,983
  • Репутация : [ 101 | 1 ]
Me_Shock⇓ пишет:

не промелькнуло эхо из скрипта

потому что в кавычки надо было заключить все

echo "applying firewall rules form file: /etc/network/firewall|ccze -A"
It is good day to die ...
MS Windows 10
Заметки о главном...

7 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
Me_Shock пишет:

Kettler, у меня нету /etc/rc.local на Linux gw5 3.2.0-4-amd64 #1 SMP Debian 3.2.41-2+deb7u2 x86_64 GNU/Linux
а iptables-restore не подходит т.к. в скрипте еще dns-ы и ntp-серверы меняются.(вплане подходит, но хочется 1м файлом)

вы спросили iptables я и показал а так да можно выполнять любой скрипт.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

8 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

На это вопрос тут раз сто отвечали я даже написал...тема тут где-то феншуйная была.

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon