IPTABLES-запретить apache из глобальной сети

ДД. Есть сервер. Debian 6. На нем стоит squid3, apache2, ssh, php. все работает. прокси не прозрачный порт 3128. Задача стоит в том что бы закрыть apache. Внешний IP=172.16.4.30(тестовый вариант) внутренняя сеть 192.168.0.0/24.

sudo iptables -A INPUT -s 192.168.0.0/24 -d 192.168.0.1 -p tcp --dport 80 -j DROP

запрещает вход на веб-сервер, страницы не открываются.

sudo iptables -A INPUT -s 172.16.0.0/16 -d 172.16.4.30 -p tcp --dport 80 -j DROP

ни чего не запрещает, все как работало так и работает.

для примера пробовал закрыть ssh:

sudo iptables -A INPUT -s 172.16.0.0/16 -d 172.16.4.30 -p tcp --dport 22 -j DROP

закрывает подключение из вне.

 sudo netstat -npltu
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1246/sshd
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      1228/cupsd
tcp        0      0 192.168.0.3:3128        0.0.0.0:*               LISTEN      2372/(squid)
tcp        0      0 127.0.0.1:5432          0.0.0.0:*               LISTEN      1257/postgres
tcp6       0      0 :::80                   :::*                    LISTEN      3096/apache2
tcp6       0      0 :::22                   :::*                    LISTEN      1246/sshd
tcp6       0      0 ::1:631                 :::*                    LISTEN      1228/cupsd
udp        0      0 0.0.0.0:631             0.0.0.0:*                           1228/cupsd
udp        0      0 0.0.0.0:41638           0.0.0.0:*                           2372/(squid)
udp6       0      0 :::60253                :::*                                2372/(squid)

ports.conf

NameVirtualHost *:80
Listen 80
<IfModule mod_ssl.c>
     Listen 443
</IfModule>
<IfModule mod_gnutls.c>
    Listen 443
</IfModule>

В каком смысле закрыть апач?
Можно Listen 127.0.0.1:80 в конфиге апача прописать
Только не совсем понятно что именно вам нужно

Что бы из вне нельзя было открывать сайты и подключаться к серверу по 80 порту.

alex_s написал:

Что бы из вне нельзя было открывать сайты и подключаться к серверу по 80 порту.

Listen 127.0.0.1:80

или в .htaccess
order deny,allow
deny from all
allow from

ешё есть host.allow и host.deny

GoUpInSmoke написал:

[quote=alex_s]Что бы из вне нельзя было открывать сайты и подключаться к серверу по 80 порту.

Listen 127.0.0.1:80[/quote]

это только с самого сервера получается будет доступ.

sudo iptables -A INPUT -i ppp0 --dport 80 -j DROP

за место ppp0 поставьте ваш внешний интерфейс.

Kettler написал:

text

sudo iptables -A INPUT -i ppp0 --dport 80 -j DROP

за место ppp0 поставьте ваш внешний интерфейс.

Мне кажеться что hosts.allow и hosts.deny правильней. Там можно разрешать запрещать ip подсети и т.д. Потом если потребуется зайти на сервак извне. то можно просто доьавить ip в hosts.allow и всё ок. а так придёться открывать порт.

GoUpInSmoke написал:

[quote=Kettler]

text

sudo iptables -A INPUT -i ppp0 --dport 80 -j DROP

за место ppp0 поставьте ваш внешний интерфейс.

Мне кажеться что hosts.allow и hosts.deny правильней. Там можно разрешать запрещать ip подсети и т.д. Потом если потребуется зайти на сервак извне. то можно просто доьавить ip в hosts.allow и всё ок. а так придёться открывать порт.[/quote]
Кому как проще :)

согласен :)

Kettler написал:

text

sudo iptables -A INPUT -i ppp0 --dport 80 -j DROP

за место ppp0 поставьте ваш внешний интерфейс.

не помогает, так уже пробовал.

ээээээ.... как это не помогает? вы блокируете весь входящий трафик... Может вы не сохраняете правила? Опишите последовательность действий...

GoUpInSmoke написал:

[quote=Kettler]

text

sudo iptables -A INPUT -i ppp0 --dport 80 -j DROP

за место ppp0 поставьте ваш внешний интерфейс.

Мне кажеться что hosts.allow и hosts.deny правильней. Там можно разрешать запрещать ip подсети и т.д. Потом если потребуется зайти на сервак извне. то можно просто доьавить ip в hosts.allow и всё ок. а так придёться открывать порт.[/quote]

порт тоже желательно закрыть.

GoUpInSmoke написал:

ээээээ.... как это не помогает? вы блокируете весь входящий трафик... Может вы не сохраняете правила? Опишите последовательность действий...

правила автоматически начинают работать после их добавления. они сбрасываются только после перезагрузки если их не сохранить.

alex_s написал:

[quote=GoUpInSmoke]ээээээ.... как это не помогает? вы блокируете весь входящий трафик... Может вы не сохраняете правила? Опишите последовательность действий...

правила автоматически начинают работать после их добавления. они сбрасываются только после перезагрузки если их не сохранить.[/quote]
ну я собственно об этом и спросил :) может он iptables restart делает

ну я собственно об этом и спросил :) может он iptables restart делает

Он это кто?

alex_s написал:

ну я собственно об этом и спросил :) может он iptables restart делает

Он это кто?

Извиняюсь. Заработался :)

Устал говорить про то как загружать правила автоматом, написал:
Debian феншуй для авто запуска правил iptables и не только
:)

alex_s написал:

[quote=Kettler]

text

sudo iptables -A INPUT -i ppp0 --dport 80 -j DROP

за место ppp0 поставьте ваш внешний интерфейс.

не помогает, так уже пробовал.[/quote]
И не будет :)
Я щас буду давать вредные советы пользуйтесь на свой страх и риск:

Очень вредно без знания iptables. На свой страх и риск.

sudo iptables -P INPUT DROP
sudo iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT
Тут пишем кучу правил

Либо можно пробнуть так. Менее вредный, неуверен что будет вообще работать.

iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 -j DROP