--=XliN=-- написал:
Вот посмотрите мой скрипт Отключить интернет #238418
Я ужастно не люблю маскарадов. Если у провайдер дал вам статический внешний айпишник, то замените
[console]iptables --table nat --append POSTROUTING --out-interface eth1 -j MASQUERADE[/console]
на
[console]/sbin/iptables -t nat -A POSTROUTING -o $INET -s $ALL -j SNAT --to-source $WAN1[/console]
А вот эт оне есть тру.
#Разрешаем гулять всем подсетям
Золтое правило админо - всё запретить, а потом разрешить только нужное.
ладно если в сети 2 компа (тогда зачем вланы???) но если их хотя бы 20, то попади червь на 1 машину, он же может располстись по другим именн через #Разрешаем гулять всем подсетям
Кстати, я вижу у Вас много правил OUTPUT дублирующих INPUT.
Если в самом начале прописать
[console]/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT[/console]
То многих дублирующих правил, например как это:
[console]iptables -A INPUT -p tcp -m tcp --dport 60000:60235 -j ACCEPT
iptables -A OUTPUT -p tcp -m tcp --sport 60000:60235 -j ACCEPT[/console]
Просто не нужно. Достаточно только INPUT. Форварда это тоже касается. Тоесть разрешающее правило в одну сторону. Обратно оно само подцепися, если есть RELATED,ESTABLISHED
Вообщем у Вас в скипте фаервола много лишниз и есть взаимоисключающие правила.
Вы ещё раз его проверьте. А правила, что бы сделать проксю прозрачной нужно ставить после политик, после обозначения ната и после RELATED,ESTABLISHED. А потом уже все остальные.
