Оцените конфиг iptables

01.11.2011 11:28 · отредактировано #202157

Оцените конфиг iptables на дырки и ненужное пожалуйста.
Внешняя сеть (192.168.1.0/24) внутренняя (192.168.2.0/24).
На шлюзе Altlinux ковчег 5.0 внешний eth0 (192.168.1.10) и внутр. eth1 (192.168.2.10).
Нужен доступ из сети .2.0 к хостам .1.1,.1.3,.1.4,.1.5,.1.8,.1.14, из сети .1.0 нужен доступ с .1.21,.1.47 для удаленного управления к шлюзу и к компам в сети .2.0.

text


*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A FORWARD  -i eth1 -d 192.168.1.1 -s 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth0 -s 192.168.1.1 -d 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth1 -d 192.168.1.3 -s 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth0 -s 192.168.1.3 -d 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth1 -d 192.168.1.4 -s 192.168.2.20 -j ACCEPT
-A FORWARD  -i eth0 -s 192.168.1.4 -d 192.168.2.20 -j ACCEPT
-A FORWARD  -i eth1 -d 192.168.1.5 -s 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth0 -s 192.168.1.5 -d 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth1 -d 192.168.1.8 -s 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth0 -s 192.168.1.8 -d 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth1 -d 192.168.1.14 -s 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth0 -s 192.168.1.14 -d 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth1 -d 192.168.1.21 -s 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth0 -s 192.168.1.21 -d 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth1 -d 192.168.1.47 -s 192.168.2.0/24 -j ACCEPT
-A FORWARD  -i eth0 -s 192.168.1.47 -d 192.168.2.0/24 -j ACCEPT
-A INPUT -i eth0 -s 192.168.1.47 -d 192.168.1.10 -j ACCEPT
-A OUTPUT -o eth0 -s 192.168.1.10 -d 192.168.1.47 -j ACCEPT
-A INPUT -i eth0 -s 192.168.1.21 -d 192.168.1.10 -j ACCEPT
-A OUTPUT -o eth0 -s 192.168.1.10 -d 192.168.1.21 -j ACCEPT
-A INPUT -i eth0 -j DROP
-A OUTPUT -o eth0 -j DROP
-A INPUT -i eth1 -j DROP
-A OUTPUT -o eth1 -j DROP
-A FORWARD  -i eth1 -j DROP
-A FORWARD  -i eth0 -j DROP
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 192.168.2.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.1.0/24 -o eth1 -j MASQUERADE
COMMIT
*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:MANGLE_OUTPUT - [0:0]
:MANGLE_PREROUTING - [0:0]
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j ACCEPT
COMMIT

В принципе все работает, но наверно че-нибудь не так. Заранее спасибо.

01.11.2011 11:37 #202161

Нечего интересного.

Измени

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

на

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]

Убери

-A INPUT -i eth0 -j DROP
-A OUTPUT -o eth0 -j DROP

-A INPUT -i eth1 -j DROP
-A OUTPUT -o eth1 -j DROP

-A FORWARD -i eth1 -j DROP
-A FORWARD -i eth0 -j DROP

01.11.2011 12:07 #202172

Спасибо.
А еще вопрос - Как разрешить чтобы работали только установленные соединения из сети .2.0 в .1.1, а .1.1 сам стучаться не мог. Если делаю так

text


-A FORWARD  -i eth1 -d 192.168.1.1 -s 192.168.2.0/24 -j ACCEPT
#-A FORWARD  -i eth0 -s 192.168.1.1 -d 192.168.2.0/24 -j ACCEPT

пропадает соединение из сети .2.0

01.11.2011 22:40 · отредактировано #202342

Просмотрел всю конфигу раз пять. Просто наверное уже поздно и мне спать пора, поэтому я ни как не пойму, а зачем там МАСКАРАД?
А почему так нельзя?
[console]
-A POSTROUTING -s 192.168.2.0/24 -o eth1 -j SNAT --to-source 192.168.1.10
[/console]

17.11.2011 12:25 #206045

Vadimsky написал:
Просмотрел всю конфигу раз пять. Просто наверное уже поздно и мне спать пора, поэтому я ни как не пойму, а зачем там МАСКАРАД?
А почему так нельзя?
[console]
-A POSTROUTING -s 192.168.2.0/24 -o eth1 -j SNAT --to-source 192.168.1.10
[/console]

Ваш вариант конечно же лучше. Исправил у себя.
Всем спасибо.