Как наиболее просто запретить левые адреса при маске 255.255.0.0

У меня 4 подсетки 10.44.1.1, 10.44.2.1, 10.44.3.1, 10.44.4.1 и маска 255.255.0.0 но я вдруг заметил что когда я даю arp на серевере с CentOS б и NAT , то лезут какие-то непонятные адреса

10.1.1.128                       (incomplete) 
......
10.0.87.12                       (incomplete)                              eth1
10.0.0.1                            (incomplete)                              eth1
10.0.0.2                             (incomplete)                              eth1
......
10.0.0.70                             (incomplete)                              eth1
и т.д

Что это за адреса и как их запретить, вернее как разрешить проход через NAT только с моих четырех подсеток Мне кажется что это адреса мобильных телефонов, планшетов, ноутбуков с с WIFI так как в проводной сети имеется 16 точек доступа WIFI . (Только не способом маски 255.255.255.0 и alias) И вообще теоретически могут они пользоваться сетью если у них нет MAC-адресов?

iptables -P FORWARD DROP
iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT

?

Kettler написал:

text

iptables -P FORWARD DROP
iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT

?

Попробую

В общем так NAT полнлстью лег и не поднимается Ошибка : ACCEPT

"pavlar" написал:

10.1.1.128 (incomplete)
......
10.0.87.12 (incomplete) eth1
10.0.0.1 (incomplete) eth1
10.0.0.2 (incomplete) eth1

......

10.0.0.70 (incomplete) eth1

очистить arp кеш, ну здесь еще вариант такой, то что просто нет мак адреса для данного ip, вот и флудит он там утебя, ну еще может там свич тупит итд

теперь у меня NAT упал после совета

 iptables -P FORWARD DROP
iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT

и не поднимается . ACCEPT не воспринялся Еклмн Хорошо что у меня второй комп настроенный есть.
И причем здесь WAN у меня проводная сеть только к ней точки доступа подключены

у меня в iptables теперь в *filter намертво стоит

 :FORWARD DROP [0:0

] а ниже

 -A FORWARD -i eth1 -j ACCEPТ

И ничем этот DROP не вычистить

Делал iptables -F
iptables -t nat -F
iptables -t mangle - F
и переустанавливал NAT ничего не помагает. откуда-то этот DROP подтягтвается

Фигня получется в iptables стоит :FORWARD DROP [0:0] а в iptables-save :FORWARD ACCEPT [0:0]

Не отключается этот :FORWARD DROP [0:0] даже если сделать

iptables -t filter -F

Караул, что делать, неуж-то всю систему переставлять?

Моб твою ять :) правильно надо писать

iptables -A  FORWARD

Без ACCEPT !!!!!!!!
Т-с-с-с! Пожалуйста, без замаскированного мата. yars

НО всё равно после перезагрузки этот DROP выползает да и iptables -A FORWARD никак никак на iptables не вияет атолько не ругается об ошибках как в случаях с ACCEPT , но уже этот DROP не с [0:0] а с численными значениями и FORWARD не проходит. Как убить фильтр а NAT оставить?

Получается в *mangle FORWARD ACCEPT и указаны в скобках численные значения а в *filter FORWARD DROP и в скобкках те же численные значения

B И мне совершенно непонятно почему

iptables -P FORWARD DROP

работает
а в

iptables -A FORWARD ACCEPT

ACCEPT это bad argument?

Ккакой я лопух *WALL* Ведь равильно надо писать

iptables -P FORWARD ACCEPT

Всё работает а Ёжик так в тумане и остался :)

Вот хороший скрипт для ликбеза как правильно сбрасывать настройки NAT
http://melfis.ru/%D1%81%D0%B1%D1%80%D0%BE%D1%81-%D0%BF%D1%80%D0%B0%D0%B2%D0%B8%D0%BB-%D1%84%D0%B0%D0%B5%D1%80%D0%B2%D0%BE%D0%BB%D0%B0-iptables/

а DROP вообще используется лишь в самых крайних, безнадёжных случаях, потому что может привести к непредсказуемым последствиям

Чем плох DROP? И почему в самых крайних случаях?
Довольно удобно (по крайней мере мне) для nat-а использовать приблизительно такие правила:

-P FORWARD DROP
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m tcp -p tcp --dport 110 -j ACCEPT -m comment --comment "POP3"
-A FORWARD -m tcp -p tcp --dport 25 -j ACCEPT -m comment --comment "SMTP"
...

А далее для юзеров, которым необходим прямой доступ в сеть (мимо nat-а) добавляются строчки (по одной для каждого, хотя можно использовать ipset):

USER_ADDRESS="192.168.0.15"
USER_NAME="some user"
-A FORWARD -s ${USER_ADDRESS} -j ACCEPT -m comment --comment "free proxy: ${USER_NAME}"

pavlar написал:

теперь у меня NAT упал после совета

text

 iptables -P FORWARD DROP
iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT

и не поднимается . ACCEPT не воспринялся Еклмн Хорошо что у меня второй комп настроенный есть.
И причем здесь WAN у меня проводная сеть только к ней точки доступа подключены

Я ток вам привёл. Я же не знаю как у вас устроенна система.

 iptables -P FORWARD DROP
iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
iptables -A FORWARD  -i  $wan -d 10.44.0.0/16 -j ACCEPT

Вернуть обратно

iptables -P FORWARD ACCEPT

Во очевидно довольно поверхностно знакомы с iptables или не читаете того что вы пишете , потому что у вас одна строка противорецит другой Я тоже не дока но вот что я нарыл: При любой системе в командной строке писать # iptables -A это грубейшая ошибка !!!! ( - A стоит только в в уже сформированных скриптах iptables-save и т.д.) В командной строке надо -P Кроме того в манах iptables прямо написано что употреблять DROP крайне нежелательно , при очистке цепочек лучше использовать ппараметр -t. Так что я на себе испытал что лучше потраить время и почитать man, чем необдуманно доверять сомнительным советам

pavlar,
вы путаете тёплое с мягким, -P, -A, -I, -D, ... -- это разные команды iptables.
-P задаёт политику цепочки -- что произойдёт с пакетом, если он не подходит ни под одно из существующих в цепочке правил.
-A/-I наполняют цепочку правилами, первый добавляет в конец, второй в начало или в указанное место.
-R заменяет указанное правило другим.
-D удаляет указанное правило из цепочки.
-F удаляет из цепочки все правила.

-t задаёт используемую командой таблицу, если не указан явно, используется таблица filter, т.е. как если бы было указано "-t filter".

Только и всего.

bormant ответил всё верно.
Ну ну. Я подпишусь на тему.

"pavlar" написал:

Кроме того  в манах  iptables прямо написано что  употреблять DROP крайне нежелательно

если совершенно не понимаешь, что делаешь :)

alexfinn написал:

[quote="pavlar"]Кроме того  в манах  iptables прямо написано что  употреблять DROP крайне нежелательно

если совершенно не понимаешь, что делаешь :)[/quote]
Угу когда ещё нервишки шалят и руки чешутся :)