Как наиболее просто запретить левые адреса при маске 255.255.0.0

bormant написал:

pavlar,
вы путаете тёплое с мягким, -P, -A, -I, -D, ... -- это разные команды iptables.
-P задаёт политику цепочки -- что произойдёт с пакетом, если он не подходит ни под одно из существующих в цепочке правил.
-A/-I наполняют цепочку правилами, первый добавляет в конец, второй в начало или в указанное место.
-R заменяет указанное правило другим.
-D удаляет указанное правило из цепочки.
-F удаляет из цепочки все правила.

-t задаёт используемую командой таблицу, если не указан явно, используется таблица filter, т.е. как если бы было указано "-t filter".

Только и всего.

iptables -A FORWARD  -i  $wan -d 10.44.0.0/16 -j ACCEPT

-A в конфигах iptables появляется автоматически на действие в командной строке # iptables -P ..... ACCEPT

-A это формат конфиг-файла а ACCEPT формат командной строки Вот и вся разница. Но командная строка -A не воспринимает а только -P ..... ACCEPT

"pavlar" написал:

4 подсетки  10.44.1.1, 10.44.2.1, 10.44.3.1, 10.44.4.1 и маска 255.255.0.0

"pavlar" написал:

воспользуйтесь командной которую мне рекомендовали ...и    покажите сообщение на сие действо

# ifconfig eth0:1 10.44.0.1 netmask 255.255.0.0
# ifconfig eth0:1
eth0:1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 10.44.0.1  netmask 255.255.0.0  broadcast 10.44.255.255
# iptables -A FORWARD -i eth0:1 -d 10.44.0.0/16 -j ACCEPT
# iptables -S FORWARD
-P FORWARD DROP
-A FORWARD -d 10.44.0.0/16 -i eth0 -j ACCEPT

Или даже без алиаса:

# iptables -A FORWARD -i eth0 -d 10.44.0.0/16 -j ACCEPT
# iptables -S FORWARD
-P FORWARD DROP
-A FORWARD -d 10.44.0.0/16 -i eth0 -j ACCEPT

Теперь позвольте поинтересоваться, что вы хотели сказать своей вышеприведённой цитатой?

"pavlar" написал:

-A в  конфигах iptables появляется автоматически на действие в командной строке # iptables -P ..... ACCEPT
-A это формат конфиг-файла а ACCEPT  формат командной строки Вот и вся разница. Но командная строка -A  не воспринимает а только  -P   .....  ACCEPT

*WALL*

alexfinn написал:

[quote="pavlar"]-A в  конфигах iptables появляется автоматически на действие в командной строке # iptables -P ..... ACCEPT
-A это формат конфиг-файла а ACCEPT  формат командной строки Вот и вся разница. Но командная строка -A  не воспринимает а только  -P   .....  ACCEPT

*WALL*[/quote]
Вот вот :) FORWARD был жестко опушен из комнадной строки с помощью $iptables -P FORWARD DROP а предлагалось подять FORWARD с помощью (исходя из синтаксиса) изменения строки скрипта конфига -A.....
Так вот , сколько бы вы ни бились лбом об стену, но обратно поднять FOPWARD можно тоже лишь с помощью командной строки $iptables -P. FORWARD .ACCEPT *BYE*

pavlar написал:

[quote=alexfinn][quote="pavlar"]-A в  конфигах iptables появляется автоматически на действие в командной строке # iptables -P ..... ACCEPT
-A это формат конфиг-файла а ACCEPT  формат командной строки Вот и вся разница. Но командная строка -A  не воспринимает а только  -P   .....  ACCEPT

*WALL*[/quote]
Вот вот :) FORWARD был жестко опушен из комнадной строки с помощью $iptables -P FORWARD DROP а предлагалось подять FORWARD с помощью (исходя из синтаксиса) изменения строки скрипта конфига -A.....
Так вот , сколько бы вы ни бились лбом об стену, но обратно поднять FOPWARD можно тоже лишь с помощью командной строки $iptables -P. FORWARD .ACCEPT *BYE*[/quote]
скок я уже на этом форуме ток у вас получается читать маны через пятую точку. поищите на этом форуме темы с иптаблес тогда и поговорим.
а пока правильно досвидание.

Пусть Ёжик в тумане так и остнется от него только одни убытки : его совет на 20 мин остановил сеть в 700 компов За такое в прилитчном обществе канделябром по голове дают , а он ещё и огрызается. .. Вопрос по теме:
arp выдаёт постоянно какой-то левый ip 10.1.1.128 ,без MAC- адреса и типа маски. Тогда чтобы его загасить я присваиваю соему компу этот ip но почему-то конфликта адресов не происходит, arp уже спокойно показывает ip с моим MAC и я спокойно работаю в интернете , Что за фигня
Не нужно переходить на личности. Выяснять отношения нужно культурно. yars.

pavlar написал:

Пусть Ёжик в тумане так и остнется от него только одни убытки : его совет на 20 мин остановил сеть в 700 компов За такое в прилитчном обществе канделябром по голове дают , а он ещё и огрызается. .. Вопрос по теме:
arp выдаёт постоянно какой-то левый ip 10.1.1.128 ,без MAC- адреса и типа маски. Тогда чтобы его загасить я присваиваю соему компу этот ip но почему-то конфликта адресов не происходит, arp уже спокойно показывает ip с моим MAC и я спокойно работаю в интернете , Что за фигня

Решил огрызнуться? Ну давай шакал в овечей шкуре поговорим.
Какой тут совет? Я ток вам показал пример как можно, ну если вы на стоко тупоголовый что сразу решили пробывать на боевой машине так это ваша вина!

700 машин и без знания iptables руки вам выдернуть (кто в теме тот поймёт)\

Показать вам мои правила где за шлюзом всего 25 машин?
Хотя с вашими знаниями ток man читать и учиться поиском.

Если уш не можете признать своей ошибки не надо вашу головную боль вешать на других.
Устроим голосовалку кто за то что мой пример не поможет в вашем случае?

Kettler, не нужно переходить на личности.
Пока просто предупреждаю. yars.

http://www.chiark.greenend.org.uk/~peterb/network/drop-vs-reject#conclusion

Conclusion

DROP offers no effective barrier to hostile forces but can dramatically slow down applications run by legitimate users. DROP should not normally be used.

http://lists.altlinux.org/pipermail/community/2005-March/571463.html
Действие DROP

Данное действие просто "сбрасывает" пакет и iptables "забывает" о его
существовании. "Сброшенные" пакеты прекращают свое движение полностью,
т.е. они не передаются в другие таблицы, как это происходит в случае с
действием ACCEPT. Следует помнить, что данное действие может иметь
негативные последствия, поскольку может оставлять незакрытые "мертвые"
сокеты как на стороне сервера, так и на стороне клиента, наилучшим
способом защиты будет использование действия REJECT особенно при защите
от сканирования портов."

pavlar написал:

http://www.chiark.greenend.org.uk/~peterb/network/drop-vs-reject#conclusion

Conclusion

DROP offers no effective barrier to hostile forces but can dramatically slow down applications run by legitimate users. DROP should not normally be used.

http://lists.altlinux.org/pipermail/community/2005-March/571463.html
Действие DROP

Данное действие просто "сбрасывает" пакет и iptables "забывает" о его
существовании. "Сброшенные" пакеты прекращают свое движение полностью,
т.е. они не передаются в другие таблицы, как это происходит в случае с
действием ACCEPT. Следует помнить, что данное действие может иметь
негативные последствия, поскольку может оставлять незакрытые "мертвые"
сокеты как на стороне сервера, так и на стороне клиента, наилучшим
способом защиты будет использование действия REJECT особенно при защите
от сканирования портов."

http://www.opennet.ru/docs/RUS/iptables/

Команда    -P, --policy
Пример    iptables -P INPUT DROP
Описание    [color=red]Задает политику по-умолчанию для заданной цепочки[/color]. Политика по-умолчанию определяет действие, применяемое к пакетам не попавшим под действие ни одного из правил в цепочке. В качестве политики по умолчанию допускается использовать DROP и ACCEPT.

Поймите одно действие и политика РАЗНЫЕ ВЕЩИ!!!

Пакет сначала попадает под политику! Если политика DROP пакет идёт дальше по таблице (в нашем примере FORWARD)
Если в цепочке есть критерии, например в нашем случае для сети 192.168.0.0/24 -j ACCEPT то тогда пакеты разрешены на прохождение.

iptables -P FORWARD DROP

Политика цепочки FORWARD

iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
iptables -A FORWARD  -i  $wan -d 10.44.0.0/16 -j ACCEPT

критерии разрешающее прохождение пакетов для 10.44.0.0/16 в $wan интерфейс.

Kettler написал:

text

iptables -P FORWARD DROP

Политика цепочки FORWARD

text

iptables -A FORWARD -s 10.44.0.0/16 -o  $wan -j ACCEPT
iptables -A FORWARD  -i  $wan -d 10.44.0.0/16 -j ACCEPT

критерии разрешающее прохождение пакетов для 10.44.0.0/16 в $wan интерфейс.

Только не надо ужом на сковородке крутиться
если набрать в командной строке как вы мне прредложили
iptables -A FORWARD -s 10.44.0.0/16 -o $wan -j ACCEPT
то получми
iptables -A FORWARD -s 10.44.0.0/16 -o $wan -j ACCEPT
Bad argument `ACCEPT'
Try `iptables -h' or 'iptables --help' for more information.
О чем я и писал выше :)

Вы опустили FORWARD в командной строке с помощью iptaples -P FORWARD и туту же решили поднять iptables -A FORWARD -s 10.44.0.0/16 -o $wan -j ACCEPT
что конечно же дажо BAD агрумент. На этом я закачиваю общение на русскоязычных фолрумах из-за проявления элементарного незнания прикрываемым несдержанным хамство и перехожу исключительно на англоязыные. Там люди покультурнее

Выбирайте выражения для общения!
Мне если честно до лампочки на ваши проблемы. Но вы говорите что мои правила не работают.

$wan

переменная которую надо обьявить в вашем скрипте где nat.

$wan

тут внешний интерфейс.
Например так

iptables -A FORWARD -s 10.44.0.0/16 -o  ppp0 -j ACCEPT

iptables -A FORWARD -i  ppp0 -d 10.44.0.0/16 -j ACCEPT

Kettler написал:

Мне если честно до лампочки на ваши проблемы. Но вы говорите что мои правила не работают.

text

$wan

переменная которую надо обьявить в вашем скрипте где nat.

text

$wan

тут внешний интерфейс.
Например так

text

iptables -A FORWARD -s 10.44.0.0/16 -o  ppp0 -j ACCEPT

В последний раз
Вы опустили FORWARD в командной строке с помощью iptaples -P FORWARD DROP и тут же предложили поднять iptables -A FORWARD -s 10.44.0.0/16 -o $wan -j ACCEPT
что конечно же дало из-за грубой ошибки в синтаксисе BAD агрумент. А правильно надо было поднимать FORWARD командой iptables -P FORWARD ACCEPT На этом я закачиваю общение на русскоязычных форумах из-за проявления вопиющего незнания элементарных вещей , прикрываемого несдержанным хамством и перехожу исключительно на англоязыные. Там люди покультурнее

!!!!! ]:-> всё в пень с меня хватит *WRITE*
Чем хамить лучше в никнули бы.

Я не отпустил FORWARD а поставил по умолчанию политику DROP
А дальше разрешил прохождение пакетов. Вам надо было ток подставить за место $wan ваш внешний интерфейс на котором работает NAT.

Чуть поправил в соответствии с п.3.2.6 правил - "Запрещено использовать грубые выражения и ненормативную лексику (мат), включая замаскированный". yars.

Kettler, да ладно, он просто неадекват
Достаточно посмотреть на остальные темы ТС

Kettler написал:

[quote=pavlar]Пусть Ёжик в тумане так и остнется от него только одни убытки : его совет на 20 мин остановил сеть в 700 компов За такое в прилитчном обществе канделябром по голове дают , а он ещё и огрызается. .. Вопрос по теме:
arp выдаёт постоянно какой-то левый ip 10.1.1.128 ,без MAC- адреса и типа маски. Тогда чтобы его загасить я присваиваю соему компу этот ip но почему-то конфликта адресов не происходит, arp уже спокойно показывает ip с моим MAC и я спокойно работаю в интернете , Что за фигня

Решил огрызнуться? Ну давай шакал в овечей шкуре поговорим.
Какой тут совет? Я ток вам показал пример как можно, ну если вы на стоко тупоголовый что сразу решили пробывать на боевой машине так это ваша вина!

700 машин и без знания iptables руки вам выдернуть (кто в теме тот поймёт)\
[/quote]
Золотые слова. :)
Прежде чем... семь раз отмерь, один раз отрежь!
Если же по делу, могу "нарисовать" набор правил и прочее для: iptables,
но, только при наличии грамотного и подробного: Т.З.

Kettler написал:

Показать вам мои правила где за шлюзом всего 25 машин?
Хотя с вашими знаниями ток man читать и учиться поиском.

Если уш не можете признать своей ошибки не надо вашу головную боль вешать на других.
Устроим голосовалку кто за то что мой пример не поможет в вашем случае?

Вот реально веселуха, хотел бы что сказать, но Kettler уже сказал... Я б такому админу не только руки оторвал.