URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID10
Нить номер: 4845
[ Назад ]

Исходное сообщение
"Правило iptables для выхода в интернет"
Отправлено paltusssss , 06-Май-11 08:14

Здравствуйте!
Подскажите пожалуйста, если при настройке бастиона выставить умолчальные политики в:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
Какое правило нужно добавить в цепочку Output, что бы был разрешён выход машины в интернет.

Содержание

Правило iptables для выхода в интернет,Andrey Mitrofanov, 09:43 , 06-Май-11
- Правило iptables для выхода в интернет,Andrey Mitrofanov, 11:27 , 06-Май-11
  - Правило iptables для выхода в интернет,paltusssss, 20:33 , 06-Май-11
    - Правило iptables для выхода в интернет,LSTemp, 02:48 , 15-Май-11
- Правило iptables для выхода в интернет,LSTemp, 02:43 , 15-Май-11
Правило iptables для выхода в интернет,Дядя_Федор, 11:01 , 06-Май-11
- Правило iptables для выхода в интернет,LSTemp, 02:45 , 15-Май-11

Сообщения в этом обсуждении

"Правило iptables для выхода в интернет"
Отправлено Andrey Mitrofanov , 06-Май-11 09:43

_Одним_ правилом это сделать невозможно.

"Правило iptables для выхода в интернет"
Отправлено Andrey Mitrofanov , 06-Май-11 11:27

> _Одним_ правилом это сделать невозможно.
Но если напрячься, взять examples/client-all.conf....
# egrep -v "^ *(#|$)" </usr/share/doc/firehol/examples/client-all.conf
version 5
interface any world
client all accept
# firehol ./client-all.conf debug | ./explain-sorter
-N out_world_ftp_c3
-A out_world_ftp_c3 -p tcp --sport 32768:61000 --dport ftp -m state --state NEW,ESTABLISHED -j ACCEPT
-A out_world_ftp_c3 -p tcp --sport 32768:61000 --dport ftp-data -m state --state ESTABLISHED -j ACCEPT
-A out_world_ftp_c3 -p tcp --sport 32768:61000 --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
-N in_world_ftp_c3
-A in_world_ftp_c3 -p tcp --sport ftp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT
-A in_world_ftp_c3 -p tcp --sport ftp-data --dport 32768:61000 -m state --state ESTABLISHED,RELATED -j ACCEPT
-A in_world_ftp_c3 -p tcp --sport 1024:65535 --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT
-N out_world_irc_c2
-A out_world_irc_c2 -p tcp --sport 32768:61000 --dport 6667 -m state --state NEW,ESTABLISHED -j ACCEPT
-N in_world_irc_c2
-A in_world_irc_c2 -p tcp --sport 6667 --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT
-N out_world_all_c1
-A out_world_all_c1 -m state --state NEW,ESTABLISHED -j ACCEPT
-N in_world_all_c1
-A in_world_all_c1 -m state --state ESTABLISHED -j ACCEPT
-N out_world
-A out_world -j out_world_all_c1
-A out_world -j out_world_irc_c2
-A out_world -j out_world_ftp_c3
-A out_world -m state --state RELATED -j ACCEPT
-A out_world -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=''OUT-world':'
-A out_world -j DROP
-N in_world
-A in_world -j in_world_all_c1
-A in_world -j in_world_irc_c2
-A in_world -j in_world_ftp_c3
-A in_world -m state --state RELATED -j ACCEPT
-A in_world -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=''IN-world':'
-A in_world -j DROP
-A FORWARD -m state --state RELATED -j ACCEPT
-A FORWARD -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix='PASS-unknown:'
-A FORWARD -j DROP
-A OUTPUT -j out_world
-A OUTPUT -m state --state RELATED -j ACCEPT
-A OUTPUT -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix='OUT-unknown:'
-A OUTPUT -j DROP
-A INPUT -j in_world
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix='IN-unknown:'
-A INPUT -j DROP
# exit
...немного его редуци... простите!, сократить, забыть об irc-ftp.... то, ...

-A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Ничего, что правил - _два_, извините?

"Правило iptables для выхода в интернет"
Отправлено paltusssss , 06-Май-11 20:33

> -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
> -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
> Ничего, что правил - _два_, извините?
Спасибо вам большое! Создал файл с правилами, сделал ему режим исполняемый и запустил как sh iptables_rules, что бы прогрузить его в память, а затем сохранить с помощью iptables-save. В результате получил сообщение об ошибке. Можно ли загрузить в память весь набор правил из заранее написанного файла, что бы не вводить их построчно?

"Правило iptables для выхода в интернет"
Отправлено LSTemp , 15-Май-11 02:48

>> -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
>> -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
>> Ничего, что правил - _два_, извините?
> Спасибо вам большое! Создал файл с правилами, сделал ему режим исполняемый и
> запустил как sh iptables_rules, что бы прогрузить его в память, а
> затем сохранить с помощью iptables-save. В результате получил сообщение об ошибке.
> Можно ли загрузить в память весь набор правил из заранее написанного
> файла, что бы не вводить их построчно?
посмотрите свой /etc/sysconfig/iptables - именно туда пишет/читает iptables-save/iptables-restore. формат файла очень простой. copy/paste никто не отменял.

"Правило iptables для выхода в интернет"
Отправлено LSTemp , 15-Май-11 02:43

> _Одним_ правилом это сделать невозможно.
неужели? как на счет банального - A OUTPUT -j ACCEPT )?

"Правило iptables для выхода в интернет"
Отправлено Дядя_Федор , 06-Май-11 11:01

> Какое правило нужно добавить в цепочку Output, что бы был разрешён выход
> машины в интернет.
Какой МАШИНЫ? Документацию по iptables (даже на русском языке для тех, кто не осилил английский) читать пробовали?

"Правило iptables для выхода в интернет"
Отправлено LSTemp , 15-Май-11 02:45

>> Какое правило нужно добавить в цепочку Output, что бы был разрешён выход
>> машины в интернет.
> Какой МАШИНЫ? Документацию по iptables (даже на русском языке для тех,
> кто не осилил английский) читать пробовали?
ну раз ничего про клиентов, то предполагаю, что машины, на которой iptables стоят.
PS
какой вопрос - такой ответ.