LINUX.ORG.RU
ФорумAdmin

IPTables + Статистика


0

0

Имеется Linux RH 9.0,iptables, squid, dhcp, sendmail... И сеть из 20 хостов. Расчет статистики по ip ведется через squid. Но т.к. squid считает не весь траффик (ftp,pop3,binkd - не считает), можно ли считать траффик через iptables? пытался делать через промежуточные цепочки и не получилось:

Т.е. для каждых из N своих IP я ставил

-A accept ip1/32 -j ACCEPT

...

-A accept ipN/32 -j ACCEPT

И везде где раньще было -j ACCEPT ставил -j accept...

Правильно ли я делал потому что при таком раскладе http вообще не работал?

Примерно так:
iptables -N ACCOUNT #Добавляем цепочку ACCOUNT
iptables -A INPUT -j ACCOUNT #Входящий трафик пропускаем через ACCOUNT
iptables -A FORWARD -j ACCOUNT #Трафик проходящий через машину пропускаем через ACCOUNT
iptables -A OUTPUT -j ACCOUNT #Исходящий трафик пропускаем через ACCOUNT
iptables -A ACCOUNT -s <IP> #Считаем исходящий трафик
iptables -A ACCOUNT -d <IP> #Считаем входящий трафик
iptables -L ACCOUNT -nv #Смотрим трафик

следует заметить, что цепочки INPUT и OUTPUT работают для
пакетов адесованных локальной машине, FORWARD для транзитных
пакетов.

qwe ★★★
()
Ответ на: комментарий от qwe

маленький вопросик: Добавление цепочек с командной строки и редактирование файла \etc\sysconfig\iptables это одно и тоже? Не нарушатся ли старые правила в цепочках добавляя новые правила с командной строки? Для примера могу послать мой конфиг...

andrey_dep
() автор топика
Ответ на: комментарий от andrey_dep

При добавлении из командной строки старые правила и
цепочки остаются. После перезапуска сервиса iptables
все что было добавлено из командной строки пропадет
если не было дано команды service iptables store.

Тоже для /etc/sysconfig/iptables (RedHat и подобные системы)
секция *filter

:ACCOUNT #Добавляем цепочку ACCOUNT
-A INPUT -j ACCOUNT #Входящий трафик пропускаем через ACCOUNT
-A FORWARD -j ACCOUNT #Трафик проходящий через машину пропускаем через ACCOUNT
-A OUTPUT -j ACCOUNT #Исходящий трафик пропускаем через ACCOUNT
-A ACCOUNT -s <IP> #Считаем исходящий трафик
-A ACCOUNT -d <IP> #Считаем входящий трафик

После редактирования нужно перезапустить сервис iptables
(service iptables restart).

qwe ★★★
()
Ответ на: комментарий от qwe

Возникла блин маленькая проблемка :(

При пересылки почты с одного хоста на другой траффик тоже считается. Такой синтаксис возможен?:

-A ACCOUNT -s <IP> -d !192.168.0.0/24

-A ACCOUNT -d <IP> -s !192.168.0.0/24

Т.е. чтобы внутренний траффик не считался.

andrey_dep
() автор топика
Ответ на: комментарий от andrey_dep

Вполне.

Думаю, также можно перед предыдущими правилами
поставить нечто вроде

-A ACCOUNT -s 192.168.0.0/24 -j ACCEPT
-A ACCOUNT -d 192.168.0.0/24 -j ACCEPT

после выполнении одного из этих правил, если я
правильно понял документацию, должен быть выход
из цепочки ACCOUNT, а Вы будете иметь еще и
информацию о локальном трафике.

qwe ★★★
()
Ответ на: комментарий от qwe

Я имел ввиду чтобы локальный траффик вообще не считался, а только интернет: http, smtp, pop3, ftp...

andrey_dep
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.