помогите с IPTABLES оставить только 25,80,110,8080 порты

0

0

Не могу закрыть изходящие соединения для одного хоста.
использую стандартный файл rc.firewall http://www.opennet.ru/docs/RUS/iptables/misc/iptables-tutorial/scripts/rc.fir...

если пишу
iptables -t nat -I PREROUTING -m mac --mac-source 00:0A:E6:77:F1:A6 -p tcp --dport ! 80 -j DROP
то возможны соединения, только на 80 порт, это почти, то что надо, но ещё не хватает 25, 110 и 8080 портов.

если пишу:
iptables -t nat -I PREROUTING -m mac --mac-source 00:0A:E6:77:F1:A6 -p tcp --dport ! 25 -j DROP
iptables -t nat -I PREROUTING -m mac --mac-source 00:0A:E6:77:F1:A6 -p tcp --dport ! 80 -j DROP
iptables -t nat -I PREROUTING -m mac --mac-source 00:0A:E6:77:F1:A6 -p tcp --dport ! 110 -j DROP
iptables -t nat -I PREROUTING -m mac --mac-source 00:0A:E6:77:F1:A6 -p tcp --dport ! 8080 -j DROP
iptables -t nat -A PREROUTING -m mac --mac-source 00:60:08:49:D1:F2 -j DROP
то не возможно создать ни одного соединения, не подскажите как сделать правильно?

Ссылка

←	--== ПОМОГИТЕ ПО SOLARIS, ГОРЮ!!! ==--

Apache && (prefork.c || worker.c)

→

правильно. Ты сам подумай- первым правилом закрываешь доступ ко всем портам, кроме 25го, а вторым- ко всем, кроме 80го. То есть, два правила вместе закрывают подход вообще ко всем портам.
Попробуй задать политику DROP, а потом сделать два правила ACCEPT.

anonymous
(24.03.04 03:56:22 MSK)

Ссылка

Фильрация ДОЛЖНА производиться ТОЛЬКО в цепочке FORWARD

Xela ★
(24.03.04 10:33:06 MSK)

Ответ на: комментарий от Xela 24.03.04 10:33:06 MSK

При чём здесь forward? Если пакеты идут из локальной сети, на этот фаервол, где также стоит мыло, web, pop, прокси? Куда пакеты будут попадать? В forward?

BusTeR ★
(24.03.04 11:58:57 MSK)

Ответ на: комментарий от BusTeR 24.03.04 11:58:57 MSK

> Куда пакеты будут попадать? В forward?
Тогда в INPUT закрывать ! Xela хотел сказать, что делать DROP в PREROUTING - это дурной тон.

> Не могу закрыть изходящие соединения для одного хоста
Т.е. стало быть пакеты все таки идут через FORWARD ? :-)
Попробуйте так:
iptables -A FORWARD -m mac --mac-source 00:0A:E6:77:F1:A6 -p tcp -m multiport --dports 80,25,110,8080 -j ACCEPT
iptables -A FORWARD -m mac --mac-source 00:0A:E6:77:F1:A6 -j DROP
И конечно же разрешить прохождение пакетов в обратную сторону:
iptables -A FORWARD -d x.x.x.x -p tcp -m multiport --sports 80,25,110,8080 -j ACCEPT

spirit ★★★★★
(24.03.04 15:44:58 MSK)