iptables с нуля

Батюшки. Где ты это взял? Зачем эти sport? Выкинь нафиг.

И да, DNS - он UDPшный обычно.

Я хочу разрешить только то, что нужно. А без ничего и точно работать не будет! я подправил: iptables -P OUTPUT DROP

именно у меня не установлен DNS.. Как правельно написать, чтоб к нему можно было обращаться?

Выкинь все --sport и -m tcp и дай, что получилось.

Вот так оставил:

:INPUT DROP [26:1522]

:FORWARD DROP [0:0]

:OUTPUT DROP [24915:20237562]

-A INPUT -m state --state INVALID -j DROP

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-A INPUT -i lo -p tcp --dport 22 -j ACCEPT

-A OUTPUT -p tcp --dport 53 -j ACCEPT

-A OUTPUT -p tcp --dport 67 -j ACCEPT

-A OUTPUT -p tcp --dport 443 -j ACCEPT

-A OUTPUT -p tcp --dport 80 -j ACCEPT

-A OUTPUT -p tcp --dport 110 -j ACCEPT

-A OUTPUT -p tcp --dport 25 -j ACCEPT

-A OUTPUT -p tcp --dport 113 -j ACCEPT

-A OUTPUT -p tcp --sport 10000 -j ACCEPT

-A OUTPUT -o lo -p tcp --dport 22 -j ACCEPT

---------------------------------------------

работает. но это наверное довольно общий случай?! хотелось бы пожеще контролироваль порты исходящих пакетов! как --sport тогда быть?

Всё же не.. поработает-поработает и отключается интернет с такими настройками

На --sport забей и всё. В общем случае исходящего соединения это будет случайный непривилегированный порт. О частных случаях смотри уже применимо к конкретному сервису. Кстати, заставь свой фаер нормально работать с обоими режимами FTP - поимеешь некий начальный опыт.

> Кстати, заставь свой фаер нормально работать с обоими режимами FTP

это относится к тому, что интернет пропадает?

О частных случаях смотри уже применимо к конкретному сервису.

Ну HTTP.. не 80-ый?? что еще ему надо кроме DNS?

это относится к тому, что интернет пропадает?

Нет, это относится к пониманию основ. Полезная штука.

Таки разреши на 53й порт UDP, а не TCP. А я спать пойду.

если ты пропускаешь через этот компьютер интернет, то тебе не хватает масакарада.

Это чё за суровый такой фаервол, где настраиваешь хоть? На сервере или десктопе?

Это я для себя. Ноутбук. Для опыта поэкспериментировать :)

Компьютер один.. ничего никуда дальше пропускать не требуется. Всё себе

Ну тогда вот этого более чем достаточно

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Хотя, наверняка, ведь за роутером каким-нибудь сидишь :)

А эсперименты с какой целью ставятся?

ага.. Линксис.. свой. А это имеет значение за чем?

Ну тогда вот этого более чем достаточно...

Этого не достаточно. т.к. то, что должно выходить и куда я тоже хочу контролировать

Про надобность -m tcp кто-нибудь раскрыл бы тайну

Про надобность -m tcp кто-нибудь раскрыл бы тайну

/* some explanations (after four different bugs
                                 * in 3 different releases): If we encounter a
                                 * parameter, that has not been parsed yet,
                                 * it's not an option of an explicitly loaded
                                 * match or a target.  However, we support
                                 * implicit loading of the protocol match
                                 * extension.  '-p tcp' means 'l4 proto 6' and
                                 * at the same time 'load tcp protocol match on
                                 * demand if we specify --dport'.
                                 *
                                 * To make this work, we need to make sure:
                                 * - the parameter has not been parsed by
                                 *   a match (m above)
                                 * - a protocol has been specified
                                 * - the protocol extension has not been
                                 *   loaded yet, or is loaded and unused
                                 *   [think of iptables-restore!]
                                 * - the protocol extension can be successively
                                 *   loaded
                                 */

Исходящий порт выбирается случайно. И вообще смысл тебе --sport, логичнее если от тебя и будет кто в интернет ломится, то --dport и фильтруй, либо ты допишешь ядро и специально для тебя будут программы запускаться и обращаться с определенным тобой --sport. Если реально такой дотошный, то через owner пускай. Соответственно, чаще это броузер, запускай от другого юзера: и безопаснее и контролировать сможешь.

> то через owner пускай

Можно поподробней про это побольше? Я только учусь