Правила для iptables

ну а перед этим правилом разрешающее правило. очевидно же?

Это да, но я не знаю как его написать.

Только не input, а forward, это если ты вводишь правило на VPN сервере, ибо input - это пакеты, предназначенные самой системе (VPN серверу), а forward - транзитные пакеты, пакеты от одной системе к другой, которые проходят через VPN сервер.

А перед этим разрешающее правило, то же в цепочке forward.

очень интересно получается. запрещающее правило ты знаешь как писать, а разрешающее нельзя. очень интересно ;)

он из ркн

Вот так?:

iptables -I FORWARD -s 192.168.10.100 -j ACCEPT

iptables -I FORWARD -s 192.168.10.1 -j DROP

Да я в iptable не силён

:)

iptables -A FORWARD -d 192.168.10.100 -j ACCEPT
iptables -A FORWARD -s 192.168.10.1 -j DROP

-d там должно быть.

Ну и важна очерёдность правил.

Выполни

iptables-save > /tmp/rules

В общем, механика работы такая, пакет проходит по цепочкам и как только какое-либо правило в цепочке обрабатывает правило, то пакет выходит из цепочки и ниже стоящие правила уже не работают для этого пакета.

Так что правило разрешения должно быть выше правила блокировки.

После редактирование файла с правилами выполни

iptables-restore /tmp/rules

пакет проходит по цепочкам и как только какое-либо правило в цепочке обрабатывает правило, то пакет выходит из цепочки и ниже стоящие правила уже не работают для этого пакета.

спасибо.

Спасибо!

Вот мой скрипт, сделай по аналогии Ubuntu: настройка iptables в качестве сервиса (комментарий)

-d там должно быть.

Оба правила должны быть. Ибо нафига разрешать попытки устанавливать соединения и потом получать трафик, но только не отдавать пользователю?

Согласен. Наверное лучше 4 правила 2 разрешающих и 2 запрещающих.

-d blocked-IP -s client-IP -j DROP
-s blocked-IP -d client-IP -j DROP
-s client-IP -j ACCEPT
-d client-IP -j ACCEPT

ну если более ничего в форварде нет, то политику по умолчанию в accept и тока запрещающие правила

Все очень просто

iptables -A INPUT -s 192.168.10.1 ! -d 192.168.10.100 -j DROP

Всем большое спасибо за помощь!

В общем, конечно ты прав, но не совсем.

Если разрешён трафик до определённого IP1 (192.168.10.100), а потом запрещён транзитный трафик исходящий от другого определённого IP2 (192.168.10.1). То запросы от IP2 до IP1 смогут дойти и ответы от IP1 до IP2 тоже дойдут.

Т.к. ниже идёт правило запрещающее исходящие запросы с IP2 (192.168.10.1), то до других IP адресов запросы не дойдут - следовательно не будет и ответов.

Если запросы пойдут с какого-то IP адреса в VPN сеть до IP2, то ответы до адресов отличающихся от IP1 не дойдут, т.к. стоит правило блокировки исходящих пакетов с IP2.

Так что в принципе достаточно этих двух правил.

Можно написать конечно два правила с указанеим исходящего адреса и адреса назначения.

iptables -A FORWARD -s 192.168.10.1 -d 192.168.10.100 -j ACCEPT
iptables -A FORWARD -d 192.168.10.1 -s 192.168.10.100 -j ACCEPT
iptables -A FORWARD -s 192.168.10.1 -j DROP
iptables -A FORWARD -d 192.168.10.1 -j DROP

Т.к. если оставить только вот такое правило:

iptables -A FORWARD -d 192.168.10.100 -j ACCEPT

Можно сделать указав интерфейс.

iptables -A FORWARD -d 192.168.10.100 -i ppp0 -j ACCEPT
iptables -A FORWARD -s 192.168.10.100 -o ppp0 -j ACCEPT
iptables -A FORWARD -i ppp0 -j DROP
iptables -A FORWARD -o ppp0 -j DROP

Либо указать через сети.

Но в целом выше указанных двоих правил достаточно.

samson, тебе тоже ответ.

сори, я не дочитал, что именно требуется. Предлагал разрешить все кроме опеделенного IP, а надо наоборот...

А ведь, больше всех прав Adminstation (за исключением маленькой очепятки)

Все очень просто
iptables -A INPUT -s 192.168.10.1 ! -d 192.168.10.100 -j DROP

не INPUT а FORWARD!!!

достаточно же всего одно правила - надо запретить клиенту все исходящее кроме тех, что на этот IP - это одно правило полностью решает поставленный ТС вопрос.

2 Spring:

А вот как дальше разрешить доступ к 192.168.10.100?

если тут имеется ввиду, что далее надо будет разрешать доступ еще и к другим IP, то можно добавлять наверх правила так:

iptabes -I FORWARD -s 192.168.10.1 -d IP -j ACCEPT
iptabes -I FORWARD -d 192.168.10.1 -s IP -j ACCEPT

iptables -A INPUT -s 192.168.10.1 -j DROP

В общем, конечно ты прав, но не совсем

И пошло какое-то сплошное словоблудие...

Имеено -s важнее, так как судя по серому адресу это в конечном итоге будет NAT и потому инициатором трафика будут source пакеты.