LINUX.ORG.RU
Форум — Security  

Настройка iptables.


0

1

Дано: eth0, браузер, торрентокачалка, i2p. Нужно: разрешить iptables общаться этим приложениям с интернетом, остальное блокировать. Делаю

iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -P INPUT DROP

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -i lo -j ACCEPT

iptables -A INPUT -i eth0 -p udp --dport 15971 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 8080 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 3128 -j ACCEPT
iptables -A INPUT -i eth0 -p udp --dport 3128 -j ACCEPT
iptables -A INPUT -i eth0 -p udp --dport 8080 -j ACCEPT
iptables -A INPUT -i eth0 -p udp --dport 80 -j ACCEPT

Сохраняю настройки, запускаю iptables и не могу выйти в интернет. И i2p жалуется на блокировку брандмауэром. Что я неправильно делаю?



Последнее исправление: fragment (всего исправлений: 1)
← Как научить iptables доверять программам?
php, include и \x00. баг или фича? →

«INPUT - входящий трафик» * "--dport - порт назначения" = nil

hizel ★★★★★
()

дык для выхода в сеть вам нужно два порта, для браузера исходящий 80, и входящий, какой-то из диапазона 1024..65535. Куда вам данные-то пойдут?

drBatty ★★
()
Ответ на: комментарий от fragment

ага открывать входящие из этого диапазона. И ещё нежелательно, что-бы демоны были запущены не нужные. Которые сеть слушают.

drBatty ★★
()
Ответ на: комментарий от fragment 
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -P INPUT ACCEPT

iptables -A INPUT -i eth+ -p udp -m udp --dport 0:1023 -j DROP 
iptables -A INPUT -i eth+ -p tcp -m tcp --dport 0:1023 -j DROP 
iptables -A INPUT -i eth+ -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j DROP

Остальное добавьте по своему вкусу. А зачем, кстати вы открываете 80 порт? У вас веб-сервер стоит и смотрит в инет?

no-such-file ★★★★★
()
Ответ на: комментарий от no-such-file

Благодарю, теперь хотя бы работает.

А зачем, кстати вы открываете 80 порт? У вас веб-сервер стоит и смотрит в инет?

Я запутался немного, теперь вроде начала понимать.

fragment
() автор топика

Спрошу уж тут сразу: что может значить такая строка в выводе netstat?

Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp6       0      0 192.168.1.100:49951     [UNKNOWN]:12707         ESTABLISHED
fragment
() автор топика
Ответ на: комментарий от drBatty

Все порты торрента вроде за 1024-ым. А где найти список портов с соответствующим им сервисами? Чтобы заблокировать всякие пинги, whois и так далее.

fragment
() автор топика
Ответ на: комментарий от fragment

>Все порты торрента вроде за 1024-ым.

я про входящий. Он в настройках. Ещё полезен входящий порт UDP для DHT. И если у вас роутер, их ещё и пробрасывать в нём надо.

А где найти список портов с соответствующим им сервисами? Чтобы заблокировать всякие пинги, whois и так далее.

/etc/services

И ещё я слышал от опытных админов фразу: «тем кто запрещает пинги надо отрывать яйца».

drBatty ★★
()
Ответ на: комментарий от no-such-file

>А разгадка проста - UPnP.

оно не всегда корректно пробрасывает. Я предпочитаю ручками, так надёжнее.

Работает и без этого, но пиров меньше.

drBatty ★★
()
Ответ на: комментарий от drBatty

тем кто запрещает пинги надо отрывать яйца

угу. а то не пропинговать хост и в трассировки одни сиськи. поубывав бы :/

Pinkbyte ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Как научить iptables доверять программам?
Security
php, include и \x00. баг или фича? →