$IPT -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT ## SSH

ACCEPT прерывает просмотр правил в цепочке. До нижестоящего правила

$IPT -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j DROP

дело не дойдёт. Плюс, AFAIK, для >=net-firewall/iptables-1.4.16 все -m state --state нужно менять на -m conntrack --ctstate. Т.е.

$IPT -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

нужно будет заменить на

$IPT -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

и далее, по аналогии.

Proxmox = Debian Squeeze

iptables v1.4.8

и еще не могу понять.. в настройках сети вот такое:

auto lo iface lo inet loopback

auto vmbr0 iface vmbr0 inet static address 91.210.250.2 netmask 255.255.255.240 gateway 91.210.250.1 bridge_ports eth0 bridge_stp off bridge_fd 0

следовательно, в ifconfig видно eth0 и vmbr0 интерфейс. Но, я не пойму, через какой интерфейс нужно пропускать iptables?

Насчет прерывания правил в цепочке.. Т.е. следует ACCEPT добавить правилом лимитов? Либо убрать вообще?

По ssh: ACCEPT должен стоять после условного DROP-а. Т.е. если пакет не сбросило по лимиту, то нужно принять соединение. Если ACCEPT не указать явно - пакет будет сброшен политикой по-умолчанию. Это к дальней дороге :)

Но, я не пойму, через какой интерфейс нужно пропускать iptables?

С этим я сам ещё не до конца... Судя по всему, через оба и в FORWARD-е. Если виртуалка лезет в интернеты, то -A FORWARD -i vmbr0 -o eth0, если на соседнюю виртуалку, то -A FORWARD -i vmbr0 -o vmbr0...

странно, вроде бы у меня всегда стояли правила - сначала открывающие порты для нужных сервисов, а затем лимиты.. и вроде бы работало как должно.

Обновил немного скрипт: http://pastebin.com/AadVF1ci

В общем, нужно указывать vmbr0, а он уже перенаправляет трафик на eth0 Если указать eth0 (допустим открыть порт 22), то в ssh не пустит.

Обновил немного скрипт: http://pastebin.com/AadVF1ci

This is a private paste. If you created this paste, please login to view it.

ой, извините :) изменил на Unlisted

или лыжи не едут...

Посмотрел ещё раз на правила, попробовал распарсить...

IPT="/sbin/iptables"
INT="vmbr0"
...
# Вводим ограничения для новых подключений по SSH
$IPT -A INPUT -i $INT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
$IPT -A INPUT -i $INT -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 4 --rttl --name SSH -j DROP

# Вводим ограничения для новых подключений по WWW
$IPT -A INPUT -i $INT -p tcp -m tcp --dport 8006 -j ACCEPT
$IPT -A INPUT -i $INT -p tcp --dport 8006 -m connlimit --connlimit-above 20 -j DROP
$IPT -A INPUT -i $INT -p tcp --dport 8006 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -i $INT -p tcp --dport 8006 -m conntrack --ctstate NEW -m limit --limit 5/sec --limit-burst 5 -j ACCEPT

странно, вроде бы у меня всегда стояли правила - сначала открывающие порты для нужных сервисов, а затем лимиты.. и вроде бы работало как должно.

Да как так? Сначала пропускаем, потом «ай, вернсь, куда пошел?»

//Тема-то больше в Admin подходит...

ох уж эта логика iptables ;( мозг взорвется...

ой, стоп.. до меня только дошло:

$IPT -A INPUT -i $INT -p tcp -m tcp --dport 8006 -j ACCEPT

и

$IPT -A INPUT -i $INT -p tcp --dport 8006 -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT

тогда должно быть так:

$IPT -A INPUT -i $INT -p tcp --dport 8006 -m connlimit --connlimit-above 30 -j DROP
$IPT -A INPUT -i $INT -p tcp --dport 8006 -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A INPUT -i $INT -p tcp --dport 8006 -m conntrack --ctstate NEW -m limit --limit 5/sec --limit-burst 5 -j ACCEPT

p.s. можно ли как-то связаться с вами напрямую (gtalk/jabber, skype, icq)? и если возможно, проконсультируйте пожалуйста по этому поводу :) т.к. серверами я обычно занимаюсь в другой сфере, где парится с iptables, сетью и т.д. - не приходится.)

icq:5257059