Debian iptables

[ttys]

не могу найти откуда в дебиане iptables читает правила.
или не откуда не читает?
надо самому скрипт делать?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Andy]

не могу найти откуда в дебиане iptables читает правила.
или не откуда не читает?
надо самому скрипт делать?

Стартовый скрипт поглядите. В RH/Fedora/CentOS - это /etc/sysconfig/iptables.

[ttys]

Стартовый скрипт поглядите. В RH/Fedora/CentOS - это /etc/sysconfig/iptables.

нету вообще sysconfig

[Larin]

у меня просто через rc.local запускается
типа /bin/sh /etc/firewall.conf

[Hrafn]

/var/lib/iptables/rules

[ttys]

у меня просто через rc.local запускается
типа /bin/sh /etc/firewall.conf

в rc.local так?

Код: Выделить всё

iptables-restore </etc/firewall.conf 

ну там с [ -x тратата] это само собой

[ttys]

/var/lib/iptables/rules

это причём тут?
мне скрипт самому писАть? или как то есть стандартное решение?

[Hrafn]

вопрос был

не могу найти откуда в дебиане iptables читает правила.

я написал откуда...
если вы сами не создадите, то вероятно только Пушкин

[ttys]

вопрос был

не могу найти откуда в дебиане iptables читает правила.

я написал откуда...
если вы сами не создадите, то вероятно только Пушкин

у меня нету в /var/iptables

[ttys]

если вы сами не создадите, то вероятно только Пушкин

создаю после ребута iptables -L пустой (ну тоесть без моих правил)

[Hrafn]

не в /var/iptables. а в /var/lib/iptables

[Hrafn]

посмотрите также в файл /etc/network/if-up.d/iptables

[Burner]

все руками, руками

[ttys]

нашёл здесь

Код: Выделить всё

iptables-save > /etc/firewall.conf

Код: Выделить всё

echo "#!/bin/sh" > /etc/network/if-up.d/iptables 
echo "iptables-restore < /etc/firewall.conf" >> /etc/network/if-up.d/iptables 
chmod +x /etc/network/if-up.d/iptables 

походу как я и думал надо самому скрипт загрузки делать

[Саша]

find / -name rules-save

[ttys]

find / -name rules-save

нету в дебиане этого

[Саша2]

Там есть опция save в /etc/init.d/iptables скрипте ? Если есть - смотри скрипт куда он пишет ...

Дело в том, что в Debian с некоторого времени отсутствует настройка iptables по умолчанию, равно, как и, скриптовая и конфигурационная поддержка.. Зато, поздже, можно установить любую желаемую из множества существующих, например - http://wiki.kartbuilding.net/index.php/ ... s_Firewall http://wiki.debian.org/Firewalls

В зависимости от того, какой фронтенд установлен, меняется и расположение файлов конфигурации, Если же используются самописные скрипты, тогда следует изучать их содержимое для установления местоположения конфигурации..

[Burner]

Там есть опция save в /etc/init.d/iptables скрипте ? Если есть - смотри скрипт куда он пишет ...

да не там такого скрипта

[ttys]

дабы не создавать новую тему напишу здесь.
кусок из правил:

Код: Выделить всё

INET_IP="xxx.xxx.xxx.xxx"
INET_IFACE="eth0"

LAN_IP="192.168.1.254"
LAN_IP_RANGE="192.168.1.0/255.255.255.0"
LAN_IFACE="eth1"
LAN_IP1="192.168.2.254"
LAN_IP_RANGE1="192.168.2.0/255.255.255.0"
LAN1_IFACE="eth1"
LAN_IP2="10.1.1.254"
LAN_IP_RANGE2="10.1.1.0/255.255.255.0"
LAN2_IFACE="eth1"
LAN_IP3="10.2.1.254"
LAN_IP_RANGE3="10.2.1.0/255.255.255.0"
LAN3_IFACE="eth1"
...............................
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d ! $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_3 -d ! $LAN_IP_RANGE -j ACCEPT

собственно вопрос:
это правильно или нет?
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d ! $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_3 -d ! $LAN_IP_RANGE -j ACCEPT

или надо вместо ! $LAN_IP_RANDE указать INET_IP либо INET_IFACE?
тоесть:
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d $INET_IP -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -o $INET_IFACE -j ACCEPT
ЗЫ: маршруты между сетями "LAN_IP_RANGE_2 LAN_IP_RANGE_3 LAN_IP_RANGE" не нужны

[BlackCat]

собственно вопрос:
это правильно или нет?
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d ! $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_3 -d ! $LAN_IP_RANGE -j ACCEPT

...

ЗЫ: маршруты между сетями "LAN_IP_RANGE_2 LAN_IP_RANGE_3 LAN_IP_RANGE" не нужны

У каждой цепочки правил iptables есть действие по умолчанию, т.н. политика. Это действие, которое будет применено, когда вся цепочка будет пройдена, а подходящего правила не будет найдено. Устанавливается примерно следующим образом:
iptables -P FORWARD ACCEPT # пропустить все пакеты
или
iptables -P FORWARD DROP # отбросить все пакеты

Исходя из этого и строится набор правил. Или вы запрещаете всё и пишите правила, которые явно разрешают прохождение пакета (iptables -A FORWARD your_condition_here -j ACCEPT). Или вы всё разрешаете и пишите правила, которые явно запрещают прохождение пакета (iptables -A FORWARD your_condition_here -j DROP).
=====
Если вы хотите явно порезать трафик из одной подсети в другую (бывает полезно даже когда политика "отбросить всё"), то так и напишите:

Код: Выделить всё

$IPTABLES -A FORWARD -s $LAN_IP_RANGE -d $LAN_IP_RANGE_2 -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE -d $LAN_IP_RANGE_3 -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE_2 -d $LAN_IP_RANGE -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE_2 -d $LAN_IP_RANGE_3 -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE_3 -d $LAN_IP_RANGE -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE_3 -d $LAN_IP_RANGE_2 -j DROP

[BlackCat]

собственно вопрос:
это правильно или нет?
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d ! $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_3 -d ! $LAN_IP_RANGE -j ACCEPT
...
ЗЫ: маршруты между сетями "LAN_IP_RANGE_2 LAN_IP_RANGE_3 LAN_IP_RANGE" не нужны

Нет, т.к вы разрешаете прохождение пакетов. После "-j DROP" или "-j ACCEPT" просмотр цепочки завершается. Один из вариантов решения в предыдущем сообщении.

[ttys]

спс уже разобрался
http://forum.lissyara.su/viewtopic.php? ... 99#p257799