Страница 1 из 1
Debian iptables
Добавлено: 2010-08-27 8:14:34
ttys
не могу найти откуда в дебиане iptables читает правила.
или не откуда не читает?
надо самому скрипт делать?
Re: Debian iptables
Добавлено: 2010-08-27 8:51:56
Andy
ttys писал(а):не могу найти откуда в дебиане iptables читает правила.
или не откуда не читает?
надо самому скрипт делать?
Стартовый скрипт поглядите. В RH/Fedora/CentOS - это /etc/sysconfig/iptables.
Re: Debian iptables
Добавлено: 2010-08-27 9:01:29
ttys
Andy писал(а):
Стартовый скрипт поглядите. В RH/Fedora/CentOS - это /etc/sysconfig/iptables.
нету вообще
sysconfig
Re: Debian iptables
Добавлено: 2010-08-27 10:07:43
Larin
у меня просто через rc.local запускается
типа /bin/sh /etc/firewall.conf
Re: Debian iptables
Добавлено: 2010-08-27 10:23:01
Hrafn
/var/lib/iptables/rules
Re: Debian iptables
Добавлено: 2010-08-27 10:24:09
ttys
Larin писал(а):у меня просто через rc.local запускается
типа /bin/sh /etc/firewall.conf
в rc.local так?
ну там с [ -x тратата] это само собой
Re: Debian iptables
Добавлено: 2010-08-27 10:25:15
ttys
Hrafn писал(а):/var/lib/iptables/rules
это причём тут?
мне скрипт самому писАть? или как то есть стандартное решение?
Re: Debian iptables
Добавлено: 2010-08-27 10:27:11
Hrafn
вопрос был
не могу найти откуда в дебиане iptables читает правила.
я написал откуда...
если вы сами не создадите, то вероятно только Пушкин
Re: Debian iptables
Добавлено: 2010-08-27 10:37:30
ttys
Hrafn писал(а):вопрос был
не могу найти откуда в дебиане iptables читает правила.
я написал откуда...
если вы сами не создадите, то вероятно только Пушкин
у меня нету в /var/iptables
Re: Debian iptables
Добавлено: 2010-08-27 10:52:16
ttys
Hrafn писал(а):
если вы сами не создадите, то вероятно только Пушкин
создаю после ребута iptables -L пустой (ну тоесть без моих правил)
Re: Debian iptables
Добавлено: 2010-08-27 11:55:13
Hrafn
не в /var/iptables. а в /var/lib/iptables
Re: Debian iptables
Добавлено: 2010-08-27 12:04:11
Hrafn
посмотрите также в файл /etc/network/if-up.d/iptables
Re: Debian iptables
Добавлено: 2010-08-27 12:12:43
Burner
все руками, руками
Re: Debian iptables
Добавлено: 2010-08-27 12:12:51
ttys
нашёл
здесь
Код: Выделить всё
echo "#!/bin/sh" > /etc/network/if-up.d/iptables
echo "iptables-restore < /etc/firewall.conf" >> /etc/network/if-up.d/iptables
chmod +x /etc/network/if-up.d/iptables
походу как я и думал надо самому скрипт загрузки делать
Re: Debian iptables
Добавлено: 2010-08-27 14:40:18
Саша
find / -name rules-save
Re: Debian iptables
Добавлено: 2010-08-27 14:55:15
ttys
Саша писал(а):find / -name rules-save
нету в дебиане этого
Re: Debian iptables
Добавлено: 2010-08-27 22:24:33
Саша2
Там есть опция save в /etc/init.d/iptables скрипте ? Если есть - смотри скрипт куда он пишет ...
Дело в том, что в Debian с некоторого времени отсутствует настройка iptables по умолчанию, равно, как и, скриптовая и конфигурационная поддержка.. Зато, поздже, можно установить любую желаемую из множества существующих, например -
http://wiki.kartbuilding.net/index.php/ ... s_Firewall http://wiki.debian.org/Firewalls
В зависимости от того, какой фронтенд установлен, меняется и расположение файлов конфигурации, Если же используются самописные скрипты, тогда следует изучать их содержимое для установления местоположения конфигурации..
Re: Debian iptables
Добавлено: 2010-08-28 5:34:34
Burner
Саша2 писал(а):Там есть опция save в /etc/init.d/iptables скрипте ? Если есть - смотри скрипт куда он пишет ...
да не там такого скрипта
Re: Debian iptables
Добавлено: 2010-08-31 8:59:47
ttys
дабы не создавать новую тему напишу здесь.
кусок из правил:
Код: Выделить всё
INET_IP="xxx.xxx.xxx.xxx"
INET_IFACE="eth0"
LAN_IP="192.168.1.254"
LAN_IP_RANGE="192.168.1.0/255.255.255.0"
LAN_IFACE="eth1"
LAN_IP1="192.168.2.254"
LAN_IP_RANGE1="192.168.2.0/255.255.255.0"
LAN1_IFACE="eth1"
LAN_IP2="10.1.1.254"
LAN_IP_RANGE2="10.1.1.0/255.255.255.0"
LAN2_IFACE="eth1"
LAN_IP3="10.2.1.254"
LAN_IP_RANGE3="10.2.1.0/255.255.255.0"
LAN3_IFACE="eth1"
...............................
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d ! $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_3 -d ! $LAN_IP_RANGE -j ACCEPT
собственно вопрос:
это правильно или нет?
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d
! $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_3 -d
! $LAN_IP_RANGE -j ACCEPT
или надо вместо
! $LAN_IP_RANDE указать
INET_IP либо
INET_IFACE?
тоесть:
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d
$INET_IP -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2
-o $INET_IFACE -j ACCEPT
ЗЫ: маршруты между сетями "LAN_IP_RANGE_2 LAN_IP_RANGE_3 LAN_IP_RANGE" не нужны
Re: Debian iptables
Добавлено: 2010-09-02 9:31:50
BlackCat
ttys писал(а):собственно вопрос:
это правильно или нет?
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d ! $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_3 -d ! $LAN_IP_RANGE -j ACCEPT
...
ЗЫ: маршруты между сетями "LAN_IP_RANGE_2 LAN_IP_RANGE_3 LAN_IP_RANGE" не нужны
У каждой цепочки правил iptables есть действие по умолчанию, т.н. политика. Это действие, которое будет применено, когда вся цепочка будет пройдена, а подходящего правила не будет найдено. Устанавливается примерно следующим образом:
iptables -P FORWARD ACCEPT # пропустить все пакеты
или
iptables -P FORWARD DROP # отбросить все пакеты
Исходя из этого и строится набор правил. Или вы запрещаете всё и пишите правила, которые явно разрешают прохождение пакета (iptables -A FORWARD your_condition_here -j ACCEPT). Или вы всё разрешаете и пишите правила, которые явно запрещают прохождение пакета (iptables -A FORWARD your_condition_here -j DROP).
=====
Если вы хотите явно порезать трафик из одной подсети в другую (бывает полезно даже когда политика "отбросить всё"), то так и напишите:
Код: Выделить всё
$IPTABLES -A FORWARD -s $LAN_IP_RANGE -d $LAN_IP_RANGE_2 -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE -d $LAN_IP_RANGE_3 -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE_2 -d $LAN_IP_RANGE -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE_2 -d $LAN_IP_RANGE_3 -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE_3 -d $LAN_IP_RANGE -j DROP
$IPTABLES -A FORWARD -s $LAN_IP_RANGE_3 -d $LAN_IP_RANGE_2 -j DROP
Re: Debian iptables
Добавлено: 2010-09-02 9:40:27
BlackCat
ttys писал(а):собственно вопрос:
это правильно или нет?
$IPTABLES -A FORWARD -s $LAN_IPRANGE_2 -d ! $LAN_IP_RANGE -j ACCEPT
$IPTABLES -A FORWARD -s $LAN_IPRANGE_3 -d ! $LAN_IP_RANGE -j ACCEPT
...
ЗЫ: маршруты между сетями "LAN_IP_RANGE_2 LAN_IP_RANGE_3 LAN_IP_RANGE" не нужны
Нет, т.к вы разрешаете прохождение пакетов. После "-j DROP" или "-j ACCEPT" просмотр цепочки завершается. Один из вариантов решения в предыдущем сообщении.
Re: Debian iptables
Добавлено: 2010-09-02 9:52:51
ttys