subject:"IPTables"

2013-06-15 Пенетрантность Mikhail A Antonov

16.06.2013 02:06, Mikhail A Antonov пишет:
> Для SSH удобно делать так:
> iptables -N SSH
> iptables -A INPUT -p tcp --dport 22 -j SSH
> iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
> iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent
> --update --seconds 60 --hitcount 3 -j DROP
> iptables -A SSH -s 1.2.3.4 -j ACCEPT
> iptables -A SSH -s 4.3.2.1 -j ACCEPT
> iptables -A SSH -s 5.6.7.0/24 -j ACCEPT
>
> А ещё боты обламываются и быстро уходят если отключена авторизация по
> паролю и оставлена только по ключам.
>
> Про port-knocking я читал-читал и так и не придумал где это можно
> _удобно_ использовать.
Спасибо за Ваш ответ. Авторизация по паролю отключена в первый же день,
с SSH (по моему мнению) я уже сделал всё, что было можно.
Но любой сервис содержит по определению баги и лучше максимально все
защищать. Вы предлагаете своим примером пустить всех с доверенных хостов
(в моем случае их просто нет), остальные - с ограничениями.

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set

Эта строка точно дописана? Никак не пойму что она делает? По-моему она
должна "маркировать" что-то как-то например так:

iptables -A INPUT -p tcp -m tcp --dport 80 -m recent --set --name httpddos 
--rsource

Я прав? Вы это хотели написать?
И мне осталась непонятной строка:

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update 
--seconds 60 --hitcount 3 -j DROP

я почти вижу что это ограничение на количество коннектов в минуту тремя,
вернее пакетов с флагом NEW.
только фрагмент с --update мне опять же непонятен.

P.S. На SSH по моему мнению это вполне удобно. стукнулся на порт и делай
что нужно. С любого IP без ограничений каких-бы то ни было для меня и с
недоступным портом для других. С момента введения PK не было ни одного
левого SYN к SSH (за более чем 5 лет).


signature.asc
Description: OpenPGP digital signature

Re: iptables mac

15.06.2013 14:29, Alex Dubinin пишет:
> Ну не как способ защиты, а идея была например разрешить коннект к SSH
> только с перечисленных MAC. Идея была примерно такая.
Для SSH удобно делать так:
iptables -N SSH
iptables -A INPUT -p tcp --dport 22 -j SSH
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent
--update --seconds 60 --hitcount 3 -j DROP
iptables -A SSH -s 1.2.3.4 -j ACCEPT
iptables -A SSH -s 4.3.2.1 -j ACCEPT
iptables -A SSH -s 5.6.7.0/24 -j ACCEPT

А ещё боты обламываются и быстро уходят если отключена авторизация по
паролю и оставлена только по ключам.

Про port-knocking я читал-читал и так и не придумал где это можно
_удобно_ использовать.


-- 
Best regards,
Mikhail
-
WWW: http://www.antmix.ru/
XMPP: ant...@stopicq.ru



signature.asc
Description: OpenPGP digital signature

Re: iptables mac

2013-06-15 Пенетрантность Dmitrii Kashin

At Sat, 15 Jun 2013 13:58:47 +0400,
Mikhail A Antonov wrote:
> 
> [1  ]
> 15.06.2013 11:31, Alex Dubinin пишет:
> 
> > Сама идея интерессная, но
> Но бестолкова в данном случае.
> 
> > Т.о. как я понял фильтровать по mac не получится, потому как
> > оборудование провайдера перебивает мой mac своим. Так должно быть?
> Да. До меня уже предложили почитать. 

> Для начала - осознать модель OSI...

...которая в мире не прижилась и нигде не используется. На OSI свет
клином не сошелся, и все как пользовались моделью TCP/IP, которая
состоит всего из 4 уровней, так и пользуются.

> >  Потому как очень хочется там видеть прежде всего mac моего
> >  компьютера, а не шлюза прова.
>
> Даже если бы было можно - зачем оно такое? Особенно с учётом того,
> что mac меняется легко.

LOL. А что он там, по-вашему, видит?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87k3lvobzr.wl%free...@gmail.com

Re: iptables mac

2013-06-15 Пенетрантность Dmitrii Kashin

At Sat, 15 Jun 2013 13:51:50 +0400,
Artem Chuprina wrote:
> 
> MAC-адреса ставятся в заголовках Ethernet-пакетов, а отношение к
> делу имеет в основном устройство IP.

Артем, при всем уважении, FIX:

> MAC-адреса ставятся в заголовках Ethernet-фреймов, а отношение к
> делу имеет в основном устройство стека протоколов TCP/IP.


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87li6bocdn.wl%free...@gmail.com

Re: iptables mac

2013-06-15 Пенетрантность Mikhail A Antonov

15.06.2013 13:58, Mikhail A Antonov пишет:
> 15.06.2013 11:31, Alex Dubinin пишет:
> Фильтрацию по MAC можно использовать только в пределах одного
> L2-сегмента. Чаще всего её используют чтобы соседи не воровали
> интернет друг у друга. На свитче привязка порт+mac, на шлюзе - mac+ip.
> Когда-то давно считалось что MAC сменить это целое дело. Особенно в
> Win95/Win98. Сейчас же поменять MAC можно меньше чем за минуту. Для
> фильтрации внешнего интернета (да и вообще даже следующего L2-сегмента
> сети) данная фильтрация не подойдёт. 
Спасибо за обстоятельный ответ. Теперь всё ясно и понятно.
> Да. До меня уже предложили почитать. Для начала - осознать модель OSI
> [1]. Будет интересно - можешь обложиться книжками.
> Можно это [2] ещё почитать.
Я обязательно почитаю Ваши ссылки, спасибо за них.
> Даже если бы было можно - зачем оно такое? Особенно с учётом того, что
> mac меняется легко.
Ну не как способ защиты, а идея была например разрешить коннект к SSH
только с перечисленных MAC. Идея была примерно такая.
MAC то можно поменять без проблем, но нельзя же все MAC перебрать.
Просто на данный момент использую port knoking для открытия/закрытия
доступа к порту. Но в общем все понятно по моей идее.

P.S. Считаю, что вопрос исчерпан. Большое спасибо за ответы.


signature.asc
Description: OpenPGP digital signature

Re: iptables mac

15.06.2013 11:31, Alex Dubinin пишет:
> Решил поиграться с фильтрацией по mac'ам.
Фильтрацию по MAC можно использовать только в пределах одного L2-сегмента.
Чаще всего её используют чтобы соседи не воровали интернет друг у друга.
На свитче привязка порт+mac, на шлюзе - mac+ip.
Когда-то давно считалось что MAC сменить это целое дело. Особенно в
Win95/Win98. Сейчас же поменять MAC можно меньше чем за минуту.
Для фильтрации внешнего интернета (да и вообще даже следующего
L2-сегмента сети) данная фильтрация не подойдёт.

> Сама идея интерессная, но
Но бестолкова в данном случае.

> Т.о. как я понял фильтровать по mac не получится, потому как
> оборудование провайдера перебивает мой mac своим. Так должно быть?
Да. До меня уже предложили почитать. Для начала - осознать модель OSI
[1]. Будет интересно - можешь обложиться книжками.
Можно это [2] ещё почитать.

>  Можно ли это поменять? Ну например обратившись к прову?
Нет.

>  Потому как очень хочется там видеть прежде всего mac моего компьютера, а не 
> шлюза прова.
Даже если бы было можно - зачем оно такое? Особенно с учётом того, что
mac меняется легко.


-
[1]:
https://ru.wikipedia.org/wiki/%D0%A1%D0%B5%D1%82%D0%B5%D0%B2%D0%B0%D1%8F_%D0%BC%D0%BE%D0%B4%D0%B5%D0%BB%D1%8C_OSI
[2]: http://book.itep.ru/

-- 
Best regards,
Mikhail
-
WWW: http://www.antmix.ru/
XMPP: ant...@stopicq.ru



signature.asc
Description: OpenPGP digital signature

Re: iptables mac

2013-06-15 Пенетрантность Artem Chuprina

Andrey Rahmatullin -> debian-russian@lists.debian.org  @ Sat, 15 Jun 2013 
15:00:18 +0600:

 >>  >> Т.о. как я понял фильтровать по mac не получится, потому как
 >>  >> оборудование провайдера перебивает мой mac своим. Так должно быть? Можно
 >>  >> ли это поменять? Ну например обратившись к прову? Потому как очень
 >>  >> хочется там видеть прежде всего mac моего компьютера, а не шлюза прова.
 >>  AR> Вы бы почитали что-нибудь базовое про то, как устроен Ethernet.
 >> Про то, как устроен IP.  Устройство Ethernet в данном случае имеет
 >> довольно мало отношения к делу.
 AR> А MAC-адреса в заголовках чьих пакетов ставятся?

Ты вроде не был раньше похож на журналиста, который выдает заготовленные
реплики, когда видит ключевые слова...  MAC-адреса ставятся в заголовках
Ethernet-пакетов, а отношение к делу имеет в основном устройство IP.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87ppvnu2fd@wizzle.ran.pp.ru

Re: iptables mac

2013-06-15 Пенетрантность Andrey Rahmatullin

On Sat, Jun 15, 2013 at 12:41:50PM +0400, Artem Chuprina wrote:
>  >> Т.о. как я понял фильтровать по mac не получится, потому как
>  >> оборудование провайдера перебивает мой mac своим. Так должно быть? Можно
>  >> ли это поменять? Ну например обратившись к прову? Потому как очень
>  >> хочется там видеть прежде всего mac моего компьютера, а не шлюза прова.
>  AR> Вы бы почитали что-нибудь базовое про то, как устроен Ethernet.
> Про то, как устроен IP.  Устройство Ethernet в данном случае имеет
> довольно мало отношения к делу.
А MAC-адреса в заголовках чьих пакетов ставятся?

-- 
WBR, wRAR


signature.asc
Description: Digital signature

Re: iptables mac

2013-06-15 Пенетрантность Dmitrii Kashin

At Sat, 15 Jun 2013 11:31:59 +0400,
Alex Dubinin wrote:
> 
> Jun 15 11:18:03 srv kernel: [845908.278759] Web: IN=eth0 OUT=
> MAC=68:05:ca:01:f1:04:00:1b:0d:e5:f7:00:08:00 SRC=SRC_IP DST=DST_IP

> Т.о. как я понял фильтровать по mac не получится, потому как
> оборудование провайдера перебивает мой mac своим.

Это не адрес, это MAC Header пакета, который содержит, соответственно,
адрес доставки и источника.

На Ваши вопросы не знаю как ответить. У Вас такая каша в голове
сейчас. Почитайте что-нибудь по канальному уровню. Таненбаума,
например.

--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87mwqroj79.wl%free...@gmail.com

Re: iptables mac

2013-06-15 Пенетрантность Artem Chuprina

Andrey Rahmatullin -> debian-russian@lists.debian.org  @ Sat, 15 Jun 2013 
13:50:35 +0600:

 >> Т.о. как я понял фильтровать по mac не получится, потому как
 >> оборудование провайдера перебивает мой mac своим. Так должно быть? Можно
 >> ли это поменять? Ну например обратившись к прову? Потому как очень
 >> хочется там видеть прежде всего mac моего компьютера, а не шлюза прова.
 AR> Вы бы почитали что-нибудь базовое про то, как устроен Ethernet.

Про то, как устроен IP.  Устройство Ethernet в данном случае имеет
довольно мало отношения к делу.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87y5abu5o1@wizzle.ran.pp.ru

Re: iptables mac

2013-06-15 Пенетрантность Eugene Berdnikov

On Sat, Jun 15, 2013 at 11:31:59AM +0400, Alex Dubinin wrote:
> Т.о. как я понял фильтровать по mac не получится, потому как
> оборудование провайдера перебивает мой mac своим.

 Ламерская формулировка, но результат примерно такой...

> Так должно быть?

 Да.

> Можно ли это поменять? Ну например обратившись к прову?

 Нет.

> Потому как очень
> хочется там видеть прежде всего mac моего компьютера, а не шлюза прова.

 Нужно учить матчасть по компьютерным сетям, а не мечтать о том, как
 подогнать реальный мир под свои нелепые фантазии... Для начала
 разберитесь что такое MAC и как он относится к маршрутизации.
-- 
 Eugene Berdnikov


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20130615081613.gi3...@sie.protva.ru

Re: iptables mac

2013-06-15 Пенетрантность Andrey Rahmatullin

On Sat, Jun 15, 2013 at 12:07:32PM +0400, Alex Dubinin wrote:
> > Фильтрацией чего?
> Фильтрацией пакетов
Каких пакетов? Где?

> > Вы бы почитали что-нибудь базовое про то, как устроен Ethernet. 
> Базовые основы я знаю.
А чего тогда спрашиваете?

> P.S. Спасибо за дельный совет - теперь я точно разберусь в своём вопросе.
Сомневаюсь, вы ж не будете его исполнять.


-- 
WBR, wRAR


signature.asc
Description: Digital signature

Re: iptables mac

2013-06-15 Пенетрантность Andrey Rahmatullin

15.06.2013 11:50, Andrey Rahmatullin пишет:
> Фильтрацией чего?
Фильтрацией пакетов
> Вы бы почитали что-нибудь базовое про то, как устроен Ethernet. 
Базовые основы я знаю.

P.S. Спасибо за дельный совет - теперь я точно разберусь в своём вопросе.


signature.asc
Description: OpenPGP digital signature

Re: iptables mac

On Sat, Jun 15, 2013 at 11:31:59AM +0400, Alex Dubinin wrote:
> Решил поиграться с фильтрацией по mac'ам. 
Фильтрацией чего?

> Т.о. как я понял фильтровать по mac не получится, потому как
> оборудование провайдера перебивает мой mac своим. Так должно быть? Можно
> ли это поменять? Ну например обратившись к прову? Потому как очень
> хочется там видеть прежде всего mac моего компьютера, а не шлюза прова.
Вы бы почитали что-нибудь базовое про то, как устроен Ethernet.

-- 
WBR, wRAR


signature.asc
Description: Digital signature

iptables mac

2011-09-26 Пенетрантность Mikhail A Antonov

Решил поиграться с фильтрацией по mac'ам. Сама идея интерессная, но
столкнулся с такой проблемой: настроил логирование пакетов (для начала),
чтобы так сказать потренироваться. И не прогадал. В логах появляются
такие строки:

Jun 15 11:18:03 srv kernel: [845908.278759] Web: IN=eth0 OUT=
MAC=68:05:ca:01:f1:04:00:1b:0d:e5:f7:00:08:00 SRC=SRC_IP DST=DST_IP
LEN=52 TOS=0x00 PREC=0x00 TTL=56 ID=47837 DF PROTO=TCP SPT=44483 DPT=80
WINDOW=14600 RES=0x00 SYN URGP=0

Откуда бы и как бы не обращался к 80-му порту - поле MAC в логе не меняется!
В данном случае:
68:05:ca:01:f1:04 - MAC eth0 сервера
00:1b:0d:e5:f7:00 - MAC шлюза провайдера!
Т.о. как я понял фильтровать по mac не получится, потому как
оборудование провайдера перебивает мой mac своим. Так должно быть? Можно
ли это поменять? Ну например обратившись к прову? Потому как очень
хочется там видеть прежде всего mac моего компьютера, а не шлюза прова.


signature.asc
Description: OpenPGP digital signature

Re: iptables и непонятки...

26.09.2011 11:55, Ilya Sapytsky пишет:
> Добрый день!
> есть у меня некая сеть, где transparent squid стоит, но понадобилось для
> одной машины сделать исключение.
> Нарисовал в правилах вместо
> $IPT -t nat --append PREROUTING --protocol tcp --dport 80 --in-interface
> $IF_GINT --jump REDIRECT --to-port 3128
> 
> вот такую конструкцию:
> $IPT --new-chain gors
Это ты создал цепочку в -t filter (поумолчанию именно она, если не
указано иное)

> $IPT -t nat --append PREROUTING --protocol tcp --dport 80 --in-interface
> $IF_GINT --jump gors
А тут уже -t nat

> и ни в какую не хочет
> я так понимаю, что а nat нельзя делать jump в другие chain?
> как вообще реализовать мою задачу?
> Спасибо!
Задача решается проще

-t nat -A PREROUTING -p tcp --dport 80 -s 192.168.99.2 -j ACCEPT
-t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 3128

-- 
Best regards,
Mikhail.



signature.asc
Description: OpenPGP digital signature

iptables и непонятки...

2011-09-26 Пенетрантность Ilya Sapytsky

Добрый день!
есть у меня некая сеть, где transparent squid стоит, но понадобилось для
одной машины сделать исключение.
Нарисовал в правилах вместо
$IPT -t nat --append PREROUTING --protocol tcp --dport 80 --in-interface
$IF_GINT --jump REDIRECT --to-port 3128

вот такую конструкцию:
$IPT --new-chain gors
echo 2
$IPT -t nat --append PREROUTING --protocol tcp --dport 80 --in-interface
$IF_GINT --jump gors
echo 3
$IPT --append gors --protocol tcp --src 192.168.99.2 --dport 80
--in-interface $IF_GINT --jump RETURN
echo 4
$IPT --append gors --protocol tcp --dport 80 --in-interface $IF_GINT --jump
REDIRECT --to-port 3128
echo 5

а мне в ответ
2
iptables v1.4.2: Couldn't load target `gors':/lib/xtables/libipt_gors.so:
cannot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
3
4
iptables: Invalid argument
5

и ни в какую не хочет
я так понимаю, что а nat нельзя делать jump в другие chain?
как вообще реализовать мою задачу?
Спасибо!

Re: Вопрос про iptables

2011-05-20 Пенетрантность Николай Кондратьев

Спасибо, но мне нужно обеспечить некоторый специальный протокол на
выделенный порт.

Поэтому нужно олноценное IP соединение.

Но у меня уже все заработало.
Просто я имел дело с iptables пару лет назад, когда конфигурировал
файервол, и уже подзабыл.

Помощь debian-russian уже оказалась существенна.

Спасибо всем, особенно evgeny_ver...@mail.ru.

Николай

On 19.05.2011 10:05, Nikolai Kondratiev wrote:

Заработало.

Если вам нужно только по ssh давать команды на сервер 1, то можно было
обойтись без iptables, а использовать только ssh, как мне здесь в
прошлом году подсказали:

на сервере_1 один раз дать команду проброса порта:
(в вашем случае порт, возможно, будет другим, а возможно и нет -
запрос идет _с_ сервера_1, про этот случай не известно - только
разрешен или нет )

ssh -N -R 2020:localhost:22 root@server_2 -p 22

после чего, с любой машины можно залогиниться на сервер_1, через
сервер_2:

ssh -p 2020 root@server_2

или через алиас в zsh

.zshrc
alias -g server_1="uxterm -e ssh -t user@server_2 'ssh -p 2020
root@localhost' &! exit"

--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4dd60df4.6000...@mail.ru

Re: Вопрос про iptables

2011-05-19 Пенетрантность Nicholas


On 19.05.2011 10:05, Nikolai Kondratiev wrote:

Заработало.


Если вам нужно только по ssh давать команды на сервер 1, то можно было 
обойтись без iptables, а использовать только ssh, как мне здесь в 
прошлом году подсказали:


на сервере_1 один раз дать команду проброса порта:
(в вашем случае порт, возможно, будет другим, а возможно и нет - запрос 
идет _с_ сервера_1, про этот случай не известно - только  разрешен 
или нет )


ssh -N -R 2020:localhost:22 root@server_2 -p 22

после чего, с любой машины можно залогиниться на сервер_1, через сервер_2:

ssh -p 2020 root@server_2

или через алиас в zsh

.zshrc
alias -g server_1="uxterm -e ssh -t user@server_2  'ssh -p 2020 
root@localhost' &! exit"


--
Sincerely,
Nicholas


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/ir4ntr$lod$1...@dough.gmane.org

Re: Вопрос про iptables

2011-05-19 Пенетрантность Valery Gruzdev

1) попробуйте tcpdump'ом на компе 77.77.77.77 посмотреть, как ходят 
пакетики, может, что-то прояснится.


2) а какие модули загружены на 77.77.77.77 ?
ip_nat, ip_conntrack присутствуют?

Grue



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/ir2rc6$92m$1...@dough.gmane.org

Re: Вопрос про iptables

2011-05-19 Пенетрантность Nikolai Kondratiev


Заработало.

Добавил
iptables -t nat -A POSTROUTING -d 88.88.88.88 -j MASQUERADE

Итого, результат:

# stop firewall сбрасываются все iptables
/etc/init.d/firewall stop
# forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -p tcp --dport  -j DNAT 
--to-destination 88.88.88.88:5555

iptables -A FORWARD -p tcp --dport  -j ACCEPT
iptables -A FORWARD -s 88.88.88.88 -p tcp -j ACCEPT
iptables -t nat -A POSTROUTING -d 88.88.88.88 -j MASQUERADE

спасибо за помощь!

Николай



Нет, не работает.

На сервере 1 (77.77.77.77) выполняю:
# stop firewall
/etc/init.d/firewall stop
# forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -p tcp --dport  -j DNAT 
--to-destination 88.88.88.88:

iptables -A FORWARD -p tcp --dport  -j ACCEPT
iptables -A FORWARD -s 88.88.88.88 -p tcp -j ACCEPT


telnet 88.88.88.88  с сервера 2 соединяется, а
telnet 77.77.77.77  с моего локального компьютера - нет


Всё заработало?

По-моему, вы уже отвечаете только мне, а не в рассылку.

Ошибся


On 19.05.2011 12:19, Николай Кондратьев wrote:

Извиняюсь, забыл -t nat


Спасибо, но не принимает:
srv0:~# iptables -A PREROUTING -i eth0 -p tcp --dport 5090 -j DNAT 
--to-destination 10.0.0.34:5090

iptables: No chain/target/match by that name


On 19.05.2011 10:36, Николай Кондратьев wrote:

Добрый день всем!

Помогите, пожалуйста, настроить iptables.

Имеются два сервера с фиксированными IP-адресами.
Сервер 1: 77.77.77.77
Сервер 2: 88.88.88.88
Сервер 2 имеет файервол, который пропускает обращения от севера 1 
на порт . Других возможностей конфигурировать этот сервер нет.


Для отладки программ на других компьютерах необходимо обращаться 
с запросами с произвольных адресов на сервер 2.


Требуется настроить сервер 1 так, чтобы он перенаправлял запросы 
на порт  на сервер 2, подставляя свой адрес.


Можно сделать это с помощью iptables (можно, насколь я понимаю) и 
как?


Спасибо!

Николай



Прероутинг, НАТ "наоборот":
-A PREROUTING -i eth3 -p tcp --dport 5090 -j DNAT --to-destination 
10.0.0.34:5090
Все входящие на порт 5090 перенаправлять во внутреннюю сеть на ИП 
10.0.0.34. Номер порта доставки можно менять, то есть приём с 
внешнего мира на порт 80, а внутри будет порт 21 - легко, хоть и 
извращённо.

Не забыть разрешить пакетам ходить:
-A FORWARD -s 10.0.0.34 -i eth1 -p tcp -j ACCEPT
-A FORWARD -d 10.0.0.34 -o eth1 -p tcp -j ACCEPT



















--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4dd4eb70.7090...@googlemail.com

Re: Вопрос про iptables

2011-05-19 Пенетрантность Николай Кондратьев


Нет, не работает.

На сервере 1 (77.77.77.77) выполняю:
# stop firewall
/etc/init.d/firewall stop
# forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -p tcp --dport  -j DNAT 
--to-destination 88.88.88.88:5555

iptables -A FORWARD -p tcp --dport  -j ACCEPT
iptables -A FORWARD -s 88.88.88.88 -p tcp -j ACCEPT


telnet 88.88.88.88  с сервера 2 соединяется, а
telnet 77.77.77.77  с моего локального компьютера - нет


Всё заработало?

По-моему, вы уже отвечаете только мне, а не в рассылку.

Ошибся


On 19.05.2011 12:19, Николай Кондратьев wrote:

Извиняюсь, забыл -t nat


Спасибо, но не принимает:
srv0:~# iptables -A PREROUTING -i eth0 -p tcp --dport 5090 -j DNAT 
--to-destination 10.0.0.34:5090

iptables: No chain/target/match by that name


On 19.05.2011 10:36, Николай Кондратьев wrote:

Добрый день всем!

Помогите, пожалуйста, настроить iptables.

Имеются два сервера с фиксированными IP-адресами.
Сервер 1: 77.77.77.77
Сервер 2: 88.88.88.88
Сервер 2 имеет файервол, который пропускает обращения от севера 1 
на порт . Других возможностей конфигурировать этот сервер нет.


Для отладки программ на других компьютерах необходимо обращаться с 
запросами с произвольных адресов на сервер 2.


Требуется настроить сервер 1 так, чтобы он перенаправлял запросы 
на порт  на сервер 2, подставляя свой адрес.


Можно сделать это с помощью iptables (можно, насколь я понимаю) и 
как?


Спасибо!

Николай



Прероутинг, НАТ "наоборот":
-A PREROUTING -i eth3 -p tcp --dport 5090 -j DNAT --to-destination 
10.0.0.34:5090
Все входящие на порт 5090 перенаправлять во внутреннюю сеть на ИП 
10.0.0.34. Номер порта доставки можно менять, то есть приём с 
внешнего мира на порт 80, а внутри будет порт 21 - легко, хоть и 
извращённо.

Не забыть разрешить пакетам ходить:
-A FORWARD -s 10.0.0.34 -i eth1 -p tcp -j ACCEPT
-A FORWARD -d 10.0.0.34 -o eth1 -p tcp -j ACCEPT
















--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4dd4e146.2040...@mail.ru

Re: Вопрос про iptables

2011-05-19 Пенетрантность evgeny_ver...@mail.ru

On 19.05.2011 10:36, Николай Кондратьев wrote:

Добрый день всем!

Помогите, пожалуйста, настроить iptables.

Имеются два сервера с фиксированными IP-адресами.
Сервер 1: 77.77.77.77
Сервер 2: 88.88.88.88
Сервер 2 имеет файервол, который пропускает обращения от севера 1 на
порт . Других возможностей конфигурировать этот сервер нет.

Для отладки программ на других компьютерах необходимо обращаться с
запросами с произвольных адресов на сервер 2.

Требуется настроить сервер 1 так, чтобы он перенаправлял запросы на
порт на сервер 2, подставляя свой адрес.

Можно сделать это с помощью iptables (можно, насколь я понимаю) и как?

Спасибо!

Николай

Прероутинг, НАТ "наоборот":
-A PREROUTING -i eth3 -p tcp --dport 5090 -j DNAT --to-destination
10.0.0.34:5090
Все входящие на порт 5090 перенаправлять во внутреннюю сеть на ИП
10.0.0.34. Номер порта доставки можно менять, то есть приём с внешнего
мира на порт 80, а внутри будет порт 21 - легко, хоть и извращённо.

Не забыть разрешить пакетам ходить:
-A FORWARD -s 10.0.0.34 -i eth1 -p tcp -j ACCEPT
-A FORWARD -d 10.0.0.34 -o eth1 -p tcp -j ACCEPT

Вопрос про iptables

2011-05-18 Пенетрантность Николай Кондратьев


Добрый день всем!

Помогите, пожалуйста, настроить iptables.

Имеются два сервера с фиксированными IP-адресами.
Сервер 1: 77.77.77.77
Сервер 2: 88.88.88.88
Сервер 2 имеет файервол, который пропускает обращения от севера 1 на 
порт . Других возможностей конфигурировать этот сервер нет.


Для отладки программ на других компьютерах необходимо обращаться с 
запросами с произвольных адресов на сервер 2.


Требуется настроить сервер 1 так, чтобы он перенаправлял запросы на порт 
 на сервер 2, подставляя свой адрес.


Можно сделать это с помощью iptables (можно, насколь я понимаю) и как?

Спасибо!

Николай


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4dd4ba54.5030...@mail.ru

Re: Не получается удалить правило с IPset из цепочки IPTABLES

2011-03-14 Пенетрантность Rubik Andrey

Решено!

Надо было поставить пакет iptables из sid (версия 1.4.10-1) взамен тому
что есть в squeeze (версия 1.4.8-3).

Тогда ipset v6.0 на ядре 2.6.38-rc7 работает :)


-- 
Best regards
Rubik Andrey
email: tirnota...@gmail.com
GPGKey: 1024D / 2EA8E207 2010-03-01
7E60 4450 CD90 6E2D E949  6254 7FDC 5F5C 2EA8 E207


signature.asc
Description: This is a digitally signed message part

Re: Не получается удалить правило с IPset из цепочки IPTABLES

2011-03-13 Пенетрантность Rubik Andrey

В Вск, 13/03/2011 в 17:09 +0300, Stanislav Maslovski пишет:
> On Sun, Mar 13, 2011 at 03:56:09PM +0300, Rubik Andrey wrote:
> > В Вск, 13/03/2011 в 15:39 +0300, Alex Kuklin пишет:
> > > Непонятно пока, я ipset не использовал.
> > > А как выглядит правило, если посмотреть iptables-save?
> > > Может, переформулировать его так, как оно хранится "унутре"? 
> > 
> > Не помогло :(
> > 
> > # iptables-save
> > # Generated by iptables-save v1.4.8 on Sun Mar 13 15:52:15 2011
> > *filter
> > :INPUT ACCEPT [48083:31352536]
> > :FORWARD ACCEPT [0:0]
> > :OUTPUT ACCEPT [33361:4436871]
> > -A INPUT -p tcp -m tcp --dport 80 -m set --match-set ddos src -j DROP 
> > COMMIT
> > 
> > Попробовал его удалить:
> > 
> > iptables -D INPUT -p tcp -m tcp --dport 80 -m set --match-set ddos src
> > -j DROP
> > iptables: Bad rule (does a matching rule exist in that chain?).
> 
> Оно и по номеру не удаляется?
> (iptables --line-numbers -L; iptables [-t ] -D  )
> 
> -- 
> Stanislav
> 
> 

По номеру удалить получается, спасибо :)

Но дело в том, что эти правила могут меняться с течением времени
(fail2ban). Вообщем-то, можно было бы написать скрипт, который,
используя описанные Вами команды, парсит вывод для определения номера
искомого правила, а потом и удаляет правило с этим номером.

Однако я так и не понял, почему мой способ не работает... особенно тот
факт что он частично не работает (ведь правила без ipset система
удаляет).

Кстати, если это важно:

# uname  -mr
2.6.38-rc7-ipset x86_64

# iptables -V
iptables v1.4.8

# ipset -V
ipset v6.0, protocol version: 6

-- 
Best regards
Rubik Andrey
email: tirnota...@gmail.com
GPGKey: 1024D / 2EA8E207 2010-03-01
7E60 4450 CD90 6E2D E949  6254 7FDC 5F5C 2EA8 E207

signature.asc
Description: This is a digitally signed message part

Re: Не получается удалить правило с IPset из цепочки IPTABLES

2011-03-13 Пенетрантность Stanislav Maslovski

On Sun, Mar 13, 2011 at 03:56:09PM +0300, Rubik Andrey wrote:
> В Вск, 13/03/2011 в 15:39 +0300, Alex Kuklin пишет:
> > Непонятно пока, я ipset не использовал.
> > А как выглядит правило, если посмотреть iptables-save?
> > Может, переформулировать его так, как оно хранится "унутре"? 
> 
> Не помогло :(
> 
> # iptables-save
> # Generated by iptables-save v1.4.8 on Sun Mar 13 15:52:15 2011
> *filter
> :INPUT ACCEPT [48083:31352536]
> :FORWARD ACCEPT [0:0]
> :OUTPUT ACCEPT [33361:4436871]
> -A INPUT -p tcp -m tcp --dport 80 -m set --match-set ddos src -j DROP 
> COMMIT
> 
> Попробовал его удалить:
> 
> iptables -D INPUT -p tcp -m tcp --dport 80 -m set --match-set ddos src
> -j DROP
> iptables: Bad rule (does a matching rule exist in that chain?).

Оно и по номеру не удаляется?
(iptables --line-numbers -L; iptables [-t ] -D  )

-- 
Stanislav


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/20110313140955.GA28973@kaiba.homelan

Re: Не получается удалить правило с IPset из цепочки IPTABLES

2011-03-13 Пенетрантность Rubik Andrey

В Вск, 13/03/2011 в 15:39 +0300, Alex Kuklin пишет:
> Непонятно пока, я ipset не использовал.
> А как выглядит правило, если посмотреть iptables-save?
> Может, переформулировать его так, как оно хранится "унутре"? 

Не помогло :(

# iptables-save
# Generated by iptables-save v1.4.8 on Sun Mar 13 15:52:15 2011
*filter
:INPUT ACCEPT [48083:31352536]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [33361:4436871]
-A INPUT -p tcp -m tcp --dport 80 -m set --match-set ddos src -j DROP 
COMMIT

Попробовал его удалить:

iptables -D INPUT -p tcp -m tcp --dport 80 -m set --match-set ddos src
-j DROP
iptables: Bad rule (does a matching rule exist in that chain?).


-- 
Best regards
Rubik Andrey
email: tirnota...@gmail.com
GPGKey: 1024D / 2EA8E207 2010-03-01
7E60 4450 CD90 6E2D E949  6254 7FDC 5F5C 2EA8 E207


signature.asc
Description: This is a digitally signed message part

Re: Не получается удалить правило с IPset из цепочки IPTABLES

2011-03-13 Пенетрантность Alex Kuklin


On 13.03.2011 15:36, Rubik Andrey wrote:

Создана таблица в ipset:
ipset -N ddos iphash

Есть правило в iptables:
iptables -A INPUT -p tcp --dport 80 -m set --match-set ddos src -j DROP

Не могу его удалить:
iptables -D INPUT -p tcp --dport 80 -m set --match-set ddos src -j DROP
iptables: Bad rule (does a matching rule exist in that chain?).

Вариант iptables -F INPUT не подходит, т.к. мне нужно удалить только
одно это правило.

Если работать с правилами которые не содержат таблиц ipset, то всё
работает:

iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -D INPUT -p tcp --dport 80 -j DROP

В чём я не прав?
   

Непонятно пока, я ipset не использовал.
А как выглядит правило, если посмотреть iptables-save?
Может, переформулировать его так, как оно хранится "унутре"?

--
Alex


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4d7cbb04.4040...@kuklin.ru

Не получается удалить правило с IPset из цепочки IPTABLES

2011-03-13 Пенетрантность Rubik Andrey

Всем доброго дня!

Создана таблица в ipset:
ipset -N ddos iphash

Есть правило в iptables:
iptables -A INPUT -p tcp --dport 80 -m set --match-set ddos src -j DROP

Не могу его удалить:
iptables -D INPUT -p tcp --dport 80 -m set --match-set ddos src -j DROP
iptables: Bad rule (does a matching rule exist in that chain?).

Вариант iptables -F INPUT не подходит, т.к. мне нужно удалить только
одно это правило.

Если работать с правилами которые не содержат таблиц ipset, то всё
работает:

iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -D INPUT -p tcp --dport 80 -j DROP

В чём я не прав?


-- 
Best regards
Rubik Andrey
email: tirnota...@gmail.com
GPGKey: 1024D / 2EA8E207 2010-03-01
7E60 4450 CD90 6E2D E949  6254 7FDC 5F5C 2EA8 E207


signature.asc
Description: This is a digitally signed message part

Re: правильный debian-way для запуска iptables

2011-02-23 Пенетрантность Munko O. Bazarzhapov

использую Shorewall для работы с iptables
особых проблем не наблюдаю, правдя для элеметарных правил создает кучу правил
тут прочитал про еще одну надстройку, на дня попробую ее на своем
домашнем роутере


LLC Master-Byte
Munko O. Bazarzhapov
JabberID: v...@aginskoe.ru
ICQ:169245258
mail: vec...@gmail.com



23 февраля 2011 г. 23:03 пользователь Roman Sokolov  написал:
> Hello,
>
> Max Kosmach wrote:
>>>
>>> Гугл говорит, что скрипт из init.d, который делал iptables-save давно
>>> уже выпилили и надо смотреть на http://wiki.debian.org/Firewalls .
>>
>> Помимо уже озвученных способов есть еще
>> iptables-persistent
>> (http://packages.debian.org/search?keywords=iptables-persistent)
>
> Который делает всё тот же iptables-save/restore и даже в своём минимальном
> init-скрипте имеет опечатку в сохранении правил ipv6. Зато действительно
> минималистичен.
>
> --
> wbr,
>  Roman Sokolov
>  mailto:r...@cheater.ru
>
>
> --
> To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
> with a subject of "unsubscribe". Trouble? Contact
> listmas...@lists.debian.org
> Archive: http://lists.debian.org/4d65139f.3000...@cheater.ru
>
>

Re: правильный debian-way для запуска iptables

2011-02-23 Пенетрантность Roman Sokolov


Hello,

Max Kosmach wrote:

Гугл говорит, что скрипт из init.d, который делал iptables-save давно
уже выпилили и надо смотреть на http://wiki.debian.org/Firewalls .


Помимо уже озвученных способов есть еще
iptables-persistent
(http://packages.debian.org/search?keywords=iptables-persistent)


Который делает всё тот же iptables-save/restore и даже в своём 
минимальном init-скрипте имеет опечатку в сохранении правил ipv6. Зато 
действительно минималистичен.


--
wbr,
 Roman Sokolov
 mailto:r...@cheater.ru


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4d65139f.3000...@cheater.ru

Re: правильный debian-way для запуска iptables

2011-02-20 Пенетрантность Max Kosmach


19.02.2011 12:59, Oleg Motienko пишет:

Привет.

Подскажите правильный debian-way для запуска iptables .

Пользуюсь своим скриптом из rc.local , также пробовал firehol, но
почему-то мне кажется, что это не true way.

Гугл говорит, что скрипт из init.d, который делал iptables-save давно
уже выпилили и надо смотреть на http://wiki.debian.org/Firewalls .


Помимо уже озвученных способов есть еще
iptables-persistent
(http://packages.debian.org/search?keywords=iptables-persistent)


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4d616e67.8000...@tcen.ru

Re: правильный debian-way для запуска iptables

> А какая паранойя-то мешает поднять правила после поднятия интерфейсов? 
> или время загрузки в 2-3 секунды достаточно для целенаправленной атаки 
> на несуществующие сервисы?

На несуществующие недостаточно.  А на те, которые за эти 2-3 секунды успеют
стать существующими - вполне.

-- 
Творить - не делать! (c)Элхэ Ниеннах


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87mxlqn58m.wl%...@ran.pp.ru

Re: правильный debian-way для запуска iptables

Sun, 20 Feb 2011 16:10:46 +0200 було написано Dmitry E. Oboukhov  
:



то есть без знаний синтаксиса iptables никуда. а если мы его знаем то
какой смысл в этом проекте? ладно бы еще постоянно приходилось решать
очень сложные задачи (аналогия с ЯП, скажем  Си vs Perl бы подошла),
но с фаерволами объем задач обычно ограничен, а когда какие-то хитрые
вещи приходится делать, то у ferm может не оказаться заготовки.

стоит овчинка выделки?


Решать тебе. Я не жалею потраченого на изучение времени. Пара человек,  
которые по

моему совету потрогали ferm - тоже не жалеют.


--
xmpp:ale...@boyko.km.ua

Re: правильный debian-way для запуска iptables


AB> Да, я регулярно проверию iptables-save и смотрю, не
~~

то есть без знаний синтаксиса iptables никуда. а если мы его знаем то
какой смысл в этом проекте? ладно бы еще постоянно приходилось решать
очень сложные задачи (аналогия с ЯП, скажем  Си vs Perl бы подошла),
но с фаерволами объем задач обычно ограничен, а когда какие-то хитрые
вещи приходится делать, то у ferm может не оказаться заготовки.

стоит овчинка выделки?
-- 
... mpd is off

. ''`.   Dmitry E. Oboukhov
: :’  :   email: un...@debian.org jabber://un...@uvw.ru
`. `~’  GPGKey: 1024D / F8E26537 2006-11-21
  `- 1B23 D4F8 8EC0 D902 0555  E438 AB8C 00CF F8E2 6537


signature.asc
Description: Digital signature

Re: правильный debian-way для запуска iptables

>>> Я в rc.local держу скрипт, который очищает таблицы и заливает
>>> iptables-restore из файла. Файл в /etc/ и всё, ТруЪ
>> Ну, с точностью до того, что в rc.local файрвол грузить уже поздновато...
>> 
В> А какая паранойя-то мешает поднять правила после поднятия
В> интерфейсов? или время загрузки в 2-3 секунды достаточно для
В> целенаправленной атаки на несуществующие сервисы?

если например ресурс DDOS'ят, то за 2-3 секунды интерфейс может
нахватать уже много-много коннектов. другой вопрос будет ли поднят
нужный демон на этом интерфейсе в эти две секунды :)
-- 
... mpd is off

. ''`.   Dmitry E. Oboukhov
: :’  :   email: un...@debian.org jabber://un...@uvw.ru
`. `~’  GPGKey: 1024D / F8E26537 2006-11-21
  `- 1B23 D4F8 8EC0 D902 0555  E438 AB8C 00CF F8E2 6537


signature.asc
Description: Digital signature

Re: правильный debian-way для запуска iptables

Sun, 20 Feb 2011 14:26:26 +0200 було написано Dmitry E. Oboukhov  
:



AB> Разобраться нужно с обоими языками, чтобы пользоваться
AB> ferm, но мы ведь не считаем,
AB> что можно не изучать инструмент, которым собрались пользоваться? :)

конечно все чем пользуешься надо изучить. и вот тут вопрос в том что
проще изучить "сложный" А *и* сомнительно "упрощающий" В, или только
"сложный" А.

вот мне показалось что это именно тот случай :)


А я проверил свои подозрения. Оказалось, что реально упрощающий, а не  
сомнительно.


Да, я регулярно проверию iptables-save и смотрю, не накосялил ли где-то  
ferm -

ещё ни разу не накосячил.

--
xmpp:ale...@boyko.km.ua

Re: правильный debian-way для запуска iptables

Sun, 20 Feb 2011 14:23:23 +0200 було написано Artem Chuprina  
:


А ты вот скажи, как опытный пользователь, знающий инструмент: ferm  
пользуется
механизмом iptables-restore (т.е. заливает транзакционно, "всё или  
ничего")
или загружает правила по одному?  Аналогом iptables-apply (загружаем  
правила,

ждем таймаут, если в течение таймаута нам не подтвердили, что могут
залогиниться, откатываем загрузку обратно) ferm обладает?  Или хотя бы  
умеет
вместо этого сделать файл для iptables-restore, который можно потом  
пинать

посредством iptables-apply?


Уже ответили, но сам он не умеет откатывать правила.
Может создать файл для iptables-restore, может последовательность вызовов  
iptables.

может сам потом вызвать iptables/iptables-restore, а может и не вызывать.


--
xmpp:ale...@boyko.km.ua

Re: правильный debian-way для запуска iptables

2011-02-20 Пенетрантность Вереск


20.02.2011 16:20, Artem Chuprina пишет:

Я в rc.local держу скрипт, который очищает таблицы и заливает
iptables-restore из файла. Файл в /etc/ и всё, ТруЪ
 

Ну, с точностью до того, что в rc.local файрвол грузить уже поздновато...

   
А какая паранойя-то мешает поднять правила после поднятия интерфейсов? 
или время загрузки в 2-3 секунды достаточно для целенаправленной атаки 
на несуществующие сервисы?



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4d611943.9020...@mail.ru

Re: правильный debian-way для запуска iptables

> Я в rc.local держу скрипт, который очищает таблицы и заливает 
> iptables-restore из файла. Файл в /etc/ и всё, ТруЪ

Ну, с точностью до того, что в rc.local файрвол грузить уже поздновато...

-- 
Нажатие на кнопку "Запомнить пароль" не поможет ВАМ запомнить пароль.
 -- http://bash.org.ru/quote/101483


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87oc66n8p0.wl%...@ran.pp.ru

Re: правильный debian-way для запуска iptables

2011-02-20 Пенетрантность Вереск


20.02.2011 12:31, Alexey Boyko пишет:
Sat, 19 Feb 2011 12:52:00 +0200 було написано Artem Chuprina 
:



Подскажите правильный debian-way для запуска iptables .

Пользуюсь своим скриптом из rc.local , также пробовал firehol, но
почему-то мне кажется, что это не true way.

Гугл говорит, что скрипт из init.d, который делал iptables-save давно
уже выпилили и надо смотреть на http://wiki.debian.org/Firewalls .




Я в rc.local держу скрипт, который очищает таблицы и заливает 
iptables-restore из файла. Файл в /etc/ и всё, ТруЪ



--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4d61105d.8070...@mail.ru

Re: правильный debian-way для запуска iptables

2011-02-20 Пенетрантность sergio



Умеет и то и то. И даже может шелл скрипт сделать. Который воткнёт 
правила без самого ferm'а.


--
sergio.


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4d610ac0.1030...@sergio.spb.ru

Re: правильный debian-way для запуска iptables

AB>>> ps: в очередной раз порекоммендую ferm
>> 
>> мне когда-то его порекомендовали, я его поразглядывал и понял, что с
>> правилами iptables (при том что его синтаксис постоянно расширяется)
>> разобраться-то попроще чем с цельным языком его конфига. или по
>> меньшей мере одинаково
>> :)

AB> Разобраться нужно с обоими языками, чтобы пользоваться
AB> ferm, но мы ведь не считаем,
AB> что можно не изучать инструмент, которым собрались пользоваться? :)

конечно все чем пользуешься надо изучить. и вот тут вопрос в том что
проще изучить "сложный" А *и* сомнительно "упрощающий" В, или только
"сложный" А.

вот мне показалось что это именно тот случай :)

-- 
... mpd is off

. ''`.   Dmitry E. Oboukhov
: :’  :   email: un...@debian.org jabber://un...@uvw.ru
`. `~’  GPGKey: 1024D / F8E26537 2006-11-21
  `- 1B23 D4F8 8EC0 D902 0555  E438 AB8C 00CF F8E2 6537


signature.asc
Description: Digital signature

Re: правильный debian-way для запуска iptables

> > AB> ps: в очередной раз порекоммендую ferm
> >
> > мне когда-то его порекомендовали, я его поразглядывал и понял, что с
> > правилами iptables (при том что его синтаксис постоянно расширяется)
> > разобраться-то попроще чем с цельным языком его конфига. или по
> > меньшей мере одинаково
> > :)
> 
> Разобраться нужно с обоими языками, чтобы пользоваться ferm, но мы ведь не  
> считаем,
> что можно не изучать инструмент, которым собрались пользоваться? :)
> 
> суть в том, что на ferm писать меньше и читать легче, чем с голым iptables.

А ты вот скажи, как опытный пользователь, знающий инструмент: ferm пользуется
механизмом iptables-restore (т.е. заливает транзакционно, "всё или ничего")
или загружает правила по одному?  Аналогом iptables-apply (загружаем правила,
ждем таймаут, если в течение таймаута нам не подтвердили, что могут
залогиниться, откатываем загрузку обратно) ferm обладает?  Или хотя бы умеет
вместо этого сделать файл для iptables-restore, который можно потом пинать
посредством iptables-apply?

Если он не умеет заливать транзакционно, то это не инструмент, а дизастер с
ручками.

-- 
Если ты не боишься синего экрана, то почему боишься черного?
 -- Д.Белявский


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87pqqmnbd0.wl%...@ran.pp.ru

Re: правильный debian-way для запуска iptables

Sun, 20 Feb 2011 12:42:23 +0200 було написано Dmitry E. Oboukhov  
:




AB> ps: в очередной раз порекоммендую ferm

мне когда-то его порекомендовали, я его поразглядывал и понял, что с
правилами iptables (при том что его синтаксис постоянно расширяется)
разобраться-то попроще чем с цельным языком его конфига. или по
меньшей мере одинаково
:)


Разобраться нужно с обоими языками, чтобы пользоваться ferm, но мы ведь не  
считаем,

что можно не изучать инструмент, которым собрались пользоваться? :)

суть в том, что на ferm писать меньше и читать легче, чем с голым iptables.


--
xmpp:ale...@boyko.km.ua

Re: правильный debian-way для запуска iptables


AB> ps: в очередной раз порекоммендую ferm

мне когда-то его порекомендовали, я его поразглядывал и понял, что с
правилами iptables (при том что его синтаксис постоянно расширяется)
разобраться-то попроще чем с цельным языком его конфига. или по
меньшей мере одинаково
:)
-- 
... mpd is off

. ''`.   Dmitry E. Oboukhov
: :’  :   email: un...@debian.org jabber://un...@uvw.ru
`. `~’  GPGKey: 1024D / F8E26537 2006-11-21
  `- 1B23 D4F8 8EC0 D902 0555  E438 AB8C 00CF F8E2 6537


signature.asc
Description: Digital signature

Re: правильный debian-way для запуска iptables

> >> Подскажите правильный debian-way для запуска iptables .
> >>
> >> Пользуюсь своим скриптом из rc.local , также пробовал firehol, но
> >> почему-то мне кажется, что это не true way.
> >>
> >> Гугл говорит, что скрипт из init.d, который делал iptables-save давно
> >> уже выпилили и надо смотреть на http://wiki.debian.org/Firewalls .
> >
> > По идее правильный - это pre-up в /etc/network/interfaces.  pre, потому  
> > что
> > файрвол должен быть сконфигурирован до включения соответствующих  
> > интерфейсов.
> 
> pre-up вызывается для каждого интерфейса. предлагаешь писать под каждый  
> интерфейс
> свой набор правил или запускать их несколько раз?

Я обычно пишу общий и дергаю его из pre-up для lo, который поднимается
первым.

Но если есть специфические правила, которые должны подниматься вместе с
определенным интерфейсом и вместе с ним же убираться обратно (такое бывает),
механизм interfaces позволяет это сделать.

-- 
НИИ требуются:
1. Кто бы мог подумать.
Кнышев.


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/87r5b3m1xp.wl%...@ran.pp.ru

Re: правильный debian-way для запуска iptables