LINUX.ORG.RU
Форум — Security  

iptables-tutorial - тяжелое чтиво


0

0

Почитал вчера на ночь iptables-tutorial - мля тяжелое чтиво. С первого просмотра тяжело разобраться. Может кто нибудь поделится примером такого плана. На машинке две сетевушкм. eth1 смотрит в инет и на ней должны быть открыты только 21 и 80 порты. eth0 - смотрит внутрь сети и на ней должны быть 21 80 53 и порт Самбы (не помню). Связи между картами никакой - на одну данные приходят с другой забираются. Я думаю у многих должна быть или такая или очень похожая настройка. Поделитесь pls.

★

попробуй перекомпилить ядро с поддержкой ipchains. А как ты смог две сетевушки запустить? Поделись, пожалуйста (какие сетевые, какая шина - PCI или ISA). Я долго бился, но две сетевые для PCI не смог заставить работать. Одна из них откликается на два IP адреса, а вторая - молчит. С уважением, аспирант.

anonymous
()

ipchains говорят уже не актуально, хотелось бы тратить время и силы на то что может пригодиться в будущем. Две сетевушки легко, только одна PCI а другая старенькая ISA - и в общем то никаких шаманских плясок.

FAlex ★
() автор топика

аспиранту:

С такими знаниями вы, аспирант, никогда не станете Кандидатом! Сеть настроить не пробовали? При чем здесь PCI или ISA? Если драйвер сетевой карты загружен (модулем или вкомпилен в ядро) то только и остается сеть настроить. Можно хоть N сетевых карт вставить, даже одного типа, лишь бы они не конфликтовали между собой по аппаратным ресурсам.

Кандидат.

NewComer ★
()

Ядро по умолчанию ищет одну сетевуху.Чтобы искало вторую нужно ему к примеру в лило указать что есть вторая сетевуха.Либо просто подгрузить модулем.Сейчас занимаюсь примерно тем же что и FAlex (*) (2003-04-15 10:47:02.903175)и очень интересуют советы по настройке сендмыла(почта будет отправляться только из локалки).

anonymous
()

ага, вот к примеру три штуки стоят:
00:0f.0 Ethernet controller: 3Com Corporation 3c905 100BaseTX [Boomerang]
00:10.0 Ethernet controller: 3Com Corporation 3c905 100BaseTX [Boomerang]
00:13.0 Ethernet controller: 3Com Corporation 3c905 100BaseTX [Boomerang]

и ничего, работают

DiMoN ★★★
()
Ответ на: комментарий от anonymous

Да, тяжелое чтиво, но там примеры есть - разобраться можно, а навскидку можно так: Собрать ядро с поддержкой всего что в tutorial и загрузиться с ним, пустить shellовский файл примерно такого содержания:

#!/bin/bash<br> <br> $LIP=192.168.1.1 #Внутренний адрес <br> $RIP=x.x.x.x #Внешний адрес<br> $LETH=eth0 #Внутренний интерфейс<br> $RETH=eth1 #Внешний интерфейс<br> #Загрузка модулей ядра как в примере tutorial<br> <br> /sbin/depmod -a<br> /sbin/modprobe ip_conntrack<br> /sbin/modprobe ip_tables<br> /sbin/modprobe iptable_filter<br> /sbin/modprobe iptable_mangle<br> /sbin/modprobe iptable_nat<br> /sbin/modprobe ipt_LOG<br> /sbin/modprobe ipt_limit<br> /sbin/modprobe ipt_MASQUERADE<br> <br>

/sbin/iptables -F <br> /sbin/iptables -X <br> /sbin/iptables -P INPUT DROP<br> /sbin/iptables -A INPUT -i $RETH -p tcp --dport 80 -j ACCEPT<br> /sbin/iptables -A INPUT -i $RETH -p tcp --dport 21 -j ACCEPT<br> #Тоже надо ИМХО: /sbin/iptables -A INPUT -i $RETH -p tcp --dport 20 -j ACCEPT<br> <br> /sbin/iptables -P OUTPUT DROP<br> /sbin/iptables -A OUTPUT -o $RETH -p tcp --sport 80 -j ACCEPT<br> /sbin/iptables -A OUTPUT -o $RETH -p tcp --sport 21 -j ACCEPT<br> /sbin/iptables -A OUTPUT -o $RETH -p tcp --sport 20 -j ACCEPT<br>

Это только для внешнего интерфейса, для внутреннего - аналогично. Порты samba - 137:139

anonymous
()
Ответ на: комментарий от anonymous

<HTML> <BODY> Да, тяжелое чтиво, но там примеры есть - разобраться можно, а навскидку можно так: Собрать ядро с поддержкой всего что в tutorial и загрузиться с ним, пустить shellовский файл примерно такого содержания:

#!/bin/bash<br> <br> $LIP=192.168.1.1 #Внутренний адрес <br> $RIP=x.x.x.x #Внешний адрес<br> $LETH=eth0 #Внутренний интерфейс<br> $RETH=eth1 #Внешний интерфейс<br> #Загрузка модулей ядра как в примере tutorial<br> <br> /sbin/depmod -a<br> /sbin/modprobe ip_conntrack<br> /sbin/modprobe ip_tables<br> /sbin/modprobe iptable_filter<br> /sbin/modprobe iptable_mangle<br> /sbin/modprobe iptable_nat<br> /sbin/modprobe ipt_LOG<br> /sbin/modprobe ipt_limit<br> /sbin/modprobe ipt_MASQUERADE<br> <br>

/sbin/iptables -F <br> /sbin/iptables -X <br> /sbin/iptables -P INPUT DROP<br> /sbin/iptables -A INPUT -i $RETH -p tcp --dport 80 -j ACCEPT<br> /sbin/iptables -A INPUT -i $RETH -p tcp --dport 21 -j ACCEPT<br> #Тоже надо ИМХО: /sbin/iptables -A INPUT -i $RETH -p tcp --dport 20 -j ACCEPT<br> <br> /sbin/iptables -P OUTPUT DROP<br> /sbin/iptables -A OUTPUT -o $RETH -p tcp --sport 80 -j ACCEPT<br> /sbin/iptables -A OUTPUT -o $RETH -p tcp --sport 21 -j ACCEPT<br> /sbin/iptables -A OUTPUT -o $RETH -p tcp --sport 20 -j ACCEPT<br>

Это только для внешнего интерфейса, для внутреннего - аналогично. Порты samba - 137:139 </BODY></HTML>

anonymous
()

Кандидату. Если сказать нечего, не хами. Dimon'у. Спасибо, попробую 3COM Corporation 3c905.

anonymous
()

FAlex'у. Я не являюсь спецом по Линуксу. Но сервер который я одной фирме настроил 2,5 года стоит. В логах смотрел - атаки идут. Если интересно, то опишу его - На Mandrake 8.0 стоит Apache и Postfix (больше ничего). Ничего не обновлял, пока все стоит. Планирую ядро 2.2.21 поставить. С уважением, Аспирант. Кандидату. Не хами, каждый человек стремится стать специалистом в своей области (я например в АСУ ТП - на уровне электроники, не программирования).

anonymous
()

2anonymous (*) (2003-04-16 13:23:50.634978)

Это шутка, да? Тогда смайлики ставьте!
При чем тут тип карты? Подходит любой тип карты, если для него есть драйвер.

anonymous
()

iptables-tutorial одна из самых легко читаемых док. Хотя для человека который не знает о том что для полноценной работы по ftp надо открыть больше чем один порт наверно любая дока тяжелой покажется. И лечится это только одним способом, надо залезть в /usr/share/doc/HOWTO и читать, читать и читать. После 100М сразу всё станет понятно.

anonymous
()

Спасибо всем кто откликнулся - отдельное спасибо тем кто действительно помог. Мое неспасибо всем тем кто дует щеки и пытается потешить свое больное самолюбие и использует для этого чисто техническую конференция. К доктору батенька.

FAlex ★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Security