LINUX.ORG.RU
ФорумAdmin

Настройки firewall


0

0

Для настройки firewall я в скрипте /etc/rc.d/rc.local.local вызываю следующий скрипт:

#!/bin/sh

IPTABLES=/sbin/iptables

DEPMOD=/sbin/depmod

MODPROBE=/sbin/modprobe

EXTIF="eth0"

EXTIF2="ppp0"

INTIF="eth1"

$DEPMOD -a

$MODPROBE ip_tables

$MODPROBE ip_conntrack

$MODPROBE ip_conntrack_ftp

$MODPROBE ip_conntrack_irc

$MODPROBE iptable_nat

$MODPROBE ip_nat_ftp

$MODPROBE ip_nat_irc

echo "1" > /proc/sys/net/ipv4/ip_forward

echo "1" > /proc/sys/net/ipv4/ip_dynaddr

$IPTABLES -P INPUT DROP

$IPTABLES -F INPUT

$IPTABLES -P OUTPUT ACCEPT

$IPTABLES -F OUTPUT

$IPTABLES -P FORWARD DROP

$IPTABLES -F FORWARD

$IPTABLES -t nat -F

$IPTABLES -A INPUT -i $INTIF -j ACCEPT

$IPTABLES -A INPUT -i $EXTIF -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A INPUT -i $EXTIF2 -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT

$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE

echo -e "done.\n"


Я надеюсь что я решил следующие проблемы:
1) Запретил принимать все пакеты NEW с интерфейсов ppp0 (internet) & eth0 (internet)
2) Разешил принимать все входящие пакеты со статусом ESTABLISHED, RELATED с интерфейсов ppp0 & eth0
3) Разрешил весь входящий трафик для интерфейса eth1 (домашняя сеть)
4) Настроил перенаправление трафика из домашней сети (eth1) в интернет (eth0)
5) Я надеюсь что теперь никто извне моей домашней сети не сможет установить соединение ни с одним компьютером локальной сети по собственной инициативе.

Если я что-то упустил - подскажите, пожалуйста.

Re: Настройки firewall

После перезагрузки выявились некоторые проблемы работы X-в (дикое торможение), сценарий немного подправил:

#!/bin/sh

IPTABLES=/sbin/iptables

DEPMOD=/sbin/depmod

MODPROBE=/sbin/modprobe

EXTIF="eth0"

EXTIF2="lo"

EXTIF3="ppp0"

INTIF="eth1"

$DEPMOD -a

$MODPROBE ip_tables

$MODPROBE ip_conntrack

$MODPROBE ip_conntrack_ftp

$MODPROBE ip_conntrack_irc

$MODPROBE iptable_nat

$MODPROBE ip_nat_ftp

$MODPROBE ip_nat_irc

echo "1" > /proc/sys/net/ipv4/ip_forward

echo "1" > /proc/sys/net/ipv4/ip_dynaddr

$IPTABLES -P INPUT DROP

$IPTABLES -F INPUT

$IPTABLES -P OUTPUT ACCEPT

$IPTABLES -F OUTPUT

$IPTABLES -P FORWARD DROP

$IPTABLES -F FORWARD

$IPTABLES -t nat -F

$IPTABLES -A INPUT -i $INTIF -j ACCEPT

$IPTABLES -A INPUT -i $EXTIF -m state --state ESTABLISHED,RELATED -j ACCEPT

# Исправление, хотя не совсем понимаю зачем разрешать входящий
#трафик для локального интерфейса? Все же находится на машине с
#firewall
$IPTABLES -A INPUT -i $EXTIF2 -j ACCEPT

$IPTABLES -A INPUT -i $EXTIF3 -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT

$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j MASQUERADE

echo -e "done.\n"

ushakov ()
Ответ на: Re: Настройки firewall от ushakov

Re: Настройки firewall

Не волнуйся сильно. Я вчера настраивал то же самое, и та же проблема. Если $IPTABLES -P INPUT DROP, то дропаться будут и входящие по lo

smartly ★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.