LINUX.ORG.RU
решено Форум — Admin  

iptables, цепочка OUTPUT: запретить всё, кроме

 


0

1

Хочу, чтобы трафик уходил только в локальную сеть, а в Интернет не уходил. С INPUT все просто:

-A INPUT -i eth0 -j DROP

С OUTPUT не работает. Делаю так: -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED -m tcp --dport 22 -j ACCEPT

-A OUTPUT -d 192.168.1.0/24 -j ACCEPT

Но стоит добавить после -A OUTPUT -m iprange --dst-range 0.0.0.0-255.255.255.255 -j DROP или :OUTPUT DROP

весь исходящий трафик рубится полностью

И такая запись не помогла:

-A OUTPUT -m iprange --dst-range 0.0.0.0-255.255.255.255 -p tcp -m state --state NEW,ESTABLISHED -m tcp --dport 22 -j ACCEPT

Как правильно зарубить исходящий трафик?


Да все верно в целом. Все будет работать.
-A OUTPUT -p tcp -m state --state NEW,ESTABLISHED -m tcp --dport 22 -j ACCEPT #Разрешаем исходящий на любой IP 22/tcp (кстати не вижу смысла в state)
-A OUTPUT -d 192.168.1.0/24 -j ACCEPT #Разрешаем исходящий на IP адреса в сети 192.168.1.0/24
-A OUTPUT -j DROP #Все остальные исходящие пакеты дропаем.

anc ★★★★★
()
Ответ на: комментарий от turtle_bazon

Не, не маршрутизатор, к сожалению.

NOPA
() автор топика 
iptables -P OUTPUT ACCEPT
iptables -F OUTPUT
iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED - j ACCEPT
<дальше твои разрешающие правила>
iptables -P OUTPUT DROP

Первые две команды - безопасная(на случай если ты подключен по удаленке) очистка цепочки OUTPUT.
Третье правило - разрешаем все ответные пакеты(чтобы работали сервисы, расположенные на данном хосте, например тот же SSH-сервер).
Затем явно указываем всё что ты хочешь разрешить.
Ну и наконец отрезаем остальное.

Ну и да, убедись что тебе не мешает какой-нибудь другой демон для управления правилами файрвола - например ufw или firewalld.

Pinkbyte ★★★★★
()
Последнее исправление: Pinkbyte (всего исправлений: 2)
Ответ на: комментарий от Pinkbyte

Разобрался. Надо было так: -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED -m tcp --sport 22 -j ACCEPT

Теперь работает как надо: нет Интернета, работает SSH с внешнего интерфейса.

NOPA
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin