LINUX.ORG.RU
Форум — Admin  

iptables закрыть домашний web сервер


0

0
Ситуация такова: есть шлюз с тремя сетевыми картами eth0 (ppp0) - интернет, eth1 - локальная сеть, eth2 - домашняя сеть. На шлюзе запущен web сервер apache (80 порт). Надо что бы сервер был доступен только из домашней сети.

пробовал так:
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP
iptables -A INPUT -i ppp0 -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth1 -p tcp --dport 80 -j DROP

Неработает. Что неправильно?
anonymous
← ADSL модем+ реальный IP+ dhcp client+ аренда адреса 15сек
странная работа приоритетов пакетов в qos на openwrt →
Ответ на: комментарий от anonymous
>> До этих есть только: iptables -P INPUT ACCEPT

Вот переставь это правило в конец. Иначе получается что входящие подключения сразу пропускаются и дальнейшие правила просто не применяются.

Deleted
()
Ответ на: комментарий от Deleted
А вообще для входящего трафика логичнее по умолчанию всё блокировать, а дырочки проковыривать только для нужных сервисов. Ещё почитай про connection tracking.
Deleted
()
> Неработает. Что неправильно?

iptables -P INPUT DROP

и первым же правилом: iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

и далее уже твои правила, вернее всё что мы хотим явно разрешить, НЕ запретить.

Вторую строчку в FORWARD тоже добавить надо обязательно, если комп роутером работать будет.

anonymous
()
мде. В конфиге веб сервера трудно поставить ip eth2 - домашняя сеть. ?
wertik
()
Ответ на: комментарий от Deleted
>Вот переставь это правило в конец.

"-P" это политика. Её без разницы где указывать, она все равно как бы к конце получается.

2автор топика. Что неработает и как проверяли? И покажите "iptables -L -n -v"

mky ★★★★★
()
Ответ на: комментарий от mky
>> "-P" это политика. Её без разницы где указывать, она все равно как бы к конце получается.

Я невнимательно прочитал...

Deleted
()
Ответ на: комментарий от xio
это, конечно, пофиг, что если все три сети маршрутизируются между собой хотя бы, то вебсервер будет доступен из всех, вне зависимости от того, в какой его подсети айпишка. или ты в одной подсети с ЛОРом, что тут постишь?

2автор. дай вывод iptables, route -n, ifconfig

val-amart ★★★★★
()
Ответ на: комментарий от val-amart
И действительно. Правило тогда ограничивается случаями с внешними и внутренними сетями за натом.
xio ★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← ADSL модем+ реальный IP+ dhcp client+ аренда адреса 15сек
Admin
странная работа приоритетов пакетов в qos на openwrt →