Firewall - закрыть порт после некоторого периода неактивности

с помощью ipt никак.

в голову приходят knock+xinetd, но на этом фантазии заканчиваются

А как он потом будет открываться?

http://www.zeroflux.org/projects/knock примерно так.

knock-knock

Это банально. ТС хотел только iptables

>command = /usr/sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

а это што? %%петросян.жпг%%

Я подозреваю, что он сам не знает, чего хотел

Знает, знает). Всем спасибо, разобрался. tcpdump + iptables + скрипт. tcpdump слушает порт, как только чего-то ловит, сбрасывается таймер, если таймер дощелкал до конца, порт закрывается. Открывается, есессно, руками. knockd это да, но нужно было разобратся стандартными средствами, нереально на весь зоопарк ставить что-то еще.

_разобратЬся_ )

с каких это пор ваше поделие стало стандартным средством? у вас зоопарк из слак, лфс и гент? ну поздравляю, чо

zyxos2> tcpdump слушает порт, как только чего-то ловит, сбрасывается таймер, если таймер дощелкал до конца, порт закрывается.

хренасе велосипед! Вместо слежения за трафиком при помощи tcpdump, можно просто следить за счетчиком трафика на iptables.

предлагаю иптаблесом натить пакеты на отдельный хост внутри локалки, а специальным электроприбором из атмела и фотодатчика мониторить моргание лампочки на свитче и шонибудь куданибудь коммутировать. В результате не придётся ничего вообще ставить на весь зоопарк.

Что знаю, то и юзаю. Если подскажете, как следить за счетчиком трафика при помощи iptables, буду очень благодарен, т.к. с iptables знаком весьма поверхностно.

Стандартными средствами являются tcpdump и iptables.

Прошивку, схему подсоединения фотодатчика, и схему коммутации, пожалуйста. Меня очень заинтересовало ваше предложение.

iptables -v -L

ещё -n чтобы оно имена не резолвило

я сначала knock предложил, а потом уже развил вашу мысль, не более того

Что знаю, то и юзаю. Если подскажете, как следить за счетчиком трафика при помощи iptables, буду очень благодарен, т.к. с iptables знаком весьма поверхностно.

Есть /proc/net/nf_conntrack, там же можно брать и кол-во пакетов для каждого соедтинения.

добавить правило iptables -A INPUT -p tcp --dport $порт -j ACCEPT (для счетчика пакетов). написать скрипт с циклом, парсить в нем iptables -L INPUT -v -n .запоминать время и счетчик пакетов. затем сравнивать. если по проществии 5 мин не пришло ни одного пакета, удалить правило.
profit!

recent во все поля