форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Информационная безопасность (Public)
Изначальное сообщение		[ Отслеживать ]

"оцените правила iptables"

Сообщение от izvorot (ok) on 30-Июн-08, 15:49

Доброго дня,Уважаемые!тема не впервой поднята многими людьми-нужно чтобы оценили правила для выявления каких-либо ошибок.Изначально писал сам,но дальнейшем наткнулся на одну статью и переделал по примеру приведенному в ней http://www.sys-adm.org.ua/www/squid-transparent.php#c4 Ситуация-имеется шлюз с 3мя сетевыми: eth0-смотрит в мир eth1-смотрит в локальную сеть eth2-смотрит на веб-сервер(подключен кроссом) Сам скрипт: #!/bin/sh IPTABLES="/sbin/iptables" # Отчищаем все правила в таблицах filter, nat и mangle $IPTABLES -t filter -F $IPTABLES -t nat -F $IPTABLES -t mangle -F # Удаляем все пользовательские цепочки в таблицах filter, nat и mangle $IPTABLES -t filter -X $IPTABLES -t nat -X $IPTABLES -t mangle -X # Задаем политики по умолчанию $IPTABLES -t filter -P INPUT ACCEPT $IPTABLES -t filter -P FORWARD ACCEPT $IPTABLES -t filter -P OUTPUT ACCEPT # Создаем пользовательские цепочки. Как строить firewall каждый решает сам. # Но лично мне удобно настраивать фаервол, когда все разбито по цепочкам # и как бы разложено по своим полочкам. Тогда я точно знаю, что и где надо # искать или исправлять. Думаю, названия цепочек говорят сами за себя. $IPTABLES -N eth0-eth1 $IPTABLES -N eth1-eth0 $IPTABLES -N eth1-eth2 $IPTABLES -N eth2-eth1 $IPTABLES -N eth2-eth0 $IPTABLES -N eth0-eth2 $IPTABLES -N eth2-out $IPTABLES -N eth1-out $IPTABLES -N eth0-out $IPTABLES -N eth2-in $IPTABLES -N eth1-in $IPTABLES -N eth0-in $IPTABLES -N icmp_packets # Направляем все входящие пакеты в соответствующие цепочки. $IPTABLES -A INPUT -d 212.12.XX.XX -j eth0-in $IPTABLES -A INPUT -d 192.168.0.XX -j eth1-in $IPTABLES -A INPUT -d 192.168.1.2 -j eth2-in # Направляем все исходящие пакеты в соответствующие цепочки. $IPTABLES -A OUTPUT -s 212.12.XX.XX -j eth0-out $IPTABLES -A OUTPUT -s 192.168.0.XX -j eth1-out $IPTABLES -A OUTPUT -s 192.168.1.2 -j eth2-out # Разрешаем весь трафик с петлевого интерфейса. $IPTABLES -A INPUT -i lo -j ACCEPT $IPTABLES -A OUTPUT -o lo -j ACCEPT # Разрешаем следующие типы icmp пакетов. $IPTABLES -A icmp_packets -p icmp --icmp-type 0 -j ACCEPT $IPTABLES -A icmp_packets -p icmp --icmp-type 3 -j ACCEPT $IPTABLES -A icmp_packets -p icmp --icmp-type 8 -j ACCEPT $IPTABLES -A icmp_packets -p icmp --icmp-type 11 -j ACCEPT # Для удобства фильтрации, направляем все транзитные пакеты, # в соответствующие цепочки. # eth0-eth1 мир -> локальная сеть # eth1-eth0 локальная сеть -> мир # eth1-eth2 локальная сеть -> веб-сервер # eth2-eth1 веб-сервер -> локальная сеть # eth2-eth0 веб-сервер -> мир # eth0-eth2 мир -> веб-сервер $IPTABLES -A FORWARD -i eth0 -o eth1 -j eth0-eth1 $IPTABLES -A FORWARD -i eth1 -o eth0 -j eth1-eth0 $IPTABLES -A FORWARD -i eth1 -o eth2 -j eth1-eth2 $IPTABLES -A FORWARD -i eth2 -o eth1 -j eth2-eth1 $IPTABLES -A FORWARD -i eth2 -o eth0 -j eth2-eth0 $IPTABLES -A FORWARD -i eth0 -o eth2 -j eth0-eth2 # eth0-eth1. В данную цепочку попадают все транзитные пакеты, # направленные из мира в локальную сеть. $IPTABLES -A eth0-eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth0-eth1 -j DROP # eth1-eth0. В данную цепочку попадают все транзитные пакеты, # направленные из локальной сети в мир. $IPTABLES -A eth1-eth0 -p icmp -j icmp_packets $IPTABLES -A eth1-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth1-eth0 -j DROP # eth1-eth2.В данную цепочку попадают все транзитные пакеты, # направленные из локальной сети к web-серверу. $IPTABLES -A eth1-eth2 -p icmp -j icmp_packets $IPTABLES -A eth1-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth1-eth2 -j DROP # eth2-eth1.В данную цепочку попадают все транзитные пакеты, # направленные от web-сервера к локальной сети. $IPTABLES -A eth1-eth2 -p icmp -j icmp_packets $IPTABLES -A eth1-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth1-eth2 -j DROP # eth2-eth0. В данную цепочку попадают все транзитные пакеты, # направленные с web-сервера в мир. $IPTABLES -A eth2-eth0 -p icmp -j icmp_packets $IPTABLES -A eth2-eth0 -p tcp --dport 443 -j ACCEPT $IPTABLES -A eth2-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth2-eth0 -j DROP # eth0-eth2. В данную цепочку попадают все транзитные пакеты, # направленные из мира к web-серверу. $IPTABLES -A eth0-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth0-eth2 -j DROP # eth1-in. В данной цепочке открываем порты тех служб, которые # должны быть доступны на сервере из локальной сети. $IPTABLES -A eth1-in -p icmp -j icmp_packets $IPTABLES -A eth1-in -p tcp --dport 20 -j ACCEPT $IPTABLES -A eth1-in -p tcp --dport 21 -j ACCEPT $IPTABLES -A eth1-in -p tcp --dport 22 -j ACCEPT $IPTABLES -A eth1-in -p tcp --dport 25 -j ACCEPT $IPTABLES -A eth1-in -p udp --dport 53 -j ACCEPT $IPTABLES -A eth1-in -p tcp --dport 80 -j ACCEPT $IPTABLES -A eth1-in -p tcp --dport 110 -j ACCEPT $IPTABLES -A eth1-in -j DROP # eth2-in. В данной цепочке открываем порты тех служб, которые # должны быть доступны на сервере с web-сервера. $IPTABLES -A eth2-in -p icmp -j icmp_packets $IPTABLES -A eth2-in -p udp --dport 53 -j ACCEPT $IPTABLES -A eth2-in -p tcp --dport 80 -j ACCEPT $IPTABLES -A eth2-in -j DROP # eth0-in. В данной цепочке открываем порты тех служб, которые # должны быть доступны на сервере из мира. Например www, smtp, ftp $IPTABLES -A eth0-in -p icmp -j icmp_packets $IPTABLES -A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth0-in -j DROP # eth1-out. $IPTABLES -A eth1-out -p icmp -j icmp_packets $IPTABLES -A eth1-out -p udp --dport 53 -j ACCEPT $IPTABLES -A eth1-out -p tcp -m multiport --dport 22,80,443 -j ACCEPT $IPTABLES -A eth1-out -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth1-out -j DROP # eth0-out. $IPTABLES -A eth0-out -p icmp -j icmp_packets $IPTABLES -A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth0-out -j DROP # eth2-out. $IPTABLES -A eth2-out -p icmp -j icmp_packets $IPTABLES -A eth2-out -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -A eth2-out -j DROP # Производим сетевую трансляцию адресов (NAT) $IPTABLES -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to-source 212.12.3.222 # web-сервер     $IPTABLES -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.3:80 $IPTABLES -t nat -A POSTROUTING -p tcp -d eth2 --dport 80 -j SNAT --to-source eth1 $IPTABLES -t nat -A OUTPUT -d eth0 -p tcp --dport 80 -j DNAT --to-destination eth2 # проброс порта RDP для виндовых серваков $IPTABLES -t nat -A PREROUTING –I eth0 -p tcp --dport 3389 -j DNAT --to-destination 192.168.0.1:3389 # "Заварачиваем" весь http трафик на squid. #$IPTABLES -t nat -A PREROUTING -s 192.168.1.0/24 -i eth1 -p tcp -m multiport --dport #80,8080 -j REDIRECT --to-ports 3128

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "правила для iptables; firehol, бесплатные образцы"

Сообщение от Andrey Mitrofanov on 30-Июн-08, 21:26

>Доброго дня,Уважаемые!тема не впервой поднята многими людьми-нужно чтобы оценили правила для выявления каких-либо ошибок. Сложно :) это, правила какие-то писать. > # Создаем пользовательские цепочки. Как строить firewall каждый решает сам. А мне генератор правил навится: я не пишу на низкоуровневом iptables. Хотя, местами, читаю. ;) http://www.opennet.ru/openforum/vsluhforumID10/3764.html#2 > # Но лично мне удобно настраивать фаервол, когда все разбито по цепочкам > # и как бы разложено по своим полочкам. Тогда я точно знаю, что и где надо > # искать или исправлять. Думаю, названия цепочек говорят сами за себя. > # Разрешаем следующие типы icmp пакетов. > $IPTABLES -A icmp_packets -p icmp --icmp-type 0 -j ACCEPT > $IPTABLES -A icmp_packets -p icmp --icmp-type 3 -j ACCEPT > $IPTABLES -A icmp_packets -p icmp --icmp-type 8 -j ACCEPT > $IPTABLES -A icmp_packets -p icmp --icmp-type 11 -j ACCEPT 0 и 8 - запрос-ответ. А вот 3 и 11 чего-то я на вскидку не вспомню... эээ[1], destination-unreachable и time-exceeded. А они в RELATED не должны бы попадать?.. > # Для удобства фильтрации, направляем все транзитные пакеты, > # в соответствующие цепочки. [...8<...] > # web-сервер     > $IPTABLES -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.3:80 > $IPTABLES -t nat -A POSTROUTING -p tcp -d eth2 --dport 80 -j SNAT --to-source eth1 > $IPTABLES -t nat -A OUTPUT -d eth0 -p tcp --dport 80 -j DNAT --to-destination eth2 Вот эти два правила мой iptables "не прочитал": наверное, eth{0,1,2} не воспринимает в качестве ip адреса. Да и от меня общая мысль этих преобразований ускользнула. > # проброс порта RDP для виндовых серваков > $IPTABLES -t nat -A PREROUTING ?I eth0 -p tcp --dport 3389 -j DNAT --to-destination 192.168.0.1:3389 s/\?I eth0/-i eth0/, видимо. Кстати, port-forward надо ещё и в -t filter -A FORWARD пропускать. Оно ж там не сразу RELATED,ESTABLISHED "рождается". Да, кстати! Бесплатные образцы. :-) Твой конфиг, переписанный по диагонали, на firehol. Сравни _сложность_ (и качество?) своего скрипта и "скрипта" для firehol. ---8<--- firehol.conf.example version 5 DMZWEB=192.168.1.3 MYEXT=212.12.99.99 WINRDP=192.168.0.1 dnat to $DMZWEB proto tcp inface eth0 dst $MYEXT dport 80 dnat to $WINRDP proto tcp inface eth0 dst $MYEXT dport 3389 #transparent_proxy "80 8080" 3128 squid inface eth1 interface eth0 world dst $MYEXT     server ping accept     client all accept interface eth1 lan dst 192.168.0.99     server "ping ftp ssh smtp dns http pop3" accept     client all accept interface eth2 dmz dst 192.168.1.2     server "ping dns http" accept     client all accept router dmz2o inface eth2 outface eth0     server "ping https" accept     client http accept router lan2o inface eth1 outface eth0     server ping accept #    server "http webcache" accept     client rdp accept dst $WINRDP router lan2dmz inface eth1 outface eth2     server ping accept     client ping accept --->8--- Правила из-под FireHOL с этим конфигом выглядят примерно (-i lo, -o lo, установку ip_forward, загрузку модулей ядра -- не видно, но они есть; артефакты в районе ".firehol-tmp"...) вот так: ===8<=== # filrehol ./filrehol.conf.example debug | ./explain-filter -N out_lan2dmz_ping_c2 -A out_lan2dmz_ping_c2 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT -N in_lan2dmz_ping_c2 -A in_lan2dmz_ping_c2 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT -N out_lan2dmz_ping_s1 -A out_lan2dmz_ping_s1 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT -N in_lan2dmz_ping_s1 -A in_lan2dmz_ping_s1 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT -N out_lan2dmz -A out_lan2dmz -j out_lan2dmz_ping_s1 -A out_lan2dmz -j out_lan2dmz_ping_c2 -A out_lan2dmz -m state --state RELATED -j ACCEPT -N in_lan2dmz -A in_lan2dmz -j in_lan2dmz_ping_s1 -A in_lan2dmz -j in_lan2dmz_ping_c2 -A in_lan2dmz -m state --state RELATED -j ACCEPT -N out_lan2o_rdp_c2 -A out_lan2o_rdp_c2 -p tcp --sport 1024:65535 -d 192.168.0.1 --dport 3389 -m state --state NEW\,ESTABLISHED -j ACCEPT -N in_lan2o_rdp_c2 -A in_lan2o_rdp_c2 -p tcp -s 192.168.0.1 --sport 3389 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N out_lan2o_ping_s1 -A out_lan2o_ping_s1 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT -N in_lan2o_ping_s1 -A in_lan2o_ping_s1 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT -N out_lan2o -A out_lan2o -j out_lan2o_ping_s1 -A out_lan2o -j out_lan2o_rdp_c2 -A out_lan2o -m state --state RELATED -j ACCEPT -N in_lan2o -A in_lan2o -j in_lan2o_ping_s1 -A in_lan2o -j in_lan2o_rdp_c2 -A in_lan2o -m state --state RELATED -j ACCEPT -N out_dmz2o_http_c3 -A out_dmz2o_http_c3 -p tcp --sport 1024:65535 --dport 80 -m state --state NEW\,ESTABLISHED -j ACCEPT -N in_dmz2o_http_c3 -A in_dmz2o_http_c3 -p tcp --sport 80 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N out_dmz2o_https_s2 -A out_dmz2o_https_s2 -p tcp --sport 443 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N in_dmz2o_https_s2 -A in_dmz2o_https_s2 -p tcp --sport 1024:65535 --dport 443 -m state --state NEW\,ESTABLISHED -j ACCEPT -N out_dmz2o_ping_s1 -A out_dmz2o_ping_s1 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT -N in_dmz2o_ping_s1 -A in_dmz2o_ping_s1 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT -N out_dmz2o -A out_dmz2o -j out_dmz2o_ping_s1 -A out_dmz2o -j out_dmz2o_https_s2 -A out_dmz2o -j out_dmz2o_http_c3 -A out_dmz2o -m state --state RELATED -j ACCEPT -N in_dmz2o -A in_dmz2o -j in_dmz2o_ping_s1 -A in_dmz2o -j in_dmz2o_https_s2 -A in_dmz2o -j in_dmz2o_http_c3 -A in_dmz2o -m state --state RELATED -j ACCEPT -N out_dmz_ftp_c6 -A out_dmz_ftp_c6 -p tcp --sport 32768:61000 --dport ftp -m state --state NEW\,ESTABLISHED -j ACCEPT -A out_dmz_ftp_c6 -p tcp --sport 32768:61000 --dport ftp-data -m state --state ESTABLISHED -j ACCEPT -A out_dmz_ftp_c6 -p tcp --sport 32768:61000 --dport 1024:65535 -m state --state ESTABLISHED\,RELATED -j ACCEPT -N in_dmz_ftp_c6 -A in_dmz_ftp_c6 -p tcp --sport ftp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -A in_dmz_ftp_c6 -p tcp --sport ftp-data --dport 32768:61000 -m state --state ESTABLISHED\,RELATED -j ACCEPT -A in_dmz_ftp_c6 -p tcp --sport 1024:65535 --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -N out_dmz_irc_c5 -A out_dmz_irc_c5 -p tcp --sport 32768:61000 --dport 6667 -m state --state NEW\,ESTABLISHED -j ACCEPT -N in_dmz_irc_c5 -A in_dmz_irc_c5 -p tcp --sport 6667 --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -N out_dmz_all_c4 -A out_dmz_all_c4 -m state --state NEW\,ESTABLISHED -j ACCEPT -N in_dmz_all_c4 -A in_dmz_all_c4 -m state --state ESTABLISHED -j ACCEPT -N out_dmz_http_s3 -A out_dmz_http_s3 -p tcp --sport 80 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N in_dmz_http_s3 -A in_dmz_http_s3 -p tcp --sport 1024:65535 --dport 80 -m state --state NEW\,ESTABLISHED -j ACCEPT -N out_dmz_dns_s2 -A out_dmz_dns_s2 -p udp --sport 53 -m state --state ESTABLISHED -j ACCEPT -A out_dmz_dns_s2 -p tcp --sport 53 -m state --state ESTABLISHED -j ACCEPT -N in_dmz_dns_s2 -A in_dmz_dns_s2 -p udp --dport 53 -m state --state NEW\,ESTABLISHED -j ACCEPT -A in_dmz_dns_s2 -p tcp --dport 53 -m state --state NEW\,ESTABLISHED -j ACCEPT -N out_dmz_ping_s1 -A out_dmz_ping_s1 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT -N in_dmz_ping_s1 -A in_dmz_ping_s1 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT -N out_dmz -A out_dmz -j out_dmz_ping_s1 -A out_dmz -j out_dmz_dns_s2 -A out_dmz -j out_dmz_http_s3 -A out_dmz -j out_dmz_all_c4 -A out_dmz -j out_dmz_irc_c5 -A out_dmz -j out_dmz_ftp_c6 -A out_dmz -m state --state RELATED -j ACCEPT -A out_dmz -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'OUT-dmz\':\' -A out_dmz -j DROP -N in_dmz -A in_dmz -j in_dmz_ping_s1 -A in_dmz -j in_dmz_dns_s2 -A in_dmz -j in_dmz_http_s3 -A in_dmz -j in_dmz_all_c4 -A in_dmz -j in_dmz_irc_c5 -A in_dmz -j in_dmz_ftp_c6 -A in_dmz -m state --state RELATED -j ACCEPT -A in_dmz -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'IN-dmz\':\' -A in_dmz -j DROP -N out_lan_ftp_c10 -A out_lan_ftp_c10 -p tcp --sport 32768:61000 --dport ftp -m state --state NEW\,ESTABLISHED -j ACCEPT -A out_lan_ftp_c10 -p tcp --sport 32768:61000 --dport ftp-data -m state --state ESTABLISHED -j ACCEPT -A out_lan_ftp_c10 -p tcp --sport 32768:61000 --dport 1024:65535 -m state --state ESTABLISHED\,RELATED -j ACCEPT -N in_lan_ftp_c10 -A in_lan_ftp_c10 -p tcp --sport ftp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -A in_lan_ftp_c10 -p tcp --sport ftp-data --dport 32768:61000 -m state --state ESTABLISHED\,RELATED -j ACCEPT -A in_lan_ftp_c10 -p tcp --sport 1024:65535 --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -N out_lan_irc_c9 -A out_lan_irc_c9 -p tcp --sport 32768:61000 --dport 6667 -m state --state NEW\,ESTABLISHED -j ACCEPT -N in_lan_irc_c9 -A in_lan_irc_c9 -p tcp --sport 6667 --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -N out_lan_all_c8 -A out_lan_all_c8 -m state --state NEW\,ESTABLISHED -j ACCEPT -N in_lan_all_c8 -A in_lan_all_c8 -m state --state ESTABLISHED -j ACCEPT -N out_lan_pop3_s7 -A out_lan_pop3_s7 -p tcp --sport 110 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N in_lan_pop3_s7 -A in_lan_pop3_s7 -p tcp --sport 1024:65535 --dport 110 -m state --state NEW\,ESTABLISHED -j ACCEPT -N out_lan_http_s6 -A out_lan_http_s6 -p tcp --sport 80 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N in_lan_http_s6 -A in_lan_http_s6 -p tcp --sport 1024:65535 --dport 80 -m state --state NEW\,ESTABLISHED -j ACCEPT -N out_lan_dns_s5 -A out_lan_dns_s5 -p udp --sport 53 -m state --state ESTABLISHED -j ACCEPT -A out_lan_dns_s5 -p tcp --sport 53 -m state --state ESTABLISHED -j ACCEPT -N in_lan_dns_s5 -A in_lan_dns_s5 -p udp --dport 53 -m state --state NEW\,ESTABLISHED -j ACCEPT -A in_lan_dns_s5 -p tcp --dport 53 -m state --state NEW\,ESTABLISHED -j ACCEPT -N out_lan_smtp_s4 -A out_lan_smtp_s4 -p tcp --sport 25 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N in_lan_smtp_s4 -A in_lan_smtp_s4 -p tcp --sport 1024:65535 --dport 25 -m state --state NEW\,ESTABLISHED -j ACCEPT -N out_lan_ssh_s3 -A out_lan_ssh_s3 -p tcp --sport 22 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N in_lan_ssh_s3 -A in_lan_ssh_s3 -p tcp --sport 1024:65535 --dport 22 -m state --state NEW\,ESTABLISHED -j ACCEPT -N out_lan_ftp_s2 -A out_lan_ftp_s2 -p tcp --sport ftp --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -A out_lan_ftp_s2 -p tcp --sport ftp-data --dport 1024:65535 -m state --state ESTABLISHED\,RELATED -j ACCEPT -A out_lan_ftp_s2 -p tcp --sport 32768:61000 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -N in_lan_ftp_s2 -A in_lan_ftp_s2 -p tcp --sport 1024:65535 --dport ftp -m state --state NEW\,ESTABLISHED -j ACCEPT -A in_lan_ftp_s2 -p tcp --sport 1024:65535 --dport ftp-data -m state --state ESTABLISHED -j ACCEPT -A in_lan_ftp_s2 -p tcp --sport 1024:65535 --dport 32768:61000 -m state --state ESTABLISHED\,RELATED -j ACCEPT -N out_lan_ping_s1 -A out_lan_ping_s1 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT -N in_lan_ping_s1 -A in_lan_ping_s1 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT -N out_lan -A out_lan -j out_lan_ping_s1 -A out_lan -j out_lan_ftp_s2 -A out_lan -j out_lan_ssh_s3 -A out_lan -j out_lan_smtp_s4 -A out_lan -j out_lan_dns_s5 -A out_lan -j out_lan_http_s6 -A out_lan -j out_lan_pop3_s7 -A out_lan -j out_lan_all_c8 -A out_lan -j out_lan_irc_c9 -A out_lan -j out_lan_ftp_c10 -A out_lan -m state --state RELATED -j ACCEPT -A out_lan -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'OUT-lan\':\' -A out_lan -j DROP -N in_lan -A in_lan -j in_lan_ping_s1 -A in_lan -j in_lan_ftp_s2 -A in_lan -j in_lan_ssh_s3 -A in_lan -j in_lan_smtp_s4 -A in_lan -j in_lan_dns_s5 -A in_lan -j in_lan_http_s6 -A in_lan -j in_lan_pop3_s7 -A in_lan -j in_lan_all_c8 -A in_lan -j in_lan_irc_c9 -A in_lan -j in_lan_ftp_c10 -A in_lan -m state --state RELATED -j ACCEPT -A in_lan -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'IN-lan\':\' -A in_lan -j DROP -N out_world_ftp_c4 -A out_world_ftp_c4 -p tcp --sport 32768:61000 --dport ftp -m state --state NEW\,ESTABLISHED -j ACCEPT -A out_world_ftp_c4 -p tcp --sport 32768:61000 --dport ftp-data -m state --state ESTABLISHED -j ACCEPT -A out_world_ftp_c4 -p tcp --sport 32768:61000 --dport 1024:65535 -m state --state ESTABLISHED\,RELATED -j ACCEPT -N in_world_ftp_c4 -A in_world_ftp_c4 -p tcp --sport ftp --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -A in_world_ftp_c4 -p tcp --sport ftp-data --dport 32768:61000 -m state --state ESTABLISHED\,RELATED -j ACCEPT -A in_world_ftp_c4 -p tcp --sport 1024:65535 --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -N out_world_irc_c3 -A out_world_irc_c3 -p tcp --sport 32768:61000 --dport 6667 -m state --state NEW\,ESTABLISHED -j ACCEPT -N in_world_irc_c3 -A in_world_irc_c3 -p tcp --sport 6667 --dport 32768:61000 -m state --state ESTABLISHED -j ACCEPT -N out_world_all_c2 -A out_world_all_c2 -m state --state NEW\,ESTABLISHED -j ACCEPT -N in_world_all_c2 -A in_world_all_c2 -m state --state ESTABLISHED -j ACCEPT -N out_world_ping_s1 -A out_world_ping_s1 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT -N in_world_ping_s1 -A in_world_ping_s1 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT -N out_world -A out_world -j out_world_ping_s1 -A out_world -j out_world_all_c2 -A out_world -j out_world_irc_c3 -A out_world -j out_world_ftp_c4 -A out_world -m state --state RELATED -j ACCEPT -A out_world -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'OUT-world\':\' -A out_world -j DROP -N in_world -A in_world -j in_world_ping_s1 -A in_world -j in_world_all_c2 -A in_world -j in_world_irc_c3 -A in_world -j in_world_ftp_c4 -A in_world -m state --state RELATED -j ACCEPT -A in_world -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'IN-world\':\' -A in_world -j DROP -A FORWARD -i eth2 -o eth0 -j in_dmz2o -A FORWARD -i eth0 -o eth2 -j out_dmz2o -A FORWARD -i eth1 -o eth0 -j in_lan2o -A FORWARD -i eth0 -o eth1 -j out_lan2o -A FORWARD -i eth1 -o eth2 -j in_lan2dmz -A FORWARD -i eth2 -o eth1 -j out_lan2dmz -A FORWARD -m state --state RELATED -j ACCEPT -A FORWARD -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'PASS-unknown:\' -A FORWARD -j DROP -A OUTPUT -o eth0 -s 212.12.99.99 -j out_world -A OUTPUT -o eth1 -s 192.168.0.99 -j out_lan -A OUTPUT -o eth2 -s 192.168.1.2 -j out_dmz -A OUTPUT -m state --state RELATED -j ACCEPT -A OUTPUT -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'OUT-unknown:\' -A OUTPUT -j DROP -A INPUT -i eth0 -d 212.12.99.99 -j in_world -A INPUT -i eth1 -d 192.168.0.99 -j in_lan -A INPUT -i eth2 -d 192.168.1.2 -j in_dmz -A INPUT -m state --state RELATED -j ACCEPT -A INPUT -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'IN-unknown:\' -A INPUT -j DROP -P INPUT "${FIREHOL_INPUT_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-4033-5887-18831/firehol-out.sh.log 2>&1 -P OUTPUT "${FIREHOL_OUTPUT_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-4033-5887-18831/firehol-out.sh.log 2>&1 -P FORWARD "${FIREHOL_FORWARD_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-4033-5887-18831/firehol-out.sh.log 2>&1 -t nat -N nat.1 -t nat -A PREROUTING -i eth0 -p tcp -d 212.12.99.99 --dport 80 -j nat.1 -t nat -A nat.1 -p tcp -j DNAT --to-destination 192.168.1.3 -t nat -N nat.2 -t nat -A PREROUTING -i eth0 -p tcp -d 212.12.99.99 --dport 3389 -j nat.2 -t nat -A nat.2 -p tcp -j DNAT --to-destination 192.168.0.1 ===>8=== Сравниваем: ~90 строк у тебя, ~26 у меня в firehol - читать-писать проще (да - после освоения соотв.языка). По числу правил соотношение ~90 против ~250: принимаю за косвенный показатель %) качества набора правил. ---- [1] %-) # iptables -p icmp -h |awk '/^any/,/AAAA/{print $1}'|while read tp; do iptables -A tst -p icmp -m icmp --icmp-type $tp -j ACCEPT; echo "### $tp"; iptables-save |grep "\-A tst"; iptables -D tst -p icmp -m icmp --icmp-type $tp -j ACCEPT; done

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "оцените правила iptables"

Сообщение от reader (??) on 30-Июн-08, 23:37

>[оверквотинг удален] ># Отчищаем все правила в таблицах filter, nat и mangle >$IPTABLES -t filter -F >$IPTABLES -t nat -F >$IPTABLES -t mangle -F > ># Удаляем все пользовательские цепочки в таблицах filter, nat и mangle >$IPTABLES -t filter -X >$IPTABLES -t nat -X >$IPTABLES -t mangle -X > 1 ># Задаем политики по умолчанию >$IPTABLES -t filter -P INPUT ACCEPT >$IPTABLES -t filter -P FORWARD ACCEPT >$IPTABLES -t filter -P OUTPUT ACCEPT по мне так лучше DROP , так разная хитрость явно не разрешенная отвалится >[оверквотинг удален] >$IPTABLES -A FORWARD -i eth1 -o eth2 -j eth1-eth2 >$IPTABLES -A FORWARD -i eth2 -o eth1 -j eth2-eth1 >$IPTABLES -A FORWARD -i eth2 -o eth0 -j eth2-eth0 >$IPTABLES -A FORWARD -i eth0 -o eth2 -j eth0-eth2 > ># eth0-eth1. В данную цепочку попадают все транзитные пакеты, ># направленные из мира в локальную сеть. >$IPTABLES -A eth0-eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT >$IPTABLES -A eth0-eth1 -j DROP > 2 ># eth1-eth0. В данную цепочку попадают все транзитные пакеты, ># направленные из локальной сети в мир. >$IPTABLES -A eth1-eth0 -p icmp -j icmp_packets >$IPTABLES -A eth1-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT >$IPTABLES -A eth1-eth0 -j DROP не вижу чем разрешено начинать соединение (--state NEW) > ># eth1-eth2.В данную цепочку попадают все транзитные пакеты, ># направленные из локальной сети к web-серверу. >$IPTABLES -A eth1-eth2 -p icmp -j icmp_packets >$IPTABLES -A eth1-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT >$IPTABLES -A eth1-eth2 -j DROP так же нет правил для установки соединения >[оверквотинг удален] ># eth2-eth1.В данную цепочку попадают все транзитные пакеты, ># направленные от web-сервера к локальной сети. >$IPTABLES -A eth1-eth2 -p icmp -j icmp_packets >$IPTABLES -A eth1-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT >$IPTABLES -A eth1-eth2 -j DROP > ># eth2-eth0. В данную цепочку попадают все транзитные пакеты, ># направленные с web-сервера в мир. >$IPTABLES -A eth2-eth0 -p icmp -j icmp_packets >$IPTABLES -A eth2-eth0 -p tcp --dport 443 -j ACCEPT web-сервер будет обращаться на 443 порт или тут должно было быть с 443? >$IPTABLES -A eth2-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT >$IPTABLES -A eth2-eth0 -j DROP > ># eth0-eth2. В данную цепочку попадают все транзитные пакеты, ># направленные из мира к web-серверу. >$IPTABLES -A eth0-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT >$IPTABLES -A eth0-eth2 -j DROP где разрешение на установку соединения? > ># eth1-in. В данной цепочке открываем порты тех служб, которые ># должны быть доступны на сервере из локальной сети. >$IPTABLES -A eth1-in -p icmp -j icmp_packets >$IPTABLES -A eth1-in -p tcp --dport 20 -j ACCEPT >$IPTABLES -A eth1-in -p tcp --dport 21 -j ACCEPT >$IPTABLES -A eth1-in -p tcp --dport 22 -j ACCEPT >$IPTABLES -A eth1-in -p tcp --dport 25 -j ACCEPT >$IPTABLES -A eth1-in -p udp --dport 53 -j ACCEPT >$IPTABLES -A eth1-in -p tcp --dport 80 -j ACCEPT на шлюзе тоже web-сервер? >$IPTABLES -A eth1-in -p tcp --dport 110 -j ACCEPT >$IPTABLES -A eth1-in -j DROP а к squid-у разрешение? > ># eth2-in. В данной цепочке открываем порты тех служб, которые ># должны быть доступны на сервере с web-сервера. >$IPTABLES -A eth2-in -p icmp -j icmp_packets >$IPTABLES -A eth2-in -p udp --dport 53 -j ACCEPT >$IPTABLES -A eth2-in -p tcp --dport 80 -j ACCEPT web-сервер будет обращаться на 80 порт шлюза? >[оверквотинг удален] ># eth0-in. В данной цепочке открываем порты тех служб, которые ># должны быть доступны на сервере из мира. Например www, smtp, ftp > >$IPTABLES -A eth0-in -p icmp -j icmp_packets >$IPTABLES -A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT >$IPTABLES -A eth0-in -j DROP > ># eth1-out. >$IPTABLES -A eth1-out -p icmp -j icmp_packets >$IPTABLES -A eth1-out -p udp --dport 53 -j ACCEPT DNS сервер в локалке? >$IPTABLES -A eth1-out -p tcp -m multiport --dport 22,80,443 -j ACCEPT у вас в локалке еще есть web-сервер? >[оверквотинг удален] >$IPTABLES -A eth2-out -m state --state RELATED,ESTABLISHED -j ACCEPT >$IPTABLES -A eth2-out -j DROP > ># Производим сетевую трансляцию адресов (NAT) >$IPTABLES -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to-source >212.12.3.222 > ># web-сервер >$IPTABLES -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination >192.168.1.3:80 этим вы завернете абсолютно все запросы на 80 порт к себе на web, что бы избавиться укажите хотя бы адрес назначения, для локалки можно было бы с DNS отдать серый адрес web-сервера и тогда пакеты просто смаршрутизируются без проброса, но правила придется наверно поправить >$IPTABLES -t nat -A POSTROUTING -p tcp -d eth2 --dport 80 -j >SNAT --to-source eth1 если на web-сервере шлюзом провисан адрес eth2 и он в отдельной подсети, то помоему это лишнее и в логах web-сервера все обращения будут от лица шлюза. Тут и ниже eth1..2 должны были быть переменными? >$IPTABLES -t nat -A OUTPUT -d eth0 -p tcp --dport 80 -j >DNAT --to-destination eth2 это я не понял. пакеты уходящие со шлюза в мир на 80 порт переслать на web-сервер в DMZ? > ># проброс порта RDP для виндовых серваков >$IPTABLES -t nat -A PREROUTING –I eth0 -p tcp --dport 3389 -j >DNAT --to-destination 192.168.0.1:3389 > ># "Заварачиваем" весь http трафик на squid. >#$IPTABLES -t nat -A PREROUTING -s 192.168.1.0/24 -i eth1 -p tcp -m >multiport --dport #80,8080 -j REDIRECT --to-ports 3128 это лучше поднять выше, что бы было первым в -t nat -A PREROUTING это бегло, возможно где и ошибся

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "оцените правила iptables"
	Сообщение от izvorot (ok) on 01-Июл-08, 10:46
	>[оверквотинг удален] >>$IPTABLES -t nat -F >>$IPTABLES -t mangle -F >1 >># Задаем политики по умолчанию >>$IPTABLES -t filter -P INPUT ACCEPT >>$IPTABLES -t filter -P FORWARD ACCEPT >>$IPTABLES -t filter -P OUTPUT ACCEPT >по мне так лучше DROP , так разная хитрость явно не разрешенная >отвалится попробую обязательно-но не сейчас-сроки жмут-руководство уже зубы точит >[оверквотинг удален] >># направленные из мира в локальную сеть. >>$IPTABLES -A eth0-eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT >>$IPTABLES -A eth0-eth1 -j DROP >2 >># eth1-eth0. В данную цепочку попадают все транзитные пакеты, >># направленные из локальной сети в мир. >>$IPTABLES -A eth1-eth0 -p icmp -j icmp_packets >>$IPTABLES -A eth1-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT >>$IPTABLES -A eth1-eth0 -j DROP >не вижу чем разрешено начинать соединение (--state NEW) насколько понимаю мне необходимо выставить чтобы соединение было разрешено только из локалки в мир??из мира должны идти только эстаблишед пакеты? >web-сервер будет обращаться на 443 порт или тут должно было быть с >443? >>$IPTABLES -A eth2-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT >>$IPTABLES -A eth2-eth0 -j DROP >># eth0-eth2. В данную цепочку попадают все транзитные пакеты, >># направленные из мира к web-серверу. >>$IPTABLES -A eth0-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT >>$IPTABLES -A eth0-eth2 -j DROP 443 если не ошибаюсь это ssl? наверное тут таки Вы правы-сайт будет самый простой-там ssl не понадобится. >на шлюзе тоже web-сервер? >>$IPTABLES -A eth1-in -p tcp --dport 110 -j ACCEPT >>$IPTABLES -A eth1-in -j DROP хм..если я не открою на шлюзе 110-то как пойдет почта?почтовик,он же ДНС-находится в локалке >а к squid-у разрешение? >># eth2-in. В данной цепочке открываем порты тех служб, которые >># должны быть доступны на сервере с web-сервера. >>$IPTABLES -A eth2-in -p icmp -j icmp_packets >>$IPTABLES -A eth2-in -p udp --dport 53 -j ACCEPT >>$IPTABLES -A eth2-in -p tcp --dport 80 -j ACCEPT squid упустил :( >web-сервер будет обращаться на 80 порт шлюза? >># eth0-in. В данной цепочке открываем порты тех служб, которые >># должны быть доступны на сервере из мира. Например www, smtp, ftp >>$IPTABLES -A eth0-in -p icmp -j icmp_packets >>$IPTABLES -A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT >>$IPTABLES -A eth0-in -j DROP вот тут не разобрался-если из мира по ДНАТу лезут на веб-сервер-нужно ли еще что-то открывать? >># eth1-out. >>$IPTABLES -A eth1-out -p icmp -j icmp_packets >>$IPTABLES -A eth1-out -p udp --dport 53 -j ACCEPT >DNS сервер в локалке? Да.он же почтовик и много чего еще :( >>$IPTABLES -A eth1-out -p tcp -m multiport --dport 22,80,443 -j ACCEPT >у вас в локалке еще есть web-сервер? нет-изначально думал хитрым способом выпустить пользователей из  сети в обход прокси на веб-сервак.потом решил что мне особо не нужно прозрачное проксирование и прочие навороты.а правила не поправил. >># Производим сетевую трансляцию адресов (NAT) >>$IPTABLES -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j SNAT --to-source >>212.12.3.222 >># web-сервер >>$IPTABLES -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination >>192.168.1.3:80 >этим вы завернете абсолютно все запросы на 80 порт к себе на >web, что бы избавиться укажите хотя бы адрес назначения, для локалки >можно было бы с DNS отдать серый адрес web-сервера и тогда >пакеты просто смаршрутизируются без проброса, но правила придется наверно поправить Мне проще на iptables завернуть(если получится) >>$IPTABLES -t nat -A POSTROUTING -p tcp -d eth2 --dport 80 -j >>SNAT --to-source eth1 >если на web-сервере шлюзом прописан адрес eth2 и он в отдельной подсети, >то помоему это лишнее и в логах web-сервера все обращения будут >от лица шлюза. Тут и ниже eth1..2 должны были быть переменными? уточните пожалуйста-по поводу переменных(я скорее всего просто не досмотрел и вместо -i поставил -d) >>$IPTABLES -t nat -A OUTPUT -d eth0 -p tcp --dport 80 -j >>DNAT --to-destination eth2 >это я не понял. пакеты уходящие со шлюза в мир на 80 >порт переслать на web-сервер в DMZ? угу-правило неправильно составил >># проброс порта RDP для виндовых серваков >>$IPTABLES -t nat -A PREROUTING –I eth0 -p tcp --dport 3389 -j >>DNAT --to-destination 192.168.0.1:3389 >># "Заварачиваем" весь http трафик на squid. >>#$IPTABLES -t nat -A PREROUTING -s 192.168.1.0/24 -i eth1 -p tcp -m >>multiport --dport #80,8080 -j REDIRECT --to-ports 3128 >это лучше поднять выше, что бы было первым в -t nat -A >PREROUTING подниму-над каким правилом лучше? >это бегло, возможно где и ошибся большое спасибо и на этом беглом-много ошибок показали.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "оцените правила iptables"
	Сообщение от reader (??) on 01-Июл-08, 23:49
	>[оверквотинг удален] >>>$IPTABLES -A eth0-eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT >>>$IPTABLES -A eth0-eth1 -j DROP >>2 >>># eth1-eth0. В данную цепочку попадают все транзитные пакеты, >>># направленные из локальной сети в мир. >>>$IPTABLES -A eth1-eth0 -p icmp -j icmp_packets >>>$IPTABLES -A eth1-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT >>>$IPTABLES -A eth1-eth0 -j DROP >>не вижу чем разрешено начинать соединение (--state NEW) > 1 >насколько понимаю мне необходимо выставить чтобы соединение было разрешено только из локалки >в мир??из мира должны идти только эстаблишед пакеты? да. а для DMZ в сторону web-сервера. > >>web-сервер будет обращаться на 443 порт или тут должно было быть с >>443? >>>$IPTABLES -A eth2-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT >>>$IPTABLES -A eth2-eth0 -j DROP >>># eth0-eth2. В данную цепочку попадают все транзитные пакеты, >>># направленные из мира к web-серверу. >>>$IPTABLES -A eth0-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT >>>$IPTABLES -A eth0-eth2 -j DROP > 1 >443 если не ошибаюсь это ssl? наверное тут таки Вы правы-сайт будет >самый простой-там ssl >не понадобится. я имел ввиду почему порт 443 значится как порт назначения, хотя направление от web в мир. > >>на шлюзе тоже web-сервер? >>>$IPTABLES -A eth1-in -p tcp --dport 110 -j ACCEPT >>>$IPTABLES -A eth1-in -j DROP > 1 >хм..если я не открою на шлюзе 110-то как пойдет почта?почтовик,он же ДНС-находится >в локалке если ДНС и почтовик в локалке значит через FORWARD, а не через INPUT >[оверквотинг удален] > >>web-сервер будет обращаться на 80 порт шлюза? >>># eth0-in. В данной цепочке открываем порты тех служб, которые >>># должны быть доступны на сервере из мира. Например www, smtp, ftp >>>$IPTABLES -A eth0-in -p icmp -j icmp_packets >>>$IPTABLES -A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT >>>$IPTABLES -A eth0-in -j DROP > >вот тут не разобрался-если из мира по ДНАТу лезут на веб-сервер-нужно ли >еще что-то открывать? по идее пакеты, после DNAT, пойдут уже через FORWARD >[оверквотинг удален] > >Да.он же почтовик и много чего еще :( > >>>$IPTABLES -A eth1-out -p tcp -m multiport --dport 22,80,443 -j ACCEPT >>у вас в локалке еще есть web-сервер? > >нет-изначально думал хитрым способом выпустить пользователей из  сети в обход прокси >на веб-сервак.потом решил что мне особо не нужно прозрачное проксирование и >прочие навороты.а правила не поправил. > 1 >[оверквотинг удален] >>>212.12.3.222 >>># web-сервер >>>$IPTABLES -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination >>>192.168.1.3:80 >>этим вы завернете абсолютно все запросы на 80 порт к себе на >>web, что бы избавиться укажите хотя бы адрес назначения, для локалки >>можно было бы с DNS отдать серый адрес web-сервера и тогда >>пакеты просто смаршрутизируются без проброса, но правила придется наверно поправить > >Мне проще на iptables завернуть(если получится) дело вкуса, только при такой последовательности правил и при таком виде самого правила вы завернете и все запросы из локалки в мир к себе на web > 1 >>>$IPTABLES -t nat -A POSTROUTING -p tcp -d eth2 --dport 80 -j >>>SNAT --to-source eth1 >>если на web-сервере шлюзом прописан адрес eth2 и он в отдельной подсети, >>то помоему это лишнее и в логах web-сервера все обращения будут >>от лица шлюза. Тут и ниже eth1..2 должны были быть переменными? > >уточните пожалуйста-по поводу переменных(я скорее всего просто не досмотрел и вместо -i >поставил -d) если я не отстал от жизни , то в --to-source интерфейс не указывается. для простоты редактирования скрипта, в случай изменения адресов, вместо конкретных адресов, лучше использовать переменные, только читабельные :) >[оверквотинг удален] >>>$IPTABLES -t nat -A OUTPUT -d eth0 -p tcp --dport 80 -j >>>DNAT --to-destination eth2 >>это я не понял. пакеты уходящие со шлюза в мир на 80 >>порт переслать на web-сервер в DMZ? > >угу-правило неправильно составил > >>># проброс порта RDP для виндовых серваков >>>$IPTABLES -t nat -A PREROUTING –I eth0 -p tcp --dport 3389 -j >>>DNAT --to-destination 192.168.0.1:3389 1 >>># "Заварачиваем" весь http трафик на squid. >>>#$IPTABLES -t nat -A PREROUTING -s 192.168.1.0/24 -i eth1 -p tcp -m >>>multiport --dport #80,8080 -j REDIRECT --to-ports 3128 >>это лучше поднять выше, что бы было первым в -t nat -A >>PREROUTING > >подниму-над каким правилом лучше? по мне так самым первым для NAT > >>это бегло, возможно где и ошибся > >большое спасибо и на этом беглом-много ошибок показали.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "оцените правила iptables"
	Сообщение от izvorot (??) on 02-Июл-08, 10:42
	>>насколько понимаю мне необходимо выставить чтобы соединение было разрешено только из локалки >>в мир??из мира должны идти только эстаблишед пакеты? >да. а для DMZ в сторону web-сервера. сделал >>443 если не ошибаюсь это ssl? наверное тут таки Вы правы-сайт будет >>самый простой-там ssl >>не понадобится. >я имел ввиду почему порт 443 значится как порт назначения, хотя направление >от web в мир. убрал вообще 443. >>хм..если я не открою на шлюзе 110-то как пойдет почта?почтовик,он же ДНС-находится >>в локалке >если ДНС и почтовик в локалке значит через FORWARD, а не через INPUT будьте добры напишите как это должно выглядеть? >>>># web-сервер >>>>$IPTABLES -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination >>>>192.168.1.3:80 >>Мне проще на iptables завернуть(если получится) >дело вкуса, только при такой последовательности правил и при таком виде самого >правила вы завернете и все запросы из локалки в мир к >себе на web я заверну все запросы с 80 порта?я рассчитываю так-все запросы в мир идут через прокси-а в самом браузере поставлю чтобы на сайт который крутится у меня лезли без прокси-в результате чего их прокинет на 80 порт веб-сервера.рассчет верен? >[оверквотинг удален] >>>>SNAT --to-source eth1 >>>если на web-сервере шлюзом прописан адрес eth2 и он в отдельной подсети, >>>то помоему это лишнее и в логах web-сервера все обращения будут >>>от лица шлюза. Тут и ниже eth1..2 должны были быть переменными? >>уточните пожалуйста-по поводу переменных(я скорее всего просто не досмотрел и вместо -i >>поставил -d) >если я не отстал от жизни , то в --to-source интерфейс не >указывается. >для простоты редактирования скрипта, в случай изменения адресов, вместо конкретных >адресов, лучше >использовать переменные, только читабельные :) заменил интерфейсы на адреса >>>># "Заварачиваем" весь http трафик на squid. >>>>#$IPTABLES -t nat -A PREROUTING -s 192.168.1.0/24 -i eth1 -p tcp -m >>>>multiport --dport #80,8080 -j REDIRECT --to-ports 3128 >>>это лучше поднять выше, что бы было первым в -t nat -A >>>PREROUTING >>подниму-над каким правилом лучше? >по мне так самым первым для NAT поднял
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "оцените правила iptables"
	Сообщение от reader (??) on 03-Июл-08, 00:08
	>>>хм..если я не открою на шлюзе 110-то как пойдет почта?почтовик,он же ДНС-находится >>>в локалке >>если ДНС и почтовик в локалке значит через FORWARD, а не через INPUT > >будьте добры напишите как это должно выглядеть? так же как вы и делали $IPTABLES -A eth0-eth1 .... или к ним тоже проброс будет? >[оверквотинг удален] >>>>>192.168.1.3:80 >>>Мне проще на iptables завернуть(если получится) >>дело вкуса, только при такой последовательности правил и при таком виде самого >>правила вы завернете и все запросы из локалки в мир к >>себе на web > >я заверну все запросы с 80 порта?я рассчитываю так-все запросы в мир >идут через прокси-а в самом браузере поставлю чтобы на сайт который >крутится у меня лезли без прокси-в результате чего их прокинет на >80 порт веб-сервера.рассчет верен? так вы и так всю локалку заварачиваете на squid, если подняли правило $IPTABLES -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 -i eth1 -m multiport --dport 80,8080 -j REDIRECT --to-ports 3128. добавте в него -d ! IP_WEB_который отдает DNS , что бы к веб-серверу ходили мимо squid. только локалка у вас я так понимаю 192.168.0.0/24, тогда для чего было это правило? может так? тогда локалку идущую в мир завернуть на squid, что бы не бегать по клиентам и не пытать их какой браузер они используют. $IPTABLES -t nat -A PREROUTING -p tcp -i eth1 -d ! IP_WEB_который отдает DNS -m multiport --dport 80,8080 -j REDIRECT --to-ports 3128. если хотите пробрасываете локалку идущую на ваш веб $IPTABLES -t nat -A PREROUTING -p tcp -i eth1 -d IP_WEB_который отдает DNS --dport 80 -j DNAT --to-destination 192.168.1.3:80 пришедние из мира на 80 порт пробрасываются в DMZ. $IPTABLES -t nat -A PREROUTING -p tcp -i eth0 -d 212.12.XX.XX --dport 80 -j DNAT --to-destination 192.168.1.3:80
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "оцените правила iptables"
	Сообщение от izvorot (??) on 03-Июл-08, 16:18
	reader-большое спасибо за помощь-завтра после работы буду менять шлюз-про результат отпишусь.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "оцените правила iptables"
	Сообщение от izvorot (??) on 07-Июл-08, 10:19
	появилась еще одна загвоздка.о ней поподробнее: имеем 3 компа(они пока что не заведены в домен и висят отдельно)-шлюз(с 3мя сетевыми eth0-смотрит в инет,eth1-смотрит в локальную сеть,eth2-смотрит на web-сервер). -ноутбук-выступает в роли клиента локальной сети(висит на eth1 шлюза,данные   IP-192.168.0.112,mask-255.255.255.0) -web-сервер-висит на eth2 шлюза,данные (IP-192.168.1.3,mask-255.255.255.0). Суть проблемы-не могу с нотика пингануть web-сервер и наоборот.Хотя с нотика eth2 пингую и с web-сервера пингую eth1. Подозрений где мог налажать уйма(начиная от того что ДНС таки нужно поднять и заканчивая что с маской пролетел)-на данный момент работаю над решением-но если можно подскажите.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "вила iptables"
	Сообщение от Andrey Mitrofanov on 07-Июл-08, 12:20
	>Суть проблемы-не могу с нотика пингануть web-сервер и наоборот. (1) >Хотя с нотика eth2 пингую и с web-сервера пингую eth1. (2) >Подозрений где мог налажать уйма >(начиная от того что ДНС таки нужно поднять Пока пингуешь по _адресам_ - не нужно. Для пингов. >и заканчивая что с маской пролетел) Если маски на интерфейсах в одном сегменте/сети одинаковые, то вроде, там и напутать больше нечего (ну, в роутинге ещё, если на отдельные подсети руками роутинг пишешь; но в твоём примере, вроде, default gateway достаточно - из всего роутинга; +то, что при поднятии интерфейса "само прописывается"), и на пинги не влияет, вроде (ну, ((2)) выше^^^ не работало бы, наверное). Расказываю: пакеты в случаях ((1)) идут в цепочку INPUT на роутере, ответы - "из" цепочки OUTPUT. В случаях ((2)) -- и те, и другие - через цепочку FORWARD. Пинги через роутер -->здесь! http://www.opennet.ru/openforum/vsluhforumID10/3779.html#4 Названия интерфейсов измененны, чтобы защитить %) невиновных. Доавлен NAT, чтобы запутать... B-) непосвящённых! Конфигурация firehol приведена полностью, чтобы вызывать суеверный :-P ужас в сердцах тех, кто пишет правила iptables "руками". ;-)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "вила iptables"
	Сообщение от reader (ok) on 07-Июл-08, 12:48
	показывайте iptables-save, что у вас там на сегодня
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "вила iptables"
	Сообщение от izvorot (??) on 07-Июл-08, 15:49
	>показывайте iptables-save, что у вас там на сегодня я не ставил еще чтобы по умолчанию файервол подхватывал правила-после загрузки он чистый.но и при подгруженных правилах пинг не проходит.может проблема в маршрутизации?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "вила iptables"
	Сообщение от reader (??) on 07-Июл-08, 21:55
	>>показывайте iptables-save, что у вас там на сегодня > >я не ставил еще чтобы по умолчанию файервол подхватывал правила-после загрузки он >чистый.но и при подгруженных правилах пинг не проходит.может проблема в маршрутизации? > при загрузки точно никаких правил по умолчанию не грузится, какой ответ на iptables-save? если думаете на маршрутизацию, показывайте еще ifconfig и route -n, а также какие адреса указываете в ping
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	17. "вила iptables"
	Сообщение от izvorot (??) on 08-Июл-08, 10:54
	>>>показывайте iptables-save, что у вас там на сегодня >> >>я не ставил еще чтобы по умолчанию файервол подхватывал правила-после загрузки он >>чистый.но и при подгруженных правилах пинг не проходит.может проблема в маршрутизации? >> > >при загрузки точно никаких правил по умолчанию не грузится, какой ответ на >iptables-save? >если думаете на маршрутизацию, показывайте еще ifconfig и route -n, а также >какие адреса указываете в ping #route -n Kernel IP routing table Destination     Gateway         Genmask         Flags Metric Ref    Use Iface 192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 eth2 хх.хх.хх.0      0.0.0.0         255.255.255.0   U     0      0        0 eth0 169.254.0.0     0.0.0.0         255.255.0.0     U     0      0        0 eth2 192.168.0.0     0.0.0.0         255.255.0.0     U     0      0        0 eth1
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	19. "вила iptables"
	Сообщение от reader (ok) on 08-Июл-08, 11:32
	>[оверквотинг удален] >0      0     >   0 eth0 >169.254.0.0     0.0.0.0       >  255.255.0.0     U     > 0      0     >    0 eth2 >192.168.0.0     0.0.0.0       >  255.255.0.0     U     > 0      0     >    0 eth1 у вас для 192.168.0.0 маска 16, измените на 24
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "Доктор?! Меня все игнорируют?"
	Сообщение от Andrey Mitrofanov on 07-Июл-08, 22:23
	>Конфигурация firehol приведена полностью, Как я вас достал со "своим" файерхолом... > ;-)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "Доктор?! Меня все игнорируют?"
	Сообщение от reader (ok) on 08-Июл-08, 10:08
	>>Конфигурация firehol приведена полностью, > >Как я вас достал со "своим" файерхолом... > >> ;-) :) , ну незнаю, может попробуете ручками, для вас , я думаю будет не сложно. а по теме , возможно бональное и многими забываемое echo 1 > /proc/sys/net/ipv4/ip_forward
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	16. "Доктор?! Меня все игнорируют?"
	Сообщение от izvorot (??) on 08-Июл-08, 10:50
	>[оверквотинг удален] >> >>Как я вас достал со "своим" файерхолом... >> >>> ;-) > >:) , ну незнаю, может попробуете ручками, для вас , я думаю >будет не сложно. > >а по теме , возможно бональное и многими забываемое >echo 1 > /proc/sys/net/ipv4/ip_forward echo 1 > /proc/sys/net/ipv4/ip_forward -ставил не помогло :( может с маской наумничал? eth1-192.168.0.200/24 на ней висит нотик 192.168.0.112/24 eth2-192.168.1.2/24 на ней веб 192.168.1.3/24 хотя в инете по примерам такие сети типа маршрутизируют.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	18. "Доктор?! Меня все игнорируют?"
	Сообщение от reader (ok) on 08-Июл-08, 11:23
	>[оверквотинг удален] >>будет не сложно. >> >>а по теме , возможно бональное и многими забываемое >>echo 1 > /proc/sys/net/ipv4/ip_forward > >echo 1 > /proc/sys/net/ipv4/ip_forward -ставил не помогло :( >может с маской наумничал? >eth1-192.168.0.200/24 на ней висит нотик 192.168.0.112/24 >eth2-192.168.1.2/24 на ней веб 192.168.1.3/24 >хотя в инете по примерам такие сети типа маршрутизируют. если ноут общается со шлюзом и веб общается со шлюзом, значит с масками все нормально
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	20. "Пинг"
	Сообщение от izvorot (??) on 08-Июл-08, 11:38
	>>может с маской наумничал? >>eth1-192.168.0.200/24 на ней висит нотик 192.168.0.112/24 >>eth2-192.168.1.2/24 на ней веб 192.168.1.3/24 >>хотя в инете по примерам такие сети типа маршрутизируют. > >если ноут общается со шлюзом и веб общается со шлюзом, значит с >масками все нормально #iptables-save # Generated by iptables-save v1.3.8 on Tue Jul  8 10:20:34 2008 *mangle :PREROUTING ACCEPT [88:8888] :INPUT ACCEPT [88:8888] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [82:25035] :POSTROUTING ACCEPT [50:5249] COMMIT # Completed on Tue Jul  8 10:20:34 2008 # Generated by iptables-save v1.3.8 on Tue Jul  8 10:20:34 2008 *nat :PREROUTING ACCEPT [5:612] :POSTROUTING ACCEPT [3:189] :OUTPUT ACCEPT [35:19975] -A PREROUTING -d xx.xx.162.222 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.1:3389 -A PREROUTING -d xx.xx.163.222 -i eth0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.3:80 -A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth0 -j SNAT --to-source xx.xx.163.222 -A POSTROUTING -d 192.168.0.3 -p tcp -m tcp --dport 80 -j SNAT --to-source 192.168.0.200 COMMIT # Completed on Tue Jul  8 10:20:34 2008 # Generated by iptables-save v1.3.8 on Tue Jul  8 10:20:34 2008 *filter :INPUT ACCEPT [30:4272] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] :eth0-eth1 - [0:0] :eth0-eth2 - [0:0] :eth0-in - [0:0] :eth0-out - [0:0] :eth1-eth0 - [0:0] :eth1-eth2 - [0:0] :eth1-in - [0:0] :eth1-out - [0:0] :eth2-eth0 - [0:0] :eth2-eth1 - [0:0] :eth2-in - [0:0] :eth2-out - [0:0] :icmp_packets - [0:0] -A INPUT -d xx.xx.163.222 -j eth0-in -A INPUT -d 192.168.0.200 -j eth1-in -A INPUT -d 192.168.0.2 -j eth2-in -A INPUT -i lo -j ACCEPT -A FORWARD -i eth0 -o eth1 -j eth0-eth1 -A FORWARD -i eth1 -o eth0 -j eth1-eth0 -A FORWARD -i eth1 -o eth2 -j eth1-eth2 -A FORWARD -i eth2 -o eth1 -j eth2-eth1 -A FORWARD -i eth2 -o eth0 -j eth2-eth0 -A FORWARD -i eth0 -o eth2 -j eth0-eth2 -A OUTPUT -s xx.xx.163.222 -j eth0-out -A OUTPUT -s 192.168.0.200 -j eth1-out -A OUTPUT -s 192.168.0.2 -j eth2-out -A OUTPUT -o lo -j ACCEPT -A eth0-eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT -A eth0-eth1 -j DROP -A eth0-eth2 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A eth0-eth2 -j DROP -A eth0-in -p icmp -j icmp_packets -A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT -A eth0-in -j DROP -A eth0-out -p icmp -j icmp_packets -A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT -A eth0-out -j DROP -A eth1-eth0 -p icmp -j icmp_packets -A eth1-eth0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A eth1-eth0 -j DROP -A eth1-eth2 -p icmp -j ACCEPT -A eth1-eth2 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A eth1-eth2 -j DROP -A eth1-eth2 -p icmp -j ACCEPT -A eth1-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT -A eth1-eth2 -j DROP -A eth1-in -p icmp -j icmp_packets -A eth1-in -p tcp -m tcp --dport 20 -j ACCEPT -A eth1-in -p tcp -m tcp --dport 21 -j ACCEPT -A eth1-in -p tcp -m tcp --dport 22 -j ACCEPT -A eth1-in -p tcp -m tcp --dport 25 -j ACCEPT -A eth1-in -p udp -m udp --dport 53 -j ACCEPT -A eth1-in -p tcp -m tcp --dport 8080 -j ACCEPT -A eth1-in -p tcp -m tcp --dport 110 -j ACCEPT -A eth1-in -j DROP -A eth1-out -p icmp -j icmp_packets -A eth1-out -p udp -m udp --dport 53 -j ACCEPT -A eth1-out -p tcp -m multiport --dports 22,80 -j ACCEPT -A eth1-out -m state --state RELATED,ESTABLISHED -j ACCEPT -A eth1-out -j DROP -A eth2-eth0 -p icmp -j icmp_packets -A eth2-eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT -A eth2-eth0 -j DROP -A eth2-in -p icmp -j icmp_packets -A eth2-in -p udp -m udp --dport 53 -j ACCEPT -A eth2-in -p tcp -m tcp --dport 80 -j ACCEPT -A eth2-in -j DROP -A eth2-out -p icmp -j icmp_packets -A eth2-out -m state --state RELATED,ESTABLISHED -j ACCEPT -A eth2-out -j DROP -A icmp_packets -p icmp -m icmp --icmp-type 0 -j ACCEPT -A icmp_packets -p icmp -m icmp --icmp-type 3 -j ACCEPT -A icmp_packets -p icmp -m icmp --icmp-type 8 -j ACCEPT -A icmp_packets -p icmp -m icmp --icmp-type 11 -j ACCEPT COMMIT # Completed on Tue Jul  8 10:20:34 2008
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	21. "Пинг"
	Сообщение от reader (ok) on 08-Июл-08, 12:15
	>[оверквотинг удален] >-A eth0-eth2 -j DROP >-A eth0-in -p icmp -j icmp_packets >-A eth0-in -m state --state RELATED,ESTABLISHED -j ACCEPT >-A eth0-in -j DROP >-A eth0-out -p icmp -j icmp_packets >-A eth0-out -m state --state RELATED,ESTABLISHED -j ACCEPT >-A eth0-out -j DROP >-A eth1-eth0 -p icmp -j icmp_packets >-A eth1-eth0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT >-A eth1-eth0 -j DROP 1 >-A eth1-eth2 -p icmp -j ACCEPT >-A eth1-eth2 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT >-A eth1-eth2 -j DROP тут наверно должно быть eth2-eth1 >-A eth1-eth2 -p icmp -j ACCEPT >-A eth1-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT >-A eth1-eth2 -j DROP на пинг наверно это не должно было повлиять, почему у 192.168.0.0 маска 16, а не 24 в таблице маршрутизации?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	22. "Пинг"
	Сообщение от izvorot (??) on 08-Июл-08, 12:38
	>тут наверно должно быть eth2-eth1 >>-A eth1-eth2 -p icmp -j ACCEPT >>-A eth1-eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT >>-A eth1-eth2 -j DROP исправил >на пинг наверно это не должно было повлиять, >почему у 192.168.0.0 маска 16, а не 24 в таблице маршрутизации? по умолчанию она идет такой-пытаюсь исправить -удалил -добавить отвечает #route add -net 192.168.0.0. netmask 255.255.255.0 SIOCADDRT: Нет такого устройства :(
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	23. "Пинг"
	Сообщение от izvorot (??) on 08-Июл-08, 13:30
	добавил 24 вместо 16 -не помогло
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	24. "Пинг"
	Сообщение от reader (ok) on 08-Июл-08, 14:01
	>добавил 24 вместо 16 -не помогло если при загрузке маска 16, значит в настройках интерфейса так прописано. "не помогло" -  это значит ping 192.168.1.2 проходит, а ping 192.168.1.3 - нет? если так, то в iptables загрузите только политики по-умолчанию с ACCEPT, сделайте echo 1 > /proc/sys/net/ipv4/ip_forward, и проверьте ping 192.168.1.3 с ноута если и после этого не заработает, то вынужден буду спросить, а шлюзом на ноуте и вебе какой адрес указан.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	25. "Пинг"
	Сообщение от izvorot (??) on 08-Июл-08, 17:09
	УРАААААААА!Есть жизнь на Марсе!!!все заработало!Большущее спасибо за оказанную помощь.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	15. "Доктор?! Меня все игнорируют?"
	Сообщение от izvorot (??) on 08-Июл-08, 10:24
	>>Конфигурация firehol приведена полностью, > >Как я вас достал со "своим" файерхолом... > >> ;-) Каждый из нас пытается решить свои маленькие проблемки на форуме.Андрей Вы меня нисколько не достали,а не отвечаю лишь потому что не могу разобраться со своими проблемками.А файервол - это дело религии,если Вам удобнее то чем Вы пользуетесь-на здоровье.я глядя на скрипт Вашего файервола действительно испытываю "суеверный ужас".если можите помогите мне с иптаблесом -ну а нет-то уж не обессудьте :)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]