Firewall(Shorewall) схема

[zvdaniel 0]

Итак имеется Файрвол Shorewall.

четыре зоны(интерфейса)

loc(eth0) - локальная сетка

net(ppp0) - PPPoE aDSL соединение с наземным провайдером

vpn(gre1) - туннель до спутникого канала (туда только запросы, обратного траффика нет)

dvb(dvb0_0) - dvb тюннер, прием всего что запросили по туннелю..(только прием, отправки нету)

 

задача такая: без авторизации не пускать ни в интет ни в самбу

после авторизации давать и то и другое

админу дать доступ к ssh и самбе без авторизации

 

файрвол значит я настраиваю так:

даю доступ админу (в rules прописываю)

задаю политику (policy) dvb->loc ACCEPT

правильно ли я делаю? ведь по тарелке пришлеться только то что запросил пользователь, а если по умолчанию у него нет доступа к туннелю то соотвесвенно по тарелке он ничего не получит

 

в скрипте OnConnect

я должен дать доступ только на туннель?

можно ли примерчик чтобы дать пользователям доступ только на 21,25,110,80,443 порт

это сделать так:?

iptables -t filter -a INPUT -s $ip -o gre1 -p tcp -m multiport --destination-port 21,25,80,110 -j ACCEPT

iptables -t filter -a FORWARD -s $ip -o gre1 -p tcp -m multiport --destination-port 21,25,80,110 -j ACCEPT

 

нужны ли мне iptables -t filter -a FORWARD -d $ip -j ACCEPT(если у меня политика по умолчанию стоит с dvb карты принимать все)

и сотвесвенно iptables -t filter -a OUTPUT -d $ip -j ACCEPT ?

 

подойдет ли стандарный скрипт удаления правил onDisconnect(который в примере настройки под линукс) для этой ситуации?

этот:

 

#!/bin/bash

ip=$2

 

iptables -t filter -D INPUT -s $ip -j ACCEPT

while [ $? -eq 0 ]

do

iptables -t filter -D INPUT -s $ip -j ACCEPT

done

 

##################################

 

iptables -t filter -D FORWARD -s $ip -j ACCEPT

while [ $? -eq 0 ]

do

iptables -t filter -D FORWARD -s $ip -j ACCEPT

done

 

##################################

 

iptables -t filter -D FORWARD -d $ip -j ACCEPT

while [ $? -eq 0 ]

do

iptables -t filter -D FORWARD -d $ip -j ACCEPT

done

 

##################################

 

iptables -t filter -D OUTPUT -d $ip -j ACCEPT

while [ $? -eq 0 ]

do

iptables -t filter -D OUTPUT -d $ip -j ACCEPT