правила

[anton 0]

вопрос такой: есть сетка 192.168.2.0, сервер 192.168.2.1+FTP+WWW нужно считать локальный трафик.

STG2 сиситема ASPLinux 9.2

[Doozer 0]

TCP_UDP 192.168.2.1:21 DIR0

TCP_UDP 192.168.2.1:80 DIR0

 

Или я не поняфф вопроса...

[anton 0]

это понятно. вопрос по правилам iptables, чтобы можно было отключать пользователей от локальных серверов при пустом щете

[Doozer 0]

От блин, а спрашивать нормально?

(я смотрю и думаю, какие ещё могут быть правила? - Форум -> Stargazer -> Вопросы -> правила, помогите создать правила)

 

Тебе OnConnect надо или чё? какие правила iptables тебе надо? на севере глобально, под старгейзера, под юзерей?

 

PS. старая мудрость гласит: Грамотно заданый вопрос - это уже половина ответа.

[anton 0]

понял...

1. какие правила вставить в iptables которые запускаются при загрузке системы?

2. какие правила вставить в ondisconect для сбрасывания правил но чтобы конектится авторизатором и SSH?

3. какие правила вставить в onconnect для разрешения пользователям входить на локальные адреса.

 

наверно теперь правильно изложил свой вопрос.

[Doozer 0]

1. в зависимости от того - куда смотрит машина. если на ней нет ничего кроме WEB+FTP тогда закрывай нафик всё кроме этого (не забудь открыть 22, 25, 53, 110 для твоего адреса, 5554 и 5555 для всех)

 

3. разрешение на доступ к 21 и 80 порту для IP адреса подключившегося через STG

 

2. удаление правила для IP адреса подключившегося через STG

 

IPTables Manual - http://www.opennet.ru/docs/RUS/iptables/index.html

 

так как у тебя могут быть тонкости (например привязка к MAC или какой нить мега маскарад) то лучше воспользоваться мануалом.

[anton 0]

Doozer, может тебе кинуть свой iptables для сети он настроен но исходя из него нужно остальные правила построить, может чтонибуть подскажешь что в OnDisconnect и OnConnect прописать?

а мануал я уже распечатываю еще пригодится, но время поджимает.

[anton 0]

вот мой iptables, может кто что посоветует:

 

 

*filter

:INPUT ACCEPT [0:0]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [0:0]

:RH-Lokkit-0-50-INPUT - [0:0]

-A INPUT -j RH-Lokkit-0-50-INPUT

-A FORWARD -j RH-Lokkit-0-50-INPUT

# SSH

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp -d 192.168.2.1 --dport 22 --syn -j ACCEPT

# SMTP

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp -d 192.168.2.3 --dport 25 --syn -j ACCEPT

# WEB

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 80 --syn -j ACCEPT

# FTP

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp -d 192.168.2.6 --dport 21 --syn -j ACCEPT

# POP3

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp -d 192.168.2.3 --dport 110 --syn -j ACCEPT

# DNS

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 53 --syn -j ACCEPT

# WEBMIN

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 10000 --syn -j ACCEPT

# WEB SSL

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 443 --syn -j ACCEPT

# DNS

-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 53 -j ACCEPT

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 53 -j ACCEPT

-A RH-Lokkit-0-50-INPUT -p udp -m udp -s 0/0 --sport 67:68 -d 0/0 --dport 67:68 -i eth0 -j ACCEPT

-A RH-Lokkit-0-50-INPUT -p udp -m udp -s 0/0 --sport 67:68 -d 0/0 --dport 67:68 -i eth1 -j ACCEPT

-A RH-Lokkit-0-50-INPUT -i lo -j ACCEPT

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 0:1023 --syn -j REJECT

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 2049 --syn -j REJECT

-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 0:1023 -j REJECT

-A RH-Lokkit-0-50-INPUT -p udp -m udp --dport 2049 -j REJECT

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 6000:6009 --syn -j REJECT

-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 7100 --syn -j REJECT

COMMIT

[Doozer 0]

да запросто.

Кидай приватом.

 

Попробуем тебе подмогнуть.

[anton 0]

наверно нет до меня никому дела, тишина в топике или все решают этот вопрос?

[Doozer 0]

iptanles -A RH-Lokkit-0-50-INPUT -p tcp -m tcp -s $IP --dport 80 --syn -j ACCEPT

iptanles -A RH-Lokkit-0-50-INPUT -p tcp -m tcp -s $IP --dport 21 --syn -j ACCEPT

 

и так далее... пройдись по партам

 

а на дисконнект тоже мамое но -D

 

PS... только наскольео я понял у тебя по дефолту разрешен коннект кому угодно... закрой его.

[anton 0]

каким образом и где

[Doozer 0]

STG скрипты:

 

OnConnect и OnDisconnect

[DeadOff 0]

Посмотри правила в примерах для СТГ1, там в фёрсте всё прекрасно нарисовано, он принципиально не отличается

[anton 0]

но не отключает , скрипт OnDisconnect срабатывает. вот что в OnDisconnect:

 

LOGIN=$1

IP=$2

CASH=$3

ID=$4

iptables -D RH-Lokkit-0-50-INPUT -p tcp -m tcp -s $2 -d 192.168.2.3 --dport 25 --syn -j ACCEPT

iptables -D RH-Lokkit-0-50-INPUT -p tcp -m tcp -s $2 -d 192.168.2.3 --dport 110 --syn -j ACCEPT

iptables -D RH-Lokkit-0-50-INPUT -p tcp -m tcp -s $2 --dport 80 --syn -j ACCEPT

iptables -D RH-Lokkit-0-50-INPUT -p tcp -m tcp -s $2 --dport 443 --syn -j ACCEPT

iptables -D RH-Lokkit-0-50-INPUT -p tcp -m tcp -s $2 -d 192.168.2.6 --dport 21 --syn -j ACCEPT

echo "Disconnect login='$LOGIN' ip=$IP cash=$CASH" >> /tmp/qqq

 

 

может опять что нитак прописал.

[Doozer 0]

а попробуй не через RH-Lokkit-0-50-INPUT, а через простой INPUT

[anton 0]

у когонибуть старгазер стоит под ASPLinux 9.x.

киньте свои скрипты посмотреть.

 

на данный момент удалил правило при загрузке системы для разрешения на 80 порт, но всеравно OnConnect не включяет его.

помогите...

[anton 0]

теперь вообще отключил загрузку iptables, поднимаю фаервол через first, вот что там:

 

iptables -t mangle -F

iptables -t mangle -X

 

iptables -t nat -F

iptables -t nat -X

 

 

iptables -t mangle -P PREROUTING DROP

iptables -t mangle -P OUTPUT DROP

 

#ICMP .

iptables -t mangle -A PREROUTING -p icmp -j ACCEPT

iptables -t mangle -A OUTPUT -p icmp -j ACCEPT

 

# DNS.

iptables -t mangle -A PREROUTING -p udp --dport 53 -j ACCEPT

iptables -t mangle -A OUTPUT -p udp --sport 53 -j ACCEPT

iptables -t mangle -A PREROUTING -p tcp --dport 53 -j ACCEPT

iptables -t mangle -A OUTPUT -p tcp --sport 53 -j ACCEPT

 

 

# авторизатор.

iptables -t mangle -A PREROUTING -p udp -s 0.0.0.0/0 --sport 5554 -d 192.168.2.1 --dport 5555 -j ACCEPT

iptables -t mangle -A OUTPUT -p udp -d 0.0.0.0/0 --dport 5555 -s 192.168.2.1 --sport 5554 -j ACCEPT

 

#configurator

iptables -t mangle -A PREROUTING -p tcp -s 0.0.0.0/0 -d 192.168.2.1 --dport 5555 -j ACCEPT

iptables -t mangle -A OUTPUT -p tcp -d 0.0.0.0/0 -s 192.168.2.1 --sport 5555 -j ACCEPT

 

# SSH.

iptables -t mangle -A PREROUTING -p tcp -s 0.0.0.0/0 -d 192.168.2.1 --dport 22 -j ACCEPT

iptables -t mangle -A OUTPUT -p tcp -d 0.0.0.0/0 -s 192.168.2.1 --sport 22 -j ACCEPT

 

# Почта.

iptables -t mangle -A PREROUTING -p tcp -s 0.0.0.0/0 -d 192.168.2.3 --dport 25 -j ACCEPT

iptables -t mangle -A OUTPUT -p tcp -d 0.0.0.0/0 -s 192.168.2.3 --sport 25 -j ACCEPT

iptables -t mangle -A PREROUTING -p tcp -s 0.0.0.0/0 -d 192.168.2.3 --dport 110 -j ACCEPT

iptables -t mangle -A OUTPUT -p tcp -d 0.0.0.0/0 -s 192.168.2.3 --sport 110 -j ACCEPT

 

 

а это OnConnect:

 

LOGIN=$1

echo $2

IP=$2

CASH=$3

ID=$4

iptables -t mangle -A PREROUTING -s $IP -j ACCEPT

iptables -t mangle -A OUTPUT -d $IP -j ACCEPT

 

echo "Connect login='$LOGIN' ip=$IP cash=$CASH" >> /tmp/qqq

 

 

это OnDisconnect:

 

LOGIN=$1

IP=$2

CASH=$3

ID=$4

iptables -t mangle -D PREROUTING -s $IP -j ACCEPT

while [ $? -eq 0 ]

do

iptables -t mangle -D PREROUTING -s $IP -j ACCEPT

done

 

##################################

 

iptables -t mangle -D OUTPUT -d $IP -j ACCEPT

while [ $? -eq 0 ]

do

iptables -t mangle -D OUTPUT -d $IP -j ACCEPT

done

 

 

echo "Disconnect login='$LOGIN' ip=$IP cash=$CASH" >> /tmp/qqq

 

 

 

 

но по прежнему вход на сервер для всех свободный, никого не отключает, можно даже авторизатор не запускать.

где косяк зарыт :-)..?