Jump to content

inetaccess и icq

Guest Guest_ispolin

By Guest Guest_ispolin
in Stargazer questions

 Share

Recommended Posts

Guest Guest_ispolin

Guest Guest_ispolin

Posted
Posted

Если включить аську и подконектится, при включенном авторизаторе, а потом его выключить, то аська продолжает работать!

Как от этого избавится и почему это происходит?

egor2fsys Вампир

egor2fsys

Posted
Posted

мдя, у меня такая же проблема ....

 

причем даже не помогает удаление или очистка правил в таблице НАТ ...

 

я наблюдал за этим и вот что понял - не рвутся именно текущие сессии, если попробывать выйти из аськи, а потом снова зайти то уже никто никуда никого не пустит ...

 

хотелось буслышать ваши решения проблемы ...

 

очистку и удаление правил из ьаблиц фаервола не предлагать - уже испробовано и не помогает

POWERLan Точу Зубы

POWERLan

Posted
Posted

Примитивно но то что придумал на гарячую руку...

заблокировать фаерволом IP серверов аськи, поставить сквид и аську чтобы юзера пускали через сквид...

Так походу конект после отключения рвать будет

Guest Guest

Guest Guest

Posted
Posted

Люди! Смотрити правила которые у вас прописнаы в файрволе. Чтобы прибить все, достаточно юзеру запретить все в цепочках OUTPUT INPUT и FORWARD в таблице filter

Hash Точу Зубы

Hash

Posted
Posted

Все намного легче. FORWARD должен быть DROP, после отключения авторизатора.

nn Вампиреныш

nn

Posted
Posted

Да была такая бага, надо скрипты под себя править.

Как поток открывается - потом можно качать до отключения компа. Это касалось не только аськи но и hhtp и ftp так что если не стоял traffallwaysON

то трафик не считался!

 

Для исправления:

Политику по умолчанию для цепочки FORWARD ставим в DROP

iptables -t filter -P FORWARD DROP

 

Потомм в OnConnect разрешаем FORWARD

iptables -t filter -A FORWARD -s $2 -j ACCEPT

iptables -t filter -A FORWARD -d $2 -j ACCEPT

 

А в OnDisconnect отменяем разрешённое.

iptables -t filter -D FORWARD -s $2 -j ACCEPT

iptables -t filter -D FORWARD -d $2 -j ACCEPT

Hash Точу Зубы

Hash

Posted
Posted

Причиной того, что содениение остается активным, является модуль iptable_nat, который в свою очередь использует ip_conntrack. Дело в том, что в iptables один модуль на каждый target. При удалении записи модуль сразу не выгружается, если есть соединения подобные вышеописаным. Кому интересно, читать /usr/src/linux/net/ipv4/netfilter =)

 

гы, у меня так и настроено уже давно, однако это мало помогает

ОСь - РХ 9,0

Да, DROP в FORWARD решает эту проблему. У меня решает.

nn Вампиреныш

nn

Posted
Posted
гы, у меня так и настроено уже давно, однако это мало помогает

ОСь - РХ 9,0

У тебя именно цепочка netfilter используется?

Я долго экспериментировал с разными цепочками, именно с netfilter потоки закрываюся. Еще маскарадинг вырубаю тоже, хотя к-ца не обязательно это.

Система RH 7.2, СТГ1 у меня еще, на 9 я как-то людям пробовал, что-то не срослось...

Для временного решения проблемы я ставил trafficallwaysOn

Замечено было в логах, что некоторые юзера включаюся, потом сразу вытыкаются. Тут-то подозрения и появились.

Так читать логи время от времени полезно!

den68 Точу Зубы

den68

Posted
Posted
гы, у меня так и настроено уже давно, однако это мало помогает

ОСь - РХ 9,0

Максимально вычурное решение для ИПТаблес:

 

OnConnect:

#!/bin/bash
. /etc/stargazer/ip_config.conf
CDATA=`date +"%d-%m-%Y %H:%M"`
user=$1
ip=$2
cash=$3

echo "${CDATA} CONNECT [USER:${user},IP:${ip},CASH:${cash}]" >> /var/log/stargazer.logon


iptables -t nat -D POSTROUTING -o ${INET_IFACE} -s $ip -d 0.0.0.0/0 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D POSTROUTING -o ${INET_IFACE} -s $ip -d 0.0.0.0/0 -j DROP
done

iptables -t nat -I POSTROUTING -o ${INET_IFACE} -s $ip -d 0.0.0.0/0 -j MASQUERADE

################################################################
# 110 port ######################################################
iptables -t nat -D PREROUTING -p tcp  -s $ip --dport 110 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D PREROUTING -p tcp  -s $ip --dport 110 -j DROP
done

iptables -t nat -D PREROUTING -p udp  -s $ip --dport 110 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D PREROUTING -p udp  -s $ip --dport 110 -j DROP
done
################################################################
# 25 port ######################################################
iptables -t nat -D PREROUTING -p tcp  -s $ip --dport 25 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D PREROUTING -p tcp  -s $ip --dport 25 -j DROP
done

iptables -t nat -D PREROUTING -p udp  -s $ip --dport 25 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D PREROUTING -p udp  -s $ip --dport 25 -j DROP
done
################################################################
# 80 port ######################################################
iptables -t nat -D PREROUTING -p tcp  -s $ip --dport 80 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D PREROUTING -p tcp  -s $ip --dport 80 -j DROP
done

iptables -t nat -D PREROUTING -p udp  -s $ip --dport 80 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D PREROUTING -p udp  -s $ip --dport 80 -j DROP
done
################################################################
# 3128 port ######################################################
iptables -t nat -D PREROUTING -p tcp  -s $ip --dport 3128 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D PREROUTING -p tcp  -s $ip --dport 3128 -j DROP
done

iptables -t nat -D PREROUTING -p udp  -s $ip --dport 3128 -j DROP
while [ $? -eq 0 ]
do
   iptables -t nat -D PREROUTING -p udp  -s $ip --dport 3128 -j DROP
done
################################################################

#iptables -t filter -I INPUT   -p icmp -s $ip -j ACCEPT
#
iptables -t filter -I INPUT   -s $ip -j ACCEPT
iptables -t filter -I FORWARD -s $ip -j ACCEPT
iptables -t filter -I FORWARD -d $ip -j ACCEPT
iptables -t filter -I OUTPUT  -d $ip -j ACCEPT

 

OnDisconnect:

#!/bin/bash
. /etc/stargazer/ip_config.conf
CDATA=`date +"%d-%m-%Y %H:%M"`
user=$1
ip=$2
cash=$3

echo "${CDATA} DISCONNECT [USER:${user},IP:${ip},CASH:${cash}]" >> /var/log/stargazer.logon

iptables -t filter -D INPUT -s $ip -j ACCEPT
while [ $? -eq 0 ]
do
   iptables -t filter -D INPUT -s $ip -j ACCEPT
done

##################################

iptables -t filter -D FORWARD -s $ip -j ACCEPT
while [ $? -eq 0 ]
do
   iptables -t filter -D FORWARD -s $ip -j ACCEPT
done

##################################

iptables -t filter -D FORWARD -d $ip -j ACCEPT
while [ $? -eq 0 ]
do
   iptables -t filter -D FORWARD -d $ip -j ACCEPT
done

##################################

iptables -t filter -D OUTPUT -d $ip -j ACCEPT
while [ $? -eq 0 ]
do
   iptables -t filter -D OUTPUT -d $ip -j ACCEPT
done

##################################
#
iptables -t nat -D POSTROUTING -o ${INET_IFACE} -s $ip -d 0.0.0.0/0 -j MASQUERADE
while [ $? -eq 0 ]
do
   iptables -t nat -D POSTROUTING -o ${INET_IFACE} -s $ip -d 0.0.0.0/0 -j MASQUERADE
done


#=================#

#
# iptables -t filter -I INPUT -i ${LOCAL_IFACE} -p udp -s $ip --dport 8000:65535 -j REJECT
#
# 110 port
iptables -t nat -I PREROUTING -p tcp  -s $ip --dport 110 -j DROP
iptables -t nat -I PREROUTING -p udp  -s $ip --dport 110 -j DROP
#
# 25 port
iptables -t nat -I PREROUTING -p tcp  -s $ip --dport 25 -j DROP
iptables -t nat -I PREROUTING -p udp  -s $ip --dport 25 -j DROP
#
# 80 port
iptables -t nat -I PREROUTING -p tcp  -s $ip --dport 80 -j DROP
iptables -t nat -I PREROUTING -p udp  -s $ip --dport 80 -j DROP
#
# 3128 port
iptables -t nat -I PREROUTING -p tcp  -s $ip --dport 3128 -j DROP
iptables -t nat -I PREROUTING -p udp  -s $ip --dport 3128 -j DROP
#
iptables -t nat -I POSTROUTING -o ${INET_IFACE} -s $ip -d 0.0.0.0/0 -j DROP

 

Избыточно - но зато с гарантией.

Foster Дракон

Foster

Posted
Posted

почему не может быть просто:

INPUT - ACCEPT

OUTPUT - ACCEPT

FORWARD - DROP

 

а при коннекте:

FORWARD - ACCEPT

POSTROUTING - MASQUERADE

 

?

stg-34 Вампиреныш

stg-34

Posted
Posted
почему не может быть просто:

INPUT - ACCEPT

OUTPUT - ACCEPT

FORWARD - DROP

 

а при коннекте:

FORWARD - ACCEPT

POSTROUTING - MASQUERADE

 

?

Если у тебя

INPUT - ACCEPT

OUTPUT - ACCEPT

то без авторизации тебе доступны ресурсы на сервере, но которм работает биллинг.

Если тебя это утраивает то нет вопросов, а если, скажем у тебя там же видео или музыка, то это лажа

Foster Дракон

Foster

Posted
Posted

:)

это все понятно

вопрос только в том, чтобы в этот момент юзвери не посылали в инет запросы и не считались.

  • 5 weeks later...
XoRe Вампир

XoRe

Posted
Posted

гЫЫЫЫЫЫ))))) Ребята, извините меня конечно, но я сижу и чуть не мру от смеха =)))))) ГЫЫЫЫЫЫЫЫЫЫЫЫЫЫ

 

Мой вам совет - ставьте фряху =)))))))))))))))))))))

 

там это дело просто

ipfw add deny all from IP to any

и вся любовь =))

 

P.S. А лучше не deny, а reset, т.к. тогда от сервера-шлюза сразу приходит сообщение о недоступности ресурса и не тратится время на таймауты (это я так, может кто заинтересуется :)

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
 Share
Go to topic listing

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...