Forum Debian Users Gang

Widze że za pomoca firestartera nie da raczej rady - próbuję za pomocą "czystego" iptables.

Samo rozdzielenie netu się udaje poprzez:

iptables --table nat --append POSTROUTING --out-interface ppp0 -j MASQUERADE
iptables --append FORWARD --in-interface wlan0 -j ACCEPT
iptables --append FORWARD --in-interface eth0 -j ACCEPT

Ale ponad to nie wiem co dalej.

Jak na razie "konfiguracja" firewalla wygląda tak:

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -P INPUT DROP

1.Nie mam pojęcia czy takie coś jest bezpieczne czy też nie - jak to sprawdzić?

2.Kolejny problem - czy ktoś mógłby mi powiedzieć w jaki sposób otworzyć konkretny port w iptables dla konkretnego IP? Chodzi mi o taki port na którym mógłby "nadawać" dowolny protokół, jest mi to potrzebne aby po tym porcie puścić strumień transkodowany przez VLC do HTTP na port 8080.

Z góry dzięki za wszelkie info.

Dzięki Urug - udało mi się "rozwinąć" skrypt do czegoś takiego:

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -P INPUT DROP

iptables -A INPUT -p TCP --dport 8080 -s 192.168.0.0 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp --dport 6881:6889 -j DNAT --to-destination 192.168.1.3
iptables -A FORWARD -s 192.168.1.3 -p tcp --dport 6881:6889 -j ACCEPT

iptables --table nat --append POSTROUTING --out-interface ppp0 -j MASQUERADE
iptables --append FORWARD --in-interface wlan0 -j ACCEPT
iptables --append FORWARD --in-interface eth0 -j ACCEPT

iptables -A INPUT --source 192.168.1.3 -j ACCEPT
iptables -A INPUT --source 192.168.1.2 -j ACCEPT
iptables -A INPUT --source 192.168.2.2 -j ACCEPT

W zasadzie to pytanie do znawców jak bezpieczne jest to coś?

Założenia miałem takie aby nikt ze świata zewnętrznego nie mógł się standardowo połączyć do serwera ani kompów w sieci, poza tymi z którymi się komunikuję - czy powyższy skrypt spełnia takie założenia?? (Moje wątpliwości wynikają ze skryptu jaki generuje standardowo Firestarter który ma 400 linii różnych reguł :p).

Poza bezpieczeństwem jeszcze 2 pytanka:

1.Jak widać tutaj:

iptables -t nat -A PREROUTING -p tcp --dport 6881:6889 -j DNAT --to-destination 192.168.1.3
iptables -A FORWARD -s 192.168.1.3 -p tcp --dport 6881:6889 -j ACCEPT

forward'uje sobie porty do Bittorenta - tutaj pytanie, czy da się w jakiś sposób prze forwardować zakres portów do zakresu ip? (tak aby w zależności od tego ile kompów pobiera przez torrenta rożne porty były przydzielone dynamicznie do rożnych kompów, coś w stylu:

"Otwórz porty 6881-6889 dla ip 192.168.1.2-192.168.1.10"

2.Czy reguła ACCEPT dla FORWARD jest bezpieczna, czy powinienem kombinować żeby jakoś dropować przekierowywane pakiety poza wybranym przeze mnie BitTorentem (próbowałem dopisać iptables -P FORWARD DROP - ale wtedy nic nie chciało chodzić - pewnie jest to jakis durny błąd  z mojej strony)?

Z góry dzięki za info.