Forum Debian Users Gang

1. IPTABLES -A OUTPUT -p udp -i eth1 --sport 67 --dport 68 -j ACCEPT
to rozumiem, z zrodlowego portu 67 serwera wysyla na port 68 klienta (eth1 w strone LAN'u) i jest OK.

ta reguła POZWALA WYJŚĆ pakietom UDP przysłanym z interfejsu ETH1, których port źródłowy to 67 a port docelowy to 68.
Ta reguła nie zmienia portów ani nie wysyła nic na ETH1

2. IPTABLES -A INPUT -p udp -i eth0 -d 255.255.255.255 --destination-port 67:68 -j DROP
nie za bardzo rozumiem, jesli dhcp jest uruchomione na eth1

ta reguła pozwala WCHODZIĆ pakietom UDP przysłanym z interfejsu ETH0 na adres 255.255.255.255
(jest to adres rozgłoszeniowy sieci - broadcast), których porty docelowe to 67 lub 68

3. IPTABLES -A INPUT -p udp -i eth1 --dport 67 --sport 68 -j ACCEPT
wlaczylem to i nie zauwazylem roznicy w przydzielaniu adresow IP, wystarczyla u mnie pierwsza regulka - o co chodzi ?

ta reguła pozwala na WCHODZIĆ pakietom UDP przysłanym z interfejsu ETH1 których port źródłowy to 68 a docelowy to 67

Poza tym zauwazylem, ze serwer dhcp przydziela adresy ip niezaleznie od firewalla zaraz przy starcie debiana.

to zależy w którym miejscu startuje firewall, zwykle jest to PO konfiguracji
sieci, więc firewall nic nie zablokuje bo sieć jest już skonfigurowana przez DHCP.
Problem może wystąpić dopiero po wygaśnięciu dzierżawy adresu
bo nie będzie można jej przedłużyć. Oczywiście te regułki mają
jakikolwiek sens tylko w połączeniu z innymi np. iptables -P INPUT DROP

Pozdrawiam

łańcuchy FORWARD i PREROUTING są w innym miejscu, poza tym
PREROUTING może występować w tylko w połączeniu z nat lub mangle.
Zasada jest taka, że pakiet najpierw wchodzi do PREROUTING i dopiero
potem jest podejmowana decycja czy kierować go do INPUT czy
FORWARD.

Co do interfejsu lo to moim zdaniem te wpisy nie mają sensu,
lo wpuszczamy na łańcuchu input.

tak, blokada w PREROUTING -t nat (nie -t mangle) powinna zablokować wszystko

zasadniczo PREROUTING używa się do maskarady, port forwardingu itp a nie do typowego firewalla.

skrót myślowy ;-)