Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2010-05-22 23:15:50
haczyk - 
Użytkownik
- haczyk
- Użytkownik
- Skąd: Bydgoszcz
- Zarejestrowany: 2009-02-28
iptables - przekierowanie
Witam,
mam plik hosts.txt, w którym mam adresy ip hostów do zablokowania.
Skrypt pobiera argumenty z pliku hosts.txt i załaduje regułki takiego łańcucha "blocks" iptables np.
Kod:
iptables -N blocks iptables -F blocks iptables -t nat -N blocks iptables -t nat -F blocks #przekierowanie na www z info iptables -A blocks -i eth1 -s [ip] -p tcp --dport 80 -j DNAT --to [www_z_informacja] #wylaczenie calego pozostalego ruchu iptables -A blocks -i eth1 -s [ip] -p all -j DROP
przy czym jak zrobić w iptables własciwym aby np. FORWARD i PREROUTING najpierw sprawdzaly lancuch blocks ?
próbowałem coś takiego na poczatku firewalla:
Kod:
iptables -A FORWARD -j blocks
i to dziala, ale dla preroutingu
Kod:
iptables- t nat -PREROUTING -j blocks
juz cos nie smiga - nie przekierowuje na www wybranych w lancuchu blocks adresów ;/
Ostatnio edytowany przez haczyk (2010-05-22 23:20:29)
Offline
#2 2010-05-23 17:15:20
djjanek - Użytkownik
Re: iptables - przekierowanie
A może takie coś:
Kod:
iptables -I blocks -i eth1 -s [ip] -p tcp --dport 80 -j DNAT --to [www_z_informacja]
edit:
Ja korzystam:
Kod:
iptables -t nat -A PREROUTING -p tcp -s IP_KOMPA -d ! IP_SERWERA -j DNAT --to IP_SERWERA:PORT iptables -t nat -A PREROUTING -p udp -s IP_KOMPA -d ! IP_SERWERA -j DNAT --to IP_SERWERA:PORT
Ostatnio edytowany przez djjanek (2010-05-23 17:18:18)
Offline
#3 2010-05-24 07:13:36
haczyk - Użytkownik
- haczyk
- Użytkownik
- Skąd: Bydgoszcz
- Zarejestrowany: 2009-02-28
Re: iptables - przekierowanie
dzieki za odp. ale chyba parametr -I tu nie pomoże - łańcuch "blocks" czyszcze na samym poczatku skryptu, wiec nie ma reguł które mogłby sie zazębiać ;/
co do drugich regułek - wywalało u mnie bład skladni, musiałem zmienić na :
Kod:
iptables -t nat -A PREROUTING -p tcp -s IP_KOMPA ! -d IP_SERWERA -j DNAT --to IP_SERWERA:PORT iptables -t nat -A PREROUTING -p udp -s IP_KOMPA ! -d IP_SERWERA -j DNAT --to IP_SERWERA:PORT
coś blokuje mi ten ruch bo widze w tcpdumpie mnóstwo wpisów:
Kod:
IP [ip].1076 > [serwer_www]: TCP, length 25
Kod:
IP [ip].1076 > [serwer_www]: UDP, length 25
czyli niby dziala, ale gdzieś sie zatyka ;/
najdziwniejsze ze dalej w iptables mam prerouting na squida - i tu wszystko dziala ;/
zakładając ze prerouting działa, to juz nie wiem co moze blokować - Forward na [serwer_www] jest zrobiony
Offline
#4 2010-05-24 11:52:33
djjanek - Użytkownik
#5 2010-05-24 23:08:52
haczyk - Użytkownik
- haczyk
- Użytkownik
- Skąd: Bydgoszcz
- Zarejestrowany: 2009-02-28
Re: iptables - przekierowanie
no własnie przekierowanie ruchu na adres www na squidzie coś mi nie wychodzi.
Ale z moich doświadczeń ze squidem - zeby cokolwiek zmienic - trzeba restartować całą usługę.
Kombinuje z iptables bo wydaje mi sie ze jak wrzucę na ruch Forwardujący regułki własnego łancucha ( blocks ) to nie bede musial przeładowywac usługi ( iptables ) - wystarczy ze wyczyszcze łancuch - chyba że sie myle.
Offline
#6 2010-05-25 06:02:52
djjanek - Użytkownik
Re: iptables - przekierowanie
w squid wystarczy reload a w iptables albo usuwanie konkretnych regułek albo wszystkiego, tylko jak ja przeładujesz iptables to nie zrywa połączeń (chyba że masz długi czas przeładowania), a w squid chyba nie robisz przekierowania tylko dajesz zabronienie dla pewnej listy hostów i sam ustawiasz jak ma wyglądać strona.
Offline
#7 2010-05-25 17:36:39
haczyk - Użytkownik
- haczyk
- Użytkownik
- Skąd: Bydgoszcz
- Zarejestrowany: 2009-02-28
Re: iptables - przekierowanie
hmm..to moze przez squida przekieruje ruch tych użytkowników.
oki. Przez squid zadziałało, ale jedna rzecz mnie teraz zastanawia - na squid przekierowuje normalnie port 80. Wiec user który wpadnie w blokujacy acl nie bedzie miał stron, ale jak zablokowac jego pozostały ruch - np. gg i skype ?
Ostatnio edytowany przez haczyk (2010-05-25 18:04:54)
Offline