Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
Strony: 1
- Forum Debian Users Gang
- » Sieci i serwery
- » [Server] Zamykanie aktywnych połączeń z hostem
#1 2012-01-05 17:45:32
Pablik - 
Użytkownik
- Pablik
- Użytkownik
- Zarejestrowany: 2010-10-21
[Server] Zamykanie aktywnych połączeń z hostem
Witam
Jak w temacie, jak zamknąć wszystkie połączenia (nie koniecznie za pomocą iptables).
Posiadam serwer na Debianie, oto mój firewall:
Kod:
# wlaczenie w kernelu forwardowania echo 1 > /proc/sys/net/ipv4/ip_forward # czyszczenie starych regul iptables -F iptables -X iptables -t nat -X iptables -t nat -F iptables -t mangle -F iptables -t mangle -X # ustawienie domyslnej polityki iptables -P INPUT ACCEPT #iptables -P FORWARD DROP iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT # Utrzymanie polaczen nawiazanych iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED #Przekierowanie VNC iptables -A FORWARD -p tcp --dport 5900 -j ACCEPT iptables -t nat -A PREROUTING -p tcp --dport 5900 -j DNAT --to 10.0.0.3:5900 iptables -A FORWARD -p udp --dport 5900 -j ACCEPT iptables -t nat -A PREROUTING -p udp --dport 5900 -j DNAT --to 10.0.0.3:5900 # udostepniaie internetu w sieci lokalnej iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -j MASQUERADE iptables -I FORWARD -s 192.168.0.1 -m mac --mac-source 00:1E:8C:78:49:C8 -j ACCEPT #Host1 iptables -I FORWARD -s 192.168.0.2 -m mac --mac-source 70:5A:B6:2C:28:9B -j ACCEPT #Host2
Jak będę chciał odciąć np Host2, to przewalam jeszcze raz tego Firewall'a tylko z zahaszowana ostatnią linijką , o tak :
Kod:
# wlaczenie w kernelu forwardowania echo 1 > /proc/sys/net/ipv4/ip_forward # czyszczenie starych regul iptables -F iptables -X iptables -t nat -X iptables -t nat -F iptables -t mangle -F iptables -t mangle -X # ustawienie domyslnej polityki iptables -P INPUT ACCEPT #iptables -P FORWARD DROP iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT # Utrzymanie polaczen nawiazanych iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED #Przekierowanie VNC iptables -A FORWARD -p tcp --dport 5900 -j ACCEPT iptables -t nat -A PREROUTING -p tcp --dport 5900 -j DNAT --to 10.0.0.3:5900 iptables -A FORWARD -p udp --dport 5900 -j ACCEPT iptables -t nat -A PREROUTING -p udp --dport 5900 -j DNAT --to 10.0.0.3:5900 # udostepniaie internetu w sieci lokalnej iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -j MASQUERADE iptables -I FORWARD -s 192.168.0.1 -m mac --mac-source 00:1E:8C:78:49:C8 -j ACCEPT #Host1 #iptables -I FORWARD -s 192.168.0.2 -m mac --mac-source 70:5A:B6:2C:28:9B -j ACCEPT #Host2
Teraz Host2 nie może nawiązać nowych połączeń, ale jak zamknąć te które ma aktualnie otwarte ???
Offline
#2 2012-01-05 18:49:24
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/random
- Zarejestrowany: 2008-01-07
Re: [Server] Zamykanie aktywnych połączeń z hostem
Bzdurnie odcinasz drugiego kompa.
Poczytaj sobie o iptables, a przede wszystkim o kolejności reguł i tym, czy dany cel kończy lub nie kończy przetwarzania pakietu w kernelu.
Podejrzewam, że regułka:
Kod:
iptables -I FORWARD -s 192.168.0.2 -j DROP
działa,
podobnie jak:
Kod:
iptables -I FORWARD -m mac --mac-source 70:5A:B6:2C:28:9B -j DROP
RTFM
Bo w chwili obecniej po przeładowaniu skryptu, jego polączenia wiszą tutaj:
Kod:
# Utrzymanie polaczen nawiazanych iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
I nie musisz żadnych skryptów przeładowywać, haszować, itp.
Iptables służy do interaktywnego sterowania regułami firewalla.
To by było na tyle
;-)
Ostatnio edytowany przez Jacekalex (2012-01-05 19:37:04)
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
Strony: 1
- Forum Debian Users Gang
- » Sieci i serwery
- » [Server] Zamykanie aktywnych połączeń z hostem