Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2017-08-29 09:59:03
urbinek - 
Dzban Naczelny
IPtables w bridgu
bry, mam trochę głupie pytanie
Mam sobie xen'a z jednym interfejsem fizycznym i wielkim szczęśliwym bridgem
Kod:
[root@xen ~]# brctl show
bridge name bridge id STP enabled interfaces
virbr0 8000.525400cf109a yes virbr0-nic
xen_br 8000.d05099734379 no enp3s0
vif1.0
vif2.0
vif3.0
vif4.0
xen_br.100 8000.d05099734379 no enp3s0.100Wszystkie maszyny są w jednej podsieci (wraz z hipervisorem, kompami w domu itp)
Dorobiłem do fail2ban dopisywanie adresów to ipset'a i dodałem importowanie listy firehol_level1.netset
Wszystko działa tak jak powinno, ipsety są tworzone, aktualizowane itp:
Kod:
[root@xen scripts]# iptables -L -n Chain INPUT (policy ACCEPT) target prot opt source destination REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_firehol src reject-with icmp-host-unreachable REJECT udp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_firehol src reject-with icmp-port-unreachable REJECT tcp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_firehol src reject-with tcp-reset f2b-sshd tcp -- 0.0.0.0/0 0.0.0.0/0 multiport dports 22 REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_f2b src reject-with icmp-host-unreachable REJECT udp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_f2b src reject-with icmp-port-unreachable REJECT tcp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_f2b src reject-with tcp-reset Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination
A moje pytanie - jako, że xen nie robi za router sam łańcuch INPUT wystarczy aby blokować pakiety, które przechodzą przez enp3s0->xen_br i dalej do maszyn wirtualnych?
A w wolnym czasie, robię noże :)
Offline
#2 2017-08-29 10:02:35
lis6502 - Łowca lamerów
- lis6502
- Łowca lamerów
- Skąd: Stalinogród
- Zarejestrowany: 2008-12-04
Re: IPtables w bridgu
Sam odpowiedziałeś sobie na pytanie:
A moje pytanie - jako, że xen nie robi za router sam łańcuch INPUT wystarczy aby blokować pakiety, które przechodzą przez enp3s0->xen_br i dalej do maszyn wirtualnych?
.
Afaik, łańcuch FORWARD dotyczy przekazywania pakietów między interfejsami.
Offline
#3 2017-08-29 10:03:33
urbinek - Dzban Naczelny
#4 2017-08-29 10:07:08
lis6502 - Łowca lamerów
- lis6502
- Łowca lamerów
- Skąd: Stalinogród
- Zarejestrowany: 2008-12-04
Re: IPtables w bridgu
Czyli jak nie ma routingu to FORWARD jest niepotrzebne?
Filozoficznie zapytam czym jest routing? :) Bo w momencie kiedy pakiet nie przeznaczony bezpośrednio dla tej maszyny leci gdzieś indziej, już mówimy o routingu, nawet bez włączenia maskarady.
BTW: popraw sobie stopkę bo przeglądarka długo mi się timeoutuje nim stwierdzi że nginx.urbinek.eu jest zimy ;)
Offline