Правила iptables. Защита шлюза

[vasileo]

Здравствуйте, новичок пока в linux Вот написал правила. Насколько это безопасно для шлюза и какие методы можно использовать, чтобы защититься. Спасибо.

iptables  – P INPUT DROP

iptables  – P FORWARD DROP

iptables  – P OUTPUT  DROP

iptables  – A FORWARD  –m state --state RELATED,ESTABLISHED  –j ACCEPT

iptables  – A FORWARD  –m mac --mac-source 00:75:A3:0C:00:08  –j ACCEPT   

iptables -t nat -A PREROUTING -p tcp -d 72.36.22.47 --dport 80 -j DNAT --to-destination 192.168.0.1

iptables -A FORWARD -p tcp -d 192.168.0.1 --dport 80 -j ACCEPT

iptables  –t  nat  –A POSTROUTING –o eth0   –j MASQUERADE

[fisher74]

ptables  – P OUTPUT  DROP

обычно приносит только проблемы, особенно начинающим.

Насколько это безопасно для шлюза

Начальный уровень безопасности для обычного шлюза с целью вывода http-сервера во внешнюю сеть.
Без какой-либо параноидальности (если убрать предыдущее замечание)

Правда непонятно, как будет шлюз управляться, только непосредственное управление (клава, монитор)

А по методам защиты учат в институтах и университетах, а так жена специализированных курсах по повышению квалификации. Для самостоятельного изучения этого вопроса, ищите и прорабатывайте соответствующую литературу. Будут конкреные вопросы - задавайте, ответим или будем искать ответы вместе.

[vasileo]

Удаленно админить не надо. Всё проводиться внутри организации. А почему стоит убрать правило

Код: [Выделить]

iptables  – P OUTPUT  DROP
Поясните пожалуйста

[fisher74]

Удаленно - не значит из другого города. Даже сидя за соседним рабочим местом Вы не сможете управлять шлюзом.

Поясните пожалуйста

Потому что есть много ситуаций когда шлюзу придётся отдавать исходящие пакеты, причём как в локальную сеть, так и во внешнюю. Примеров много: icmp-запросы,dns-запросы, ntp-траффик, ssh (для управления шлюзом), ...

[shushpanchik]

fisher74 пытается Вам объяснить что не обязательно (вернее даже не нужно) закрывать исходящий трафик от шлюза. Главное отфильтровать именно входящий (INPUT) и правильно настроить проходящий (FORWARD) трафик.