Помогите с iptables

[achilles_85]

Эта машина открывает любые сайты. Сегодня начальство сказало чтобы никуда доступа не было

[xeon_greg]

в смысле ? та которая за сервером?, тогда добавить условие назначения в нат

Код: [Выделить]

iptables -t nat -A POSTROUTING -o eth0 -d 192.168.0.125  -j SNAT --to-source 192.168.0.37

[achilles_85]

да, та которая за сервером.
Еще вот, aSmile писал:
А где
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
?
Я это правило не включил в конфиге, нужно ли? Это не тоже самое: iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

[aSmile]

Это надо, если у тебя политика DROP, и ты не разрешаешь все подряд.

[achilles_85]

Но все и так работает без этого правила. Почему?

[xeon_greg]

-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
?
Я это правило не включил в конфиге, нужно ли? Это не тоже самое: iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

  не тоже самое, но оно тебе в данном случае не нужно.
Пользователь решил продолжить мысль 27 Октября 2011, 16:25:11:а работает потому, что есть эти два правила

-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j ACCEPT

[achilles_85]

Значит думал я в правильном направлении Спасибо за помощь, буду читать маны
Пользователь решил продолжить мысль 27 Октября 2011, 21:55:39:

в смысле ? та которая за сервером?, тогда добавить условие назначения в нат

Код: [Выделить]

iptables -t nat -A POSTROUTING -o eth0 -d 192.168.0.125  -j SNAT --to-source 192.168.0.37

А как указать несколько адресов после -d? через запятую не получилось, если писать несколько правил то получается, но громоздко.

[xeon_greg]

в одном правиле можно указывать только диапазоны адресов с параметром -m iprange, или же произвольный набор адресов , но использовать ipset, возможно, кстати использовать u32 клиссификатор, но он сложен в понимании

[AnrDaemon]

да, та которая за сервером.
Еще вот, aSmile писал:
А где
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
?
Я это правило не включил в конфиге, нужно ли? Это не тоже самое: iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

Это не надо.

А как указать несколько адресов после -d? через запятую не получилось, если писать несколько правил то получается, но громоздко.

Да, писать несколько правил.

Вообще, так как-то:

*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A PREROUTING -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A PREROUTING -i eth0 -p tcp -m multiport --dports 9907,6230 -m conntrack --ctstate NEW -j DNAT --to-destination 192.168.200.2
-A POSTROUTING -o eth1 -j SNAT --to-source 91.***.***.***
COMMIT
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:ACCLIST - [0:0]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.200.0/255.255.255.252 ! -i eth0 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCLIST
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -m conntrack --ctstate NEW -p tcp -m multiport --dports 9907,6230 -j ACCLIST
-A ACCLIST -s IP1 -j ACCEPT
-A ACCLIST -s IP2 -j ACCEPT
.....
-A ACCLIST -s IP6 -j ACCEPT
COMMIT