iptables nat mac

[censor]

(Нажмите, чтобы показать/скрыть)

sysctl -w net.ipv4.conf.all.forwarding=1 net.ipv6.conf.all.forwarding=0 net.ipv6.conf.all.disable_ipv6=1

iptables -t filter -P FORWARD DROP
iptables -t filter -A FORWARD -i eth0 -m mac --mac-source 00:17:31:81:7e:72 -p tcp -m multiport --dports 80,443,5190 -o ppp0 -j ACCEPT
iptables -t filter -A FORWARD -i eth0 -m mac --mac-source 00:17:31:81:7e:72 -p icmp -o ppp0 -j ACCEPT
iptables -t filter -A FORWARD -i ppp0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -t nat -A POSTROUTING -s 10.75.31.0/24 ! -d 10.75.0.0/16 -p tcp -o ppp0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.75.31.0/24 ! -d 10.75.0.0/16 -p icmp -o ppp0 -j MASQUERADE

задача выпустить в интернет компьютер в локальной сети ограничив доступ в глобальную сеть только протоколами TCP и ICMP и портами для TCP 80, 443 и 5190

что в правилах лишнее, каких правил может не хватает?

[Unreg]

клиентов за шлюзом много?

[censor]

неа, один возможно 2.
клиенты виндовые, ip получают динамически, нужным клиентам раздаются статические маршруты.

[Unreg]

ну тут особо не добавить не убавить. проверку MAC адресов я бы организовывал во вложенной цепочке

Код: [Выделить]

iptables -t filter -P FORWARD DROP
iptables -t filter -A FORWARD -m state --state INVALID -j DROP
iptables -t filter -N CHECKMAC
iptables -t filter -A FORWARD -i eth0 -j CHECKMAC
iptables -t filter -I CHECKMAC -i eth0 -m mac --mac-source 00:17:31:81:7e:72 -j RETURN
iptables -t filter -I CHECKMAC -i eth0 -m mac --mac-source 00:17:31:81:77:72 -j RETURN
iptables -t filter -A CHECKMAC -j DROP

iptables -t filter -A FORWARD -m state --state RELATED,ESTABLISHED,DNAT -j ACCEPT
iptables -t filter -A FORWARD -i eth0 -p tcp -m multiport --dports 80,443,5190 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -i eth0 -p icmp -j ACCEPT

iptables -t nat -A POSTROUTING -s 10.75.31.0/24 -o ppp0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.75.31.0/24 -o eth1 -j MASQUERADE

[censor]

даст выигрыш в скорости обработки или удобсво управления?

[Unreg]

удобство управления
Пользователь решил продолжить мысль 21 Января 2011, 21:10:36: -m conntrack --ctstate DNAT можно добавить "на вырост" таблицы NAT