Iptables /пара вопросов.

[Valan]

Не знал куда постить, пусть модераторы перенесут, если ошибся разделом:
Значит вопрос № 1:
Допустим политика по умолчанию в цепочке исх. дроп

Код: [Выделить]

iptables -P OUTPUT DROPдостаточно ли такого правила для исход. tcp запросов?:

Код: [Выделить]

iptables -A OUTPUT ! -o eth+ -p tcp -j REJECT или надо делать в добавок:

Код: [Выделить]

iptables -A OUTPUT -o eth+ -p tcp -j ACCEPT
Вопрос №2:
Никак не могу догнать, к чему вот "! -d" много где встречаю в цепочке построутинг для ната:

Код: [Выделить]

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 ! -d 192.168.1.0/24 -o eth0 -j MASQUERADE
понятно, что воскл. знак означает, что все адреса кроме этой сети 192.168.1.0/24 попадут под это правило . Только не могу никак понять к чему оно здесь.

[AnrDaemon]

Допустим политика по умолчанию в цепочке исх. дроп

Код: [Выделить]

iptables -P OUTPUT DROP

Допустим, вы осознали свою ошибку и побежали исправляться.

[Valan]

Допустим, вы осознали свою ошибку и побежали исправляться.

Какую ошибку, наверно ты хотел сказать, что не надо исходящий трафик фильтровать. По делу есть, что сказать?

[fisher74]

Только не могу никак понять к чему оно здесь.

Значит Вы не поняли как именно работает это правило

что не надо исходящий трафик фильтровать.

Именно. Это и есть "по делу". Фильтрация исходящего трафика весьма сложная задача, с которой не каждый гуру iptables справляется без ошибок, а уж новички непонимающие простейшие механизмы (тот же ! -d)...

[Valan]

Именно. Это и есть "по делу". Фильтрация исходящего трафика весьма сложная задача, с которой не каждый гуру iptables справляется без ошибок, а уж новички непонимающие простейшие механизмы (тот же ! -d)...

По делу есть, что сказать? Тебя это тоже касается. Гуру айпитейбелса.

[AnrDaemon]

То, что тебе не нравится ответ на твой вопрос, не делает его менее верным.

[Valan]

То, что тебе не нравится ответ на твой вопрос, не делает его менее верным.

Я не увидел ответа на вопрос. Были заданы два четко поставленных вопроса. Заметь я не спрашивал, надо делать это или не надо.

[AnrDaemon]

А почему мы должны на них отвечать? Отвечать человеку, хамящему направо и налево?

[botsman]

Вопрос №2:
Никак не могу догнать, к чему вот "! -d" много где встречаю в цепочке построутинг для ната:

Код: [Выделить]

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 ! -d 192.168.1.0/24 -o eth0 -j MASQUERADE


понятно, что воскл. знак означает, что все адреса кроме этой сети 192.168.1.0/24 попадут под это правило . Только не могу никак понять к чему оно здесь.

Нахрена натить трафик, который не выходит во вне???

[AnrDaemon]

Предположим, что это тестовая сеть.

[fisher74]

Были заданы два четко поставленных вопроса.

Не увидел чёткости в вопросе:

достаточно ли такого правила для исход. tcp запросов?

Достаточно для чего?

На второй вопрос я Вам ответил. Разберите что делает правило, тогда будет понятно.

ЗЫ никогда не позиционировал себя гуру iptables. Да, понимаю что делает то или иное правило, но вот чтобы так же хамить в таблицах netfilter, как Вы нам - не могу.

[Valan]

Нахрена натить трафик, который не выходит во вне???

Да какая разница. Вот сейчас посмотрел у libvirt такой же принцип

Код: [Выделить]

-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE

[AnrDaemon]

Да какая разница.

Разница простая. NAT создаёт неопределённость при отладке сетевого взаимодействия.

[Valan]

Достаточно для чего?

Для того, чтобы пакет с tcp заголовком ушел с интерфейса. так понятней?
Тогда надо было сразу написать, что вопрос не ясен, хотя ты его прекрасно понял. Не люблю когда приходят и начинают флуд разводить. Причем я предполагал, что будет такой тупняк с вашим участием. Скрепя сквозь зубы тему создавал. В следующий раз пройди мимо.

[AnrDaemon]

Пакет и так уйдёт, iptables к этому не имеет никакого отношения.