Нужна помощь в настройке роутера

[progmo]

Помогите дописать правила iptables. Есть задача пустить трафик через проксю (уже сделано), закрыть все порты адресам 172.22.4.30-172.22.4.254, кроме доступа в инет через прокси, а адресам 172.22.4.1-172.22.4.29 открыть все порты (из/вне).

[fisher74]

Жесть... сначала ставите дефолтные правила, а потом чистите таблицы...

Если диапазоны пока проектные, то лучше изменить, чтобы хотя бы под маски уложить можно было

[progmo]

Жесть... сначала ставите дефолтные правила, а потом чистите таблицы...

Ну поправьте новичка.

Если диапазоны пока проектные, то лучше изменить, чтобы хотя бы под маски уложить можно было

Например?!
Надо 20 адресов не фильтровать (по портам), только проксей, а всем остальным резать все!

[fisher74]

так постройте правила по другому.
Запретите весь FORWARD по дефолту, а разрешите только избранным
Про маски IP-сетей почитайте и поймёте, чем 32 удобнее 20

[progmo]

так постройте правила по другому.
Запретите весь FORWARD по дефолту, а разрешите только избранным
Про маски IP-сетей почитайте и поймёте, чем 32 удобнее 20

Как изначально все запретить понятно. На прокси трафик тоже завернут. Вопрос как разрешить доступ во внешку по нужным портам (какие точно не знаю, поэтому для начала все) адресам 172.22.4.2-172.22.4.29?

Нельзя в правилах указывать диапазон ? Только единичный адрес или в виде 172.22.4.2/32 ?

[Гарри Кашпировский]

Нельзя в правилах указывать диапазон ?

Можно.

Код: [Выделить]

man iptables |grep iprange -A7

[AnrDaemon]

@meinung, пишите по-русски, пожалуйста.
Я вас через слово понимаю, при том, что я понимаю, о чём вы вообще пишете.
Что из вашего словесного потока поймёт автор - никому неизвестно.

[meinung]

хорошо. вот по-русски.
 я предлагаю ТС поставить   NAT и при не обходимости  просто   открыть  те сервисы, которые  реально нужно открыть  во внешний мир, или перенести  эти сервисы на роутер,  но   все это надо делать только в том  случае, если  у вас    првайдер выдал вам белый адрес
 я вам предлагаю собственное решение, которое используется  практически везде

Код: [Выделить]

iptables -t nat -A PREROUTING -p tcp --dport 80 -i ppp0 -j DNAT --to-destination 10.0.0.1:80Пользователь решил продолжить мысль 18 Января 2012, 19:08:19:AnrDaemon,  меня бывает  заносит, так  лучше ?

[progmo]

Повторюсь какие именно сервисы нужно открыть на указанных адресах пока не могу уточнить... Это бухгалтерские компы, куча софта у них там, и мешать их работе ваще не охото.... Но прикрыть сеть из вне хоть как-то для начала надо.

Изменил скрипт.... Поправьте плиз если ошибся!

[fisher74]

Для начального уровня почти всё хорошо.
Почти, потому что сам шлюз слепой из-за -P OUTPUT DROP. Здесь считается (и практика показывает, что это именно так), что это правило почти всегда ведёт к ошибке. Уберите. И в цепочке INPUT разрешите установленные соединения.

[progmo]

Для начального уровня почти всё хорошо.
Почти, потому что сам шлюз слепой из-за -P OUTPUT DROP. Здесь считается (и практика показывает, что это именно так), что это правило почти всегда ведёт к ошибке. Уберите. И в цепочке INPUT разрешите установленные соединения.

Тогда может быть лучше так -->
(Подправил чужой скрипт под себя).

Обозначу еще раз задачу:
- На роутере открыть ssh;
- Пускать трафик с адресов 172.22.4.2-172.22.4.30 по любым портам (пока) во внешку и обратно;
- Весь веб трафик заруливать на сквиду.

[fisher74]

Не нужны нам Ваши скрипты.
sudo iptables-save показывайте

[progmo]

Не нужны нам Ваши скрипты.
sudo iptables-save показывайте

Дык там сейчас все по дефолту настройки. Скрипт я еще не применял... Не охото в середине раб. дня сбивать настройки.
Пользователь решил продолжить мысль 19 Января 2012, 16:37:01:Применил настройки, получил ошибку ->

(Нажмите, чтобы показать/скрыть)

sudo /etc/init.d/networking restart
 * Reconfiguring network interfaces...
ssh stop/waiting
ssh start/running, process 21703
iptables v1.4.4: host/network `eth1' not found
Try `iptables -h' or 'iptables --help' for more information.
Failed to bring up eth1.
   ...done.

iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Thu Jan 19 16:31:09 2012
*mangle
:PREROUTING ACCEPT [17623739:8863638725]
:INPUT ACCEPT [36610203:20249228333]
:FORWARD ACCEPT [22688811:15445774169]
:OUTPUT ACCEPT [13318669:8613064406]
:POSTROUTING ACCEPT [55321771:36751234522]
COMMIT
# Completed on Thu Jan 19 16:31:09 2012
# Generated by iptables-save v1.4.4 on Thu Jan 19 16:31:09 2012
*nat
:PREROUTING ACCEPT [1036649:69832721]
:OUTPUT ACCEPT [755422:44775568]
:POSTROUTING ACCEPT [755426:44777251]
-A POSTROUTING -s 172.22.4.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Thu Jan 19 16:31:09 2012
# Generated by iptables-save v1.4.4 on Thu Jan 19 16:31:09 2012
*filter
:INPUT DROP [1213:86403]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [13251146:8591419113]
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -i eth0 -p tcp -m tcp --dport 2022 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 53 -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth1 -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
COMMIT
# Completed on Thu Jan 19 16:31:09 2012

[meinung]

куча софта

даже  если  не открывать  порты все  програмы  будут работать порты  надо открывать только  серверным приложениям все  клиентские кроме торрента  там ICQ передача данных не  требуют открытый порт  через NAT. у меня  стоит NAT и никаких нет проблем с инетрентом  на клиентском  компьютере,и порты  я  никакие  не прокидывал

[AnrDaemon]

Ну, ошибка как бээээ намекает, что у вас настройки не от мира сего.
ifconfig -a
показывайте.

@meinung, у вас лимит на запятые в день? >.<