iptables проблема блокировки портов и NAT

[Rydj]

Добрый вечер, на работе стоит Ubuntu server 10.04 на нем DHCP, DNS, squid +прозрачность. Кроме того на сервере проброшены порты к разным ресурсам в локалке. В последнее время народ стал очень злоупотреблять торентом в итоге канал часто забит поэтому решил заблокировать порты и открыть их только на нужных машинах.
Но возникла проблема после блокировки портов командой:

Код: [Выделить]

iptables -P FORWARD DROP
Проброшенные порты перестали работать, возникает вопрос как мне их добавить в список исключений?
Или мне лучше поменять структуру сети, опытные сис. админы поделитесь опытом как правильно все сделать?
На работе 200+ пользователей, на сервере настроен DHCP, DNS, Squid3 squidguard, в локалке есть сервер на котором висит сайт к нему собственно и сделан проброс портов.

[koshev]

Настройте нормально сервер, коли у Вас прокси-сервер стоит, непонятно (хотя нетрудно догадаться) почему народ "злоупотребляет торрентами".

[Rydj]

Настройте нормально сервер, коли у Вас прокси-сервер стоит, непонятно (хотя нетрудно догадаться) почему народ "злоупотребляет торрентами".

Вы мне напомнили одного парня на защите диплома у него спросили "как у него рассчитывается ток?" и он ответил "Правильно!"... не поймите неправильно не в обиду было сказано я как бы понимаю что у меня все неправильно настроено так как я еще неопытен поэтому и обратился на форум за советом=)

[fisher74]

Вы же просите совета у опытных Вам сказали, что изначально организация предоставления доступа неправильна. При разрешённых торрентах кальмар просто бессмыслен, даже если он установлен для подсчёта траффика.
Вы правильно сделали, запретив по умолчанию через цепочку FORWARD всё. Теперь Вам просто нужно разрешить траффик через эту цепочку нужному клиенту (серверу, например).
Например так

Код: [Выделить]

sudo iptables -A FORWARD -d 10.1.1.1 -p tcp --dport 80 -j ACCEPTи, естественно, не забыть про обратный траффик проще всего это сделать создав правило на уже установленные соединения

Код: [Выделить]

sudo iptables -I FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

[Rydj]

Спасибо большое за объяснение, завтра буду пробовать)
Пользователь решил продолжить мысль 15 Августа 2012, 09:14:24:А мне нужно еще открыть порты которые проброшены в локалку?
iptables -A INPUT -p tcp -m multiport --dports 80 -j ACCEPT