iptables+squid+sams

[Kykkyryzzo]

Добрый!

Ubuntu 10.04 server.
Не могу настроить iptables:
eth0 - External , eth1 - Internal, x.x.x.x - real ip

Код: [Выделить]

#!/bin/bash

echo "1" > /proc/sys/net/ipv4/ip_forward

# clear pravila fairvola
iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X

# politika DROP - vsem vse zaprescheno
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

# PING
iptables -t filter -A INPUT -p icmp -j ACCEPT
iptables -t filter -A FORWARD -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -j ACCEPT

# LO
iptables -A INPUT -i lo -s 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -o lo -d 127.0.0.1 -j ACCEPT

# NAT
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source x.x.x.x

# NA SQUID
iptables -t nat -A PREROUTING -i eth1 -p tcp -m multiport --dport 80 -j REDIRECT --to-port 3128

# PO PORTAM
iptables -A FORWARD -s 192.168.25.0/24 -p tcp -m multiport --dports 5190,25,110,21 -i eth1 -j ACCEPT
iptables -A FORWARD -d 192.168.25.0/24 -p tcp -m multiport --sports 5190,25,110,21 -o eth1 -j ACCEPT

#razreshaem dostup k serveru iz lokalnoy seti
iptables -t filter -A INPUT -s 192.168.25.0/24 -j ACCEPT
iptables -t filter -A OUTPUT -d 192.168.25.0/24 -j ACCEPT

# DNS.
iptables -t filter -A INPUT -p tcp --sport 53 -j ACCEPT
iptables -t filter -A FORWARD -p tcp --sport 53 -j ACCEPT
iptables -t filter -A FORWARD -p tcp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT

iptables -t filter -A INPUT -p udp --sport 53 -j ACCEPT
iptables -t filter -A FORWARD -p udp --sport 53 -j ACCEPT
iptables -t filter -A FORWARD -p udp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPTПри таком iptables у клиентов инета нет.
Если добавить:

Код: [Выделить]

# razreshit' serveru obschjatsa so vneshnim mirom
iptables -t filter -A INPUT -i eth0  -j ACCEPT
iptables -t filter -A OUTPUT -o eth0 -j ACCEPTто все работает и все считает. Но я так понимаю, этим правилом я все открываю.
куда копать? 

[Mam(O)n]

Первым в цепочке сделай -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

А OUTPUT я считаю, что вообще незачем заполнять.

[Kykkyryzzo]

Первым в цепочке сделай -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

А OUTPUT я считаю, что вообще незачем заполнять.

Сделал и все работает, но только с OUTPUT

Спасибо!

[Kykkyryzzo]

На ftp нет доступа из инета при таких настройках 
Добавляю:

Код: [Выделить]

-A INPUT -i eth0 -p tcp --dport 21 -j ACCEPTдоступ к ftp есть, но не может получить список каталогов.

Если опять делаю:

Код: [Выделить]

iptables -t filter -A INPUT -i eth0  -j ACCEPTто все норм, ftp полностью работает.
 Куда копать ?

[Mam(O)n]

Копай в сторону того, чтобы понять, как работает пассивный/активный режим ftp... Передача данных идет по другим портам и направление коннекта зависит от активного/пассивного режима...

[Kykkyryzzo]

Копай в сторону того, чтобы понять, как работает пассивный/активный режим ftp... Передача данных идет по другим портам и направление коннекта зависит от активного/пассивного режима...

Еще раз огромное спасибо