iptables в качестве шлюза

[s.s]

Приветствую форумчане.
Собственно есть задача настроить шлюз для IP телефонии, т.е шлюз с тремя сетевыми картами (WAN/LAN/DMZ)
Пакеты с WAN не определенные ни одним правилом идут на DMZ (В частности H.323/TELNET и т.д),Входящие пакеты определенные правилами (SIP/RTP) с доверенных хостов идут в LAN (на asterisk). + К этому на сервере должен быть VPN для подключение филиалов и отдельных sip логинов (соответствующее правило VPN (SIP/RTP) -> LAN и обратно). Это все прекрасно работает на Kerio Control, Но мне кажется что покупать W2008R2 (или любую другую ОС Windows) + к нему за 25 000 (по количеству пользователей) Kerio, не имеет смысла. В интернете полно дистрибутивов типа zentyal, но яне много не доверяю подобному продукту в качестве продакш системы. Решил по пробовать ubuntu server 11 в связке с Netfilter/OpenVPN/Webmin
С последними двумя проблем не возникло, все настроено и работает. Но никак не могу разобраться с правилами iptables.

На сегодняшний день я понимаю iptables так:
 Основная таблица - filter (Пока интересует именно эта таблица, вопрос с NATом буду решать позже)
  INPUT - правило для входящих пакетов
  FORWARD - Транзитный трафик
  OUTPUT - Исходящий трафик
  Политика по умолчанию - DROP (Все что не разрешено - запрещено)
Соответственно что бы разрешить доступ к webmin с определенного ip адреса в internal сети.
Я добавляю следующее правило

Код: (javascript) [Выделить]

iptables -A INPUT -s 192.168.0.100 -d 192.168.0.1 -p tcp --dport 10000 -j ACCEPTзатем делаю релоуд iptables:

Код: (javascript) [Выделить]

iptables-save > /etc/iptables.up.rules
iptables-restore < /etc/iptables.up.rules
по идее теперь должно пускать, но не пускает
В чем я ошибся?

[di-erz]

А сразу после команды

Код: [Выделить]

iptables -A INPUT -s 192.168.0.100 -d 192.168.0.1 -p tcp --dport 10000 -j ACCEPT тоже не пускает?

[s.s]

нет
Пользователь решил продолжить мысль 05 Апрель 2012, 11:54:51:даже с указанием -i

Код: (html5) [Выделить]

iptables -A INPUT -s 192.168.0.100 -d 192.168.0.1 -i eth0 -p tcp --dport 10000 -j ACCEPT

[fisher74]

Код: [Выделить]

sudo iptables -nvL OUTPUT

[s.s]

Не совсем понял назначение этой команды

[fisher74]

она покажет, что у вас с цепочкой OUTPUT

[s.s]

Все по дефолту - DROP (Во общем - пусто).

[fisher74]

Вот здесь и беда. На данном (и не только) форуме считается, что -P DROP для OUTPUT почти всегда приведёт к ошибке. Что Вы в очередной раз и доказываете. Уймите свою параною и разрешите

Код: [Выделить]

sudo iptables -P OUTPUT ACCEPT

[s.s]

Вы правы, все получилось.
Т.е я понимаю так.
входящий разрешен, но вот ответить шлюз не может потому что по дефолту DROP ?
Если ACCEPT, чем это грозит ? если это правило подразумевает любой исходящий трафик с 192.168.0.1 (шлюз), но меня это вполне устоит.

[fisher74]

Всё именно так. Причём исходящий инициированный именно самим шлюзом.

[s.s]

Это то что нужно.
Спасибо большое за ответ.