Форум русскоязычного сообщества Ubuntu


Считаете, что Ubuntu недостаточно дружелюбна к новичкам?
Помогите создать новое Руководство для новичков!

Автор Тема: iptables в качестве шлюза  (Прочитано 659 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн s.s

  • Автор темы
  • Новичок
  • *
  • Сообщений: 24
  • Wake up ...
    • Просмотр профиля
    • PRAETORIAN
iptables в качестве шлюза
« : 05 Апрель 2012, 11:33:21 »
Приветствую форумчане.
Собственно есть задача настроить шлюз для IP телефонии, т.е шлюз с тремя сетевыми картами (WAN/LAN/DMZ)
Пакеты с WAN не определенные ни одним правилом идут на DMZ (В частности H.323/TELNET и т.д),Входящие пакеты определенные правилами (SIP/RTP) с доверенных хостов идут в LAN (на asterisk). + К этому на сервере должен быть VPN для подключение филиалов и отдельных sip логинов (соответствующее правило VPN (SIP/RTP) -> LAN и обратно). Это все прекрасно работает на Kerio Control, Но мне кажется что покупать W2008R2 (или любую другую ОС Windows) + к нему за 25 000 (по количеству пользователей) Kerio, не имеет смысла. В интернете полно дистрибутивов типа zentyal, но яне много не доверяю подобному продукту в качестве продакш системы. Решил по пробовать ubuntu server 11 в связке с Netfilter/OpenVPN/Webmin
С последними двумя проблем не возникло, все настроено и работает. Но никак не могу разобраться с правилами iptables.

На сегодняшний день я понимаю iptables так:
 Основная таблица - filter (Пока интересует именно эта таблица, вопрос с NATом буду решать позже)
  INPUT - правило для входящих пакетов
  FORWARD - Транзитный трафик
  OUTPUT - Исходящий трафик
  Политика по умолчанию - DROP (Все что не разрешено - запрещено)
Соответственно что бы разрешить доступ к webmin с определенного ip адреса в internal сети.
Я добавляю следующее правило
Код: (javascript) [Выделить]
iptables -A INPUT -s 192.168.0.100 -d 192.168.0.1 -p tcp --dport 10000 -j ACCEPTзатем делаю релоуд iptables:
Код: (javascript) [Выделить]
iptables-save > /etc/iptables.up.rules
iptables-restore < /etc/iptables.up.rules

по идее теперь должно пускать, но не пускает :(
В чем я ошибся?
If you wake up at a different time in a different place, could you wake up as a different person?

Оффлайн di-erz

  • Активист
  • *
  • Сообщений: 364
  • Не ангел, крыльев нету...
    • Просмотр профиля
    • Sanaviron
Re: iptables в качестве шлюза
« Ответ #1 : 05 Апрель 2012, 11:40:43 »
А сразу после команды iptables -A INPUT -s 192.168.0.100 -d 192.168.0.1 -p tcp --dport 10000 -j ACCEPT тоже не пускает?
Большинство проблем от невнимательности, остальные от лени..
[Acer Aspire 5738G, ATI Mobility Radeon HD 4570, Ubuntu 12.04 LTS]
[HP ENVY m6-1106er AMD A10-4600M, Radeon HD 7660G/7670M, Ubuntu 14.04.2]

Оффлайн s.s

  • Автор темы
  • Новичок
  • *
  • Сообщений: 24
  • Wake up ...
    • Просмотр профиля
    • PRAETORIAN
Re: iptables в качестве шлюза
« Ответ #2 : 05 Апрель 2012, 11:49:59 »
нет :(

Пользователь решил продолжить мысль 05 Апрель 2012, 11:54:51:
даже с указанием -i

Код: (html5) [Выделить]
iptables -A INPUT -s 192.168.0.100 -d 192.168.0.1 -i eth0 -p tcp --dport 10000 -j ACCEPT
« Последнее редактирование: 05 Апрель 2012, 11:55:22 от s.s »
If you wake up at a different time in a different place, could you wake up as a different person?

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13750
    • Просмотр профиля
Re: iptables в качестве шлюза
« Ответ #3 : 05 Апрель 2012, 12:13:31 »
sudo iptables -nvL OUTPUT
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн s.s

  • Автор темы
  • Новичок
  • *
  • Сообщений: 24
  • Wake up ...
    • Просмотр профиля
    • PRAETORIAN
Re: iptables в качестве шлюза
« Ответ #4 : 05 Апрель 2012, 12:21:22 »
Не совсем понял назначение этой команды
If you wake up at a different time in a different place, could you wake up as a different person?

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13750
    • Просмотр профиля
Re: iptables в качестве шлюза
« Ответ #5 : 05 Апрель 2012, 12:22:44 »
она покажет, что у вас с цепочкой OUTPUT
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн s.s

  • Автор темы
  • Новичок
  • *
  • Сообщений: 24
  • Wake up ...
    • Просмотр профиля
    • PRAETORIAN
Re: iptables в качестве шлюза
« Ответ #6 : 05 Апрель 2012, 12:25:49 »
Все по дефолту - DROP (Во общем - пусто).
If you wake up at a different time in a different place, could you wake up as a different person?

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13750
    • Просмотр профиля
Re: iptables в качестве шлюза
« Ответ #7 : 05 Апрель 2012, 12:29:27 »
Вот здесь и беда. На данном (и не только) форуме считается, что -P DROP для OUTPUT почти всегда приведёт к ошибке. Что Вы в очередной раз и доказываете. Уймите свою параною и разрешите
sudo iptables -P OUTPUT ACCEPT
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн s.s

  • Автор темы
  • Новичок
  • *
  • Сообщений: 24
  • Wake up ...
    • Просмотр профиля
    • PRAETORIAN
Re: iptables в качестве шлюза
« Ответ #8 : 05 Апрель 2012, 12:35:46 »
Вы правы, все получилось.
Т.е я понимаю так.
входящий разрешен, но вот ответить шлюз не может потому что по дефолту DROP ?
Если ACCEPT, чем это грозит ? если это правило подразумевает любой исходящий трафик с 192.168.0.1 (шлюз), но меня это вполне устоит.
« Последнее редактирование: 05 Апрель 2012, 12:37:51 от s.s »
If you wake up at a different time in a different place, could you wake up as a different person?

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13750
    • Просмотр профиля
Re: iptables в качестве шлюза
« Ответ #9 : 05 Апрель 2012, 12:40:15 »
Всё именно так. Причём исходящий инициированный именно самим шлюзом.
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн s.s

  • Автор темы
  • Новичок
  • *
  • Сообщений: 24
  • Wake up ...
    • Просмотр профиля
    • PRAETORIAN
Re: iptables в качестве шлюза
« Ответ #10 : 05 Апрель 2012, 12:42:37 »
Это то что нужно.
Спасибо большое за ответ.
If you wake up at a different time in a different place, could you wake up as a different person?

 

Страница сгенерирована за 0.094 секунд. Запросов: 24.