HOWTO: Iptables для новичков

[Illusion]

где скачать архив для iptabler?

[Kowalski86]

Люди помогите решить проблему! Видимо это все таки относится к Iptables, ибо имеется несколько алиасных подсетей:
eth0 - 10.0.0.0/24
eth0:2 - 10.0.2.0/24
ну и т.д.

Так вот из нулевой подсети пакеты ходят везде в любую подсеть, а из алиасных ни в нулевую ни в другие...
Каким образом необходимо прописать форвардинг что-ли?

Для форвардинга имеется стандартное правило:
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT, но при этом работает то, что описал выше...
Блин не пойму что делать...
Пользователь решил продолжить мысль 23 Августа 2012, 16:53:54:

где скачать архив для iptabler?

Какой архив?

[Illusion]

iptables

[AnrDaemon]

iptables

Какой архив? О чём вы??...

Kowalski86, маршрутизацию лечите.

[fisher74]

Так вот из нулевой подсети пакеты ходят везде в любую подсеть, а из алиасных ни в нулевую ни в другие...

Kowalski86, маршрутизацию лечите.

Не могу согласиться полностью, ввиду первого (выделенного) "условия". Скорее всего ещё и маскарад некорректно настроен. Надо смотреть весь комплекс: интерфейсы шлюза, маршрутизацию (в том числе и клиентскую), правила netfilter на шлюзе

где скачать архив для iptabler?

Видимо где-то здесь

[Illusion]

На этом сайте выскакивает следущие:
Это соединение является недоверенным
     
     
     
     
       
          Вы попросили Firefox установить защищённое соединение с git.netfilter.org, но мы не можем гарантировать, что это соединение является защищённым.
          Обычно, когда вы пытаетесь установить защищённое соединение, сайты предъявляют проверенный идентификатор, служащий доказательством того, что вы направляетесь в нужное место. Однако идентификатор этого сайта не может быть проверен.
       
       
       
          Что мне делать?
         
            Если вы обычно без проблем соединяетесь с данным сайтом, эта ошибка может означать, что кто-то пытается подменить этот сайт другим. В этом случае вам не следует продолжать соединение.
           
         
       
       
       
       
         
       
        git.netfilter.org использует недействительный сертификат безопасности.

К сертификату нет доверия, так как отсутствует цепочка сертификатов издателя.

(Код ошибки: sec_error_unknown_issuer)

       
       
         
       
       
          Если вы понимаете что происходит, вы можете попросить Firefox начать доверять идентификатору данного сайта.
Даже если вы доверяете этому сайту, эта ошибка может означать, что кто-то вклинивается в ваше соединение с сайтом.
          Не добавляйте исключение, если вы не знаете о веской причине, по которой этот сайт не использует доверенный идентификатор.

Доверять или не надо?
Пользователь решил продолжить мысль 23 Августа 2012, 20:07:44:Короче я скачал с другого сайта а через терминал он не устанавливается! Sh: 0: Can't open install.sh
Если запускать со значка инсталки то он выкидывает какой-то лог где я не могу понять как за инсталить, вот!

[AnrDaemon]

Что мне делать?

Прекратить маяться дурью! iptables уже есть в системе!

[Kowalski86]

Kowalski86, маршрутизацию лечите.

Не могу согласиться полностью, ввиду первого (выделенного) "условия". Скорее всего ещё и маскарад некорректно настроен. Надо смотреть весь комплекс: интерфейсы шлюза, маршрутизацию (в том числе и клиентскую), правила netfilter на шлюзе

Я в принципе могу выложить весь конфиг, но пока обьясню коротко:
eth1 - смотрит наружу т.е. имеет внешний ИП.
eth0 - в локалку, имеет адреса (10.0.0.0/24,10.0.2.0/24,10.0.3.0/24) и.т.
На eth0 INPUT разрешенны следующие порты: 22,53,3128.
На eth1 INPUT только по SSH.
Имеется также правило для выпуска локальных алресов наружу:
-A POSTROUTING -o eth1 -j MASUERADE, все прекрасно работает!
Выпускаю наружу при помощи conntrack, пример правила:
-A FORWARD -m conntrack --ctstate NEW -s 10.0.0.231 -j ACCEPT (т.е. разрешаю выход наружу одному ИП)

Вопрос стал на стадии маршрутизации между основной сетью 10.0.0.0/24 и остальными "алиасами".
Сегодня экспериментировал и добился маршрутизации!!! путем такой команды:
-A FORWARD -i eth0 -j ACCEPT, но при этом отвалились адреса, которые ходят в мир напрямую )
Если задействовать conntrack нифига не работает, только голое правило!

Вполне возможно что дальше на работе станет вопрос о разграничении прав между подсетями, и тут я офигею...
Раньше для этот стоял Shorewall (я его не ставил, это сделал предыдущий злостный админ), после опыта работы с ним около 4 мес. решил перевести все на Iptables ибо Shorewall вызывает у меня аллергическую реакцию )))

У кого есть какие-нибудь варианты/предложения по поводу маршрутизации между алиасами?
Буду рад выслушать любые предложения/замечания!!!

[AnrDaemon]

-A FORWARD -o eth1 -m conntrack --ctstate NEW -s 10.0.0.231 -j ACCEPT

...
но лучше такие правила загонять в отдельную цепочку.

[Illusion]

Что мне делать?

Прекратить маяться дурью! iptables уже есть в системе!

Его просто установить из менеджера?
Пользователь решил продолжить мысль 24 Августа 2012, 16:05:20:Что мне делать если iptables уже установлены но при вводе команды в терминале iptabler он мне выдаёт следущие
iptabler: command not found
делаю всё как написано здесь https://forum.ubuntu.ru/index.php?topic=20334.msg1050724#msg1050724

[fisher74]

Вы смысл фразы "уже есть в системе" видимо не до конца осознали
введите в терминале

Код: [Выделить]

iptables -V

[Illusion]

Помогите кто-нибудь настроить iptables не одна комадна из ниже приведенных не работает
iptabler config gedit
и т.д, он начинает ругаться, выдает
No command 'iptabler' found did you mean:
Command 'iptables' from package 'iptables' (main)

[fisher74]

У Вас проблема с грамматикой. iptabler действительно нет в системе.

[Illusion]

1. Скачиваете архив и разорхивируте его.
2. Запускаете скрипт install.sh, (здесь придётся ввести пароль, а пользователям неGnome лучше сразу запустить от root'а).
3. Открываете терминал суаерпользователя (чтобы не писать sudo перед каждой командой), и вводите:
Код: [Выделить]

iptabler

должна появится краткая справка.
4. Теперь, вводите:
Код: [Выделить]

iptabler config gedit

5. В открывшемся файле внимательно прочитываете комментарии и указываете требуемые параметры (всё вроде несложно).
6. Сохраняете файл.
7. Выполняете:
Код: [Выделить]
Вот пожалуйсто! По какому аспекту я делаю, а если вводить iptables config то он пишет bad argument `config'

[fisher74]

Ах вон про что Вы... Ну здесь обсуждается сами iptables, а не свистоперделки к ним.

Интересно - свистоперделка к инструменту для управления netfilter
Пользователь решил продолжить мысль 24 Августа 2012, 21:42:57:Хорошо. И что у Вас не получается? ./install.sh запускали в терминале? что оно сказало?
покажите выхлоп

Код: [Выделить]

ls -l /usr/sbin/iptabler