Не так работает iptables

[KDEX]

Всем привет.
Не могу добиться корректной работы iptables.
А именно не могу раздать интернет только конкретным пользователям.
Листинг iptables:

#!/bin/sh

# Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward

#Очистим все цепочки
   iptables -F
   
# Разрешаем трафик на loopback-интерфейсе
   iptables -A INPUT -i lo -j ACCEPT
# Разрешим пользоваться инетом  указанных ниже
   iptables -A FORWARD  -i eth0 -p ALL  -s 10.0.0.20/24 -j ACCEPT
   iptables -A FORWARD  -i eth0 -p ALL  -s 10.0.0.28/24 -j ACCEPT

# Разрешаем ответы из внешней сети
   iptables -A FORWARD -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Включаем NAT
   iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth1  -j MASQUERADE 

 

Когда в цепочках с указанными ip в первой прописываю ACCEPT инет появляется у всех, так же и с DROP и REJECT, стоит прописать у первого остальные отваливаются. Что не так прошу помогите
Пользователь решил продолжить мысль 24 Декабря 2012, 08:19:41:В той ли я цепочке осуществляю такую фильтрацию? Или её нужно осуществлять в цепочках nat PREROUTING

[AnrDaemon]

"listing iptables" - это то, что выводит iptables-save.
Показывайте... под спойлером.

[KDEX]

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.12 on Mon Dec 24 13:55:53 2012
*nat
:PREROUTING ACCEPT [3048:238268]
:INPUT ACCEPT [1133:80230]
:OUTPUT ACCEPT [9:558]
:POSTROUTING ACCEPT [9:558]
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j MASQUERADE
COMMIT
# Completed on Mon Dec 24 13:55:53 2012
# Generated by iptables-save v1.4.12 on Mon Dec 24 13:55:53 2012
*filter
:INPUT ACCEPT [3005:230295]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [2464:299969]
-A INPUT -i lo -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -i eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Mon Dec 24 13:55:53 2012

[fisher74]

iptables -A FORWARD  -i eth0 -p ALL  -s 10.0.0.20/24 -j ACCEPT
 iptables -A FORWARD  -i eth0 -p ALL  -s 10.0.0.28/24 -j ACCEPT

sudo iptables -A FORWARD -i eth0 -s 10.0.0.15/32 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -s 10.0.0.17/32 -j ACCEPT

[KDEX]

fisher74,
и? Что это даёт? Тут добавляете вручную через sudo а у меня через скрипт с автозапуском.

[ArcFi]

а у меня через скрипт

Код: [Выделить]

man iptables-save iptables-restore

[KDEX]

Всё равно не работает как надо

[AnrDaemon]

А что вы сделали, чтобы заработало?
Может, вы попробовали предложенные вам советы?
Или разобарлись в том, где была ваша ошибка?

У вас
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
перебивает все остальные правила в цепочке. При том, что я не понимаю, зачем вообще его было сюда писать.

*filter
:FORWARD DROP [0:0]
:ALLOWED - [0:0]
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -m state --state RELATED,ESTABLISHED,DNAT -j ACCEPT
-A FORWARD -i eth0 ! -d 10.0.0.0/24 -j ALLOWED
-A FORWARD -i eth1 -o eth0 -j REJECT --reject-with icmp-net-unreachable (реально, не стоит врять людям. Даже в мелочах.)
-A ALLOWED -s 10.0.0.1/32 -j ACCEPT
-A ALLOWED -s 10.0.0.3/32 -j ACCEPT
COMMIT

Как-то так должно работать.

[fisher74]

fisher74,
и? Что это даёт? Тут добавляете вручную через sudo а у меня через скрипт с автозапуском.

Это даёт, то что Вы хотите добиться.
Если текст и похож некоторыми элементами, то это не значит, что результаты этих команд совпадают с результатами Ваших команд. Ещё раз посмотрите чем отличаются мои команды и команды AnrDaemon от Ваших и найдите все отличия. Потом загляните в Iptables Tutorial и посмотрите на что эти отличия влияют.

[KDEX]

У вас
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
перебивает все остальные правила в цепочке. При том, что я не понимаю, зачем вообще его было сюда писать.

Такое правила у меня не прописано.
Пробовал вручную:
sudo iptables -F <<- очитстил всё что было
sudo iptables-save проверил, всё чисто правил нет.
sudo iptables -A FORWARD -i eth0 -o eth1 -s 10.0.0.2 -j ACCEPT < - пропускаю только 10.0.0.2
sudo iptables -P FORWARD DROP < -остальных дропаю
sudo iptables -t nat -A POSTRUOTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source <внешний ip моего шлюза>, пробовал заменять на маскарадинг.
запускаю  sudo iptables-save 

:OUTPUT ACCEPT [2464:299969]
-A INPUT -i lo -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.0/24 -i eth0 -o eth1 -j ACCEPT

Ходят по прежнему все. Может проблема в nat и указать не всю сеть а только разрешенные хосты?




Пользователь решил продолжить мысль 24 Декабря 2012, 11:37:23:fisher74,
Точно. Маска 
Пользователь решил продолжить мысль 24 Декабря 2012, 11:39:06:Спасибо ребята.

[KDEX]

Ещё вопросец:
Добавил цепочку которая пропускает трафик из внешней сети только по указанным портам.
eth1 - внешний со статическим адресом от провайдера.
eth0 - локальная сеть.

iptables -A FORWARD -i eth1 -p tcp -m multiport --source-port  21,25,80,110,443,666,670,1024,1992,3389,5190,8080 -j ACCEPT
iptables -A FORWARD -i eth1 -p tcp -j DROP

Не могу понять логику системы, когда в первом правиле -i eth1 указываю интерфейс на который был получен пакет -i eth0 то есть на интерфейс локальной сети и порты назначения --destination-port  21,25,80,110,443,666,670,1024,1992,3389,5190,8080 тогда правило не фильтрует порты, а когда указанно как в цитате порты наружу фильтруются, только непонятно почему интерфейс внешний на который получен пакет -i eth1  ведь на этот интерфейс идут пакеты из глобальной сети. Я так предполагаю что правило пропускает пакеты наружу, но входящие фильтрует.  Вопрос: помогите написать цепочку которая не будет пропускать вообще из пакеты с указанными портами из локалки наружу.

[ArcFi]

Код: [Выделить]

-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o <внешний интерфейс> -p tcp -m state --state NEW -m multiport --dports <порты>
...
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

[KDEX]

arcfi,
благодарствую
Пользователь решил продолжить мысль 25 Декабря 2012, 22:45:12:arcfi,
Проверил, не фильтрует(((

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.12 on Tue Dec 25 23:53:13 2012
*nat
:PREROUTING ACCEPT [54:3057]
:INPUT ACCEPT [1:78]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
-A POSTROUTING -s 10.0.0.0/24 -o eth1 -j SNAT --to-source адрес внешнего интерфейса
COMMIT
# Completed on Tue Dec 25 23:53:13 2012
# Generated by iptables-save v1.4.12 on Tue Dec 25 23:53:13 2012
*filter
:INPUT ACCEPT [100:6490]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [132:23410]
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -s 10.0.0.2/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.3/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.4/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.8/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.9/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.11/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.12/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.13/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.14/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.16/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.18/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.20/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.21/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.25/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.27/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.29/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.30/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.33/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.37/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.57/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.59/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.71/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.80/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.82/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.83/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.100/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.103/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.115/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.121/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.122/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.206/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -s 10.0.0.249/32 -i eth0 -o eth1 -j ACCEPT
-A FORWARD -o eth1 -p tcp -m state --state NEW -m multiport --dports 21,80,443,666,670,1024,1992,5190,8080 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Tue Dec 25 23:53:13 2012

[AnrDaemon]

У вас нарушен порядок правил, "-o eth1", естественно, лишнее, и "-i eth0" тоже лишнее.

[KDEX]

AnrDaemon,
Это вы про правило -A FORWARD -s 10.0.0.206/32 -i eth0 -o eth1 -j ACCEPT