iptables закрыть все кроме Самбы

[La5erWind]

Мучаюсь уже пол дня, может великий дух пятницы мешает, а может где сам туплю..

Задача, есть сетка 192.168.1.0/24

на компе 192.168.1.191 Ubuntu, на которой надо запретить все соединения кроме Самбы.
Комп с виндой 192.168.1.219

Итого имеем:

Chain INPUT (policy ACCEPT)
Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)

Samba работает

выполняю


# правило по умолчанию дропнуть все пакеты
iptables -P INPUT DROP

#Разрешаем пройти INPUT для самба портов через tcp
iptables -A INPUT -p tcp --source 192.168.1.0/24 -m multiport --source-port 137,138,139,445 -j ACCEPT

#Разрешаем пройти INPUT для самба портов через udp
iptables -A INPUT -p udp --source 192.168.1.0/24 -m multiport --source-port 137,138,139,445 -j ACCEPT

и тут самба перестает работать.. где я туплю?

[Lion-Simba]

Я так понимаю, что Windows (и самба) не обязательно коннектятся с портов 137,138,139,445.
Но обязательно на эти порты. Поэтому лучше делать привязку не --source-port, а --destination-port.

И кстати source-port - это потенциальная дыра. Ибо при такой конфигурации как у тебя сейчас, можно приконнектится к тебе на ЛЮБОЙ порт, лишь бы у злоумышленника в качестве исходного был выставлен 137,138,139 или 445. А это не проблема.

[d3rp]

Вроде так правильно

Код: [Выделить]

iptables -A INPUT -p udp -s 192.168.1.0/24 -m multiport --dports 137,138 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.1.0/24 -m multiport --dports 139,445 -j ACCEPT

[is_a]

# правило по умолчанию дропнуть все пакеты
iptables -P INPUT DROP

Если все пакеты на входе дропать, то разве что-то дальше пройдет?)

[d3rp]

iptables -P задает правило по-умолчанию, т.е. если ни одно правило не сработало, то выполняется правило по-умолчанию

[is_a]

iptables -P задает правило по-умолчанию, т.е. если ни одно правило не сработало, то выполняется правило по-умолчанию

Ясно, туплю, попутал с прероутингом.

[La5erWind]

Вроде так правильно

Код: [Выделить]

iptables -A INPUT -p udp -s 192.168.1.0/24 -m multiport --dports 137,138 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.1.0/24 -m multiport --dports 139,445 -j ACCEPT

Спасибо! Действительно правильно!

Всем огромное спасибо, все работает.