гостевой доступ к iptables.up.rules

[ye11ow]

Здравствуйте Форумчане. На форуме человек новый, прошу особо не стебать.

Появилась задача, ограничение сессий с одного IP средствами IpTables.

с ней справился так
-A INPUT -p udp -s x.x.x.x/32 --state NEW,RELATED,ESTABLISHED --dport 5575 -m connlimit --connlimit-above 2 -j DROP

-A INPUT -p udp -s x.x.x.x/32 --dport 5575 -j ACCEPT
Потом появилась новая задача предоставить GUI доступ для руководителей подразделений, чтобы они могли сами указывать кол-во сессий для своих сотрудников.

Концепцию я вижу так:
Пользователь забивает web-форму типа "IP" и "кол-во коннектов", от туда генериться временный текстовик tmp типа:
192.168.0.100;10
 дальше мы дописываем эту строку в свой файлик
echo $tmp >> $table (на этом этапе надо проверить нет ли уже строчки с этим IP)
и удаляем $tmp.
потом некий скрипт в кроне сравнивает предыдущий файл $table с новым.
если новый отличается некий обработчик генерит новый файлик iptables.up.rules и рестартует iptables.
Вопросы:
Правильна ли концепция?
Как обработать файлик $table?
заранее спасибо

[.ubuntufan]

Щито?
А почему нельзя сразу генерировать iptables.up.rules?
Зачем крон вообще и временный файл?

[ArcFi]

рестартует iptables

Это тоже лишнее.
Правила можно добавлять прямо в рабочую конфигурацию соответствующей командой.

[ye11ow]

Щито?
А почему нельзя сразу генерировать iptables.up.rules?
Зачем крон вообще и временный файл?

не смейтесь, я решил что так безопасней

рестартует iptables

Это тоже лишнее.
Правила можно добавлять прямо в рабочую конфигурацию соответствующей командой.

а как тогда конфиг будет сохраняться?
Пользователь решил продолжить мысль 26 Ноября 2014, 15:48:58:больше интересует как обрабатывать файл $table (программист из меня посредственный )

[.ubuntufan]

больше интересует как обрабатывать файл $table (программист из меня посредственный )

Удаляйте существующее правило, добавляйте новое.
Наймите тогда того кто сделает. Это не очень дорого.

-A INPUT -p udp -s x.x.x.x/32 --state NEW,RELATED,ESTABLISHED --dport 5575 -m connlimit --connlimit-above 2 -j DROP

Алсо, разве для udp имеет смысл connlimit?

[ye11ow]

ну правило-то работает...

[ArcFi]

Посмотрите в сторону firewalld.

Код: [Выделить]

firewall-cmd --direct --add-rule …
firewall-cmd --runtime-to-permanentТам даже должен быть D-Bus API.