Форум русскоязычного сообщества Ubuntu


Увидели сообщение с непонятной ссылкой, спам, непристойность или оскорбление?
Воспользуйтесь ссылкой «Сообщить модератору» рядом с сообщением!

Автор Тема: Доступ на определенные внешние адреса через iptables  (Прочитано 415 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Georgkhv

  • Автор темы
  • Новичок
  • *
  • Сообщений: 18
    • Просмотр профиля
Доброго времени суток.

Подскажите как лучше сделать.
В офисе есть 2 сети: проводная и беспроводная. С проводкой все ясно, возникла проблемка с беспроводкой, когда решили пускать всех сотрудников. А именно стоит маленький шлюз на Ubunte с прокси + статистика, фильтрует трафик между проводкой и беспроводкой. В беспроводки ходят ноуты работников + компы. Взмыли юзеры, че нам вайфай не дают на мобильные устройства, мол для работы же.

Получается на шлюзе там где WAN - это проводка, а LAN - это беспроводка. Файерволы отключены, как бы и не требовалось. Теперь надо включать. Надо с WANa был полный доступ в LAN, а из LANa на определенные IP адреса в проводной сети.

Думаем настроить, как один из вариантов, iptables так:

Цитировать
iptables -F
iptables -P OUTPUT DROP
iptables -P INPUT ACCEPT
iptables -P FORWARD DROP

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -p tcp --dport ssh -i eth0 -j ACCEPT
iptables -A OUTPUT -p tcp --dport domain -i eth0 -j ACCEPT
iptables -A OUTPUT -p tcp --dport ldap -i eth0 -j ACCEPT
iptables -A OUTPUT -p udp --dport ldap -i eth0 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 21 -i eth0 -j ACCEPT
iptables -A OUTPUT -p udp --dport 21 -i eth0 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -i eth0 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 3128 -i eth0 -j ACCEPT
iptables -A OUTPUT -s 10.0.1.1 -j ACCEPT
iptables -A OUTPUT -s 10.0.1.3 -j ACCEPT
iptables -A OUTPUT -s 10.0.1.11 -j ACCEPT
iptables -A OUTPUT -s 10.0.1.104 -j ACCEPT
iptables -A OUTPUT -s 10.0.1.77 -j ACCEPT

iptables -A OUTPUT -i lo -j ACCEPT

iptables -I OUTPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -I OUTPUT -p icmp --icmp-type source-quench -j ACCEPT
iptables -I OUTPUT -p icmp --icmp-type time-exceeded -j ACCEPT

Может есть другие предложение или допиливание этой весчи.
Заранее спасибо

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13750
    • Просмотр профиля
"Вам бы классиков почитать"... Извините, навеяло

Между Вашими правилами и Вашей задачей ниточка на столько тонка, что я, честно говоря, даже её не замечаю.
Какие-то WAN-ы, LAN-ы... Вроде как говориться про трафик между сетями, а в правилах только одна сетевая, да и ни одного правила в цепочке FORWARD
Или слова в песне меняйте, или музыку.
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн Georgkhv

  • Автор темы
  • Новичок
  • *
  • Сообщений: 18
    • Просмотр профиля
Я как бы не стал выкладывать весь конфиг, основные моменты

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13750
    • Просмотр профиля
Своё мнение о составе и качестве предоставленной информации, в целях понимания проблемы и попытки её решения, я уже высказал.
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

 

Страница сгенерирована за 0.096 секунд. Запросов: 24.