Registered User
У меня прошивка от энтузиастов там есть возможность настроить firewall в web-морде (думаю в олеговской тоже самое есть не помню еже давно ее сменил) но подробнее сейчас сказать не могу нет под рукой роутера. Возможно позже.Originally Posted by SerJJ
Registered User
Подскажите, пожалуйста! Есть локальная сеть, на WL500g. Нужно сделать так, чтобы одно устройство (или по ip или по mac) не могло выйти в интернет, но в локальной сети работало. Есть ли возможность реализовать это через вэб-интерфейс роутера?
Registered User
Раздел Internet Firewall - WAN & LAN Filter там можно фильтровать трафик по ip на внешнем и внутреннем но это на прошивке от энтузиастов на оригинале не помню как там у меня она прожила примерно 30 минут после покупки роутера
Junior Member
wl500gpv1 подключен через 3G модем к инету.
Часто траффик с локалки в инет такой плотный, что скрипт с роутера не имеет возможности пробиться в инет и отослать почту по расписанию.
Вопрос: как из скрипта временно отключить роутинг с локалки в инет, т.е. чтобы из локалки можно было зайти на роутер, но нельзя было выйти в инет? А после отправки почты с роутера снова подключить локалку к инету.
Проблема решилась следующим образом:
отрезать локальную сеть от интернета
Еще добавил паузуiptables -I FORWARD -d ppp0 -j DROP
sleep 5
иначе почта все равно висла - видимо буфер не сразу чистится
после отключения от интернета.
восстановить доступ из локальной сети в интернет
iptables -D FORWARD -d ppp0 -j DROP
Большое спасибо!
Last edited by psionrevo; 27-01-2012 at 19:31.
Junior Member
Пользуюсь одной из последних прошивок от Энтузиастов, есть задача запретить отдному из беспроводных пользователей доступ в инет в определенное время суток. Например ночью. Какой командой это можно сделать? временная блокировка по MACу?
RT-N16 прошивка от энтузиастов
WL-500gPv2 прошивко от Олега
(Корбина-Москва)
Member
В один не прекрасный день начальника приказала перекрыть девушкам социалку с 9 до 13 и с 14 до 17, почесал репу и полез в Internet Firewall - URL Filter. Но тут ждал облом - создал правило для отрезка времени 9-13, а для 14-17 наотрез отказался это делать мотивируя тем, что запись с подобным адресом уже естьПошаманив и поматерившись, решил сделать вручную:
Code:iptables -I FORWARD -p tcp -m time --timestart 09:00:00 --timestop 13:00:00 --weekdays Mon,Tue,Wed,Thu,Fri -m webstr --url vk.com -j DROPПрекрасно отрабатываясь в памяти, настройки решил сохранить:Code:iptables -I FORWARD -p tcp -m time --timestart 14:00:00 --timestop 17:00:00 --weekdays Mon,Tue,Wed,Thu,Fri -m webstr --url vk.com -j DROP
Code:iptables-save > /usr/local/sbin/post-firewallCode:chmod +x /usr/local/sbin/post-firewallВот тут и вылез непонятный косяк - выдало, что /usr/local/sbin/post-firewall не существуетCode:flashfs save && flashfs commit && flashfs enable && reboot
Терь не знаю что и делать, в оперативке провисит, до первого же пинка, а куда тогда сохранять даже не представляю
RT-N16 на 1.9.2.7-rtn-r4772 + Скрипт "Установка программ для чайника" (Новая редакция) на 8Gb Silicon Power Touch T01 + WD 2.5" 160Gb USB 2.0
Forum Guru
Терь не знаю что и делать, в оперативке провисит, до первого же пинка, а куда тогда сохранять даже не представляюМожно например так, если что )Code:mkdir -p /usr/local/sbin/ echo "#!/bin/sh" >> /usr/local/sbin/post-boot cp /usr/local/sbin/post-boot /usr/local/sbin/post-firewall cp /usr/local/sbin/post-boot /usr/local/sbin/post-mount cp /usr/local/sbin/post-boot /usr/local/sbin/pre-shutdown chmod +x /usr/local/sbin/p* flashfs save flashfs commit flashfs enable
Junior Member
или так )))
>> /usr/local/sbin/post-firewall && chmod 755 /usr/local/sbin/post-firewall
flashfs save && flashfs commit && flashfs enable
TReX, зачем же так сурово советовать, а если уже был, к примеру, файл post-mount ??? затрется же
дельным советом является первая строчка
возможно файл post-firewall не создался как раз из-за отсутствия каталога.Code:mkdir -p /usr/local/sbin/
Forum Guru
) и где логика? был фаил, но не было каталога в котором он лежит?
Forum Guru
Логика очень простая - автор не смог или не захотел прочитать FAQ, а также сообщения об ошибках шелла. Более того, достаточно посмотреть на вывод iptables-save, чтобы понять что ЭТО не может быть shell-скриптом...
Твоё предложение - начать всё с нуля, а MercuryV пытается(-лся) пройти по шагам.
Member
Проверил на другом роутере в post-firewall висит:
но не отрабатывает, доступ по прежнему есть :/ совсем не похоже, что Internet Firewall - URL Filter через post-firewall работаетCode:-A FORWARD -p tcp -m time --timestart 09:00:00 --timestop 13:00:00 --weekdays Mon,Tue,Wed,Thu,Fri -m webstr --url vk.com -j DROP -A FORWARD -p tcp -m time --timestart 14:00:00 --timestop 17:00:00 --weekdays Mon,Tue,Wed,Thu,Fri -m webstr --url vk.com -j DROP
Last edited by PTZ-M; 02-07-2012 at 06:40.
RT-N16 на 1.9.2.7-rtn-r4772 + Скрипт "Установка программ для чайника" (Новая редакция) на 8Gb Silicon Power Touch T01 + WD 2.5" 160Gb USB 2.0
Member
Действительно отсутствовало, но толку не принесло...
Попробовал через морду создать правило:
В Status & Log - Diagnostic Information как раз есть похожая строчка, в отличии от post-firewall:
если пустить iptables-save:Code:IP Tables Chain INPUT (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 80 3668 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate INVALID 2692 282K ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED 53 22788 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 ctstate NEW 899 120K ACCEPT all -- br0 * 0.0.0.0/0 0.0.0.0/0 ctstate NEW 6 192 ACCEPT 2 -- * * 0.0.0.0/0 224.0.0.0/4 0 0 ACCEPT udp -- * * 0.0.0.0/0 224.0.0.0/4 udp dpt:!1900 76 19558 SECURITY all -- vlan2 * 0.0.0.0/0 0.0.0.0/0 ctstate NEW 1 330 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:67 dpt:68 0 0 BRUTE tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:21 flags:0x17/0x02 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.12.1 tcp dpt:80 6 333 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 Chain FORWARD (policy ACCEPT 529 packets, 39855 bytes) pkts bytes target prot opt in out source destination 0 0 REJECT tcp -- * * 0.0.0.0/0 0.0.0.0/0 webstr: url www.mega-porno.ru/ reject-with tcp-reset 68538 91M out_traffic all -- br0 * 0.0.0.0/0 0.0.0.0/0 36228 7726K in_traffic all -- * br0 0.0.0.0/0 0.0.0.0/0 0 0 ACCEPT all -- br0 br0 0.0.0.0/0 0.0.0.0/0 127 5080 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate INVALID 0 0 ACCEPT udp -- * * 0.0.0.0/0 224.0.0.0/4 126K 109M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED 0 0 DROP all -- !br0 vlan2 0.0.0.0/0 0.0.0.0/0 9 436 SECURITY all -- !br0 * 0.0.0.0/0 0.0.0.0/0 ctstate NEW 9 436 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate DNAT 0 0 DROP all -- * br0 0.0.0.0/0 0.0.0.0/0 Chain OUTPUT (policy ACCEPT 5134 packets, 2050K bytes) pkts bytes target prot opt in out source destination Chain BRUTE (1 references) pkts bytes target prot opt in out source destination 0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 recent: UPDATE seconds: 600 hit_count: 3 name: BRUTE side: source 0 0 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 recent: SET name: BRUTE side: source Chain MACS (0 references) pkts bytes target prot opt in out source destination Chain SECURITY (2 references) pkts bytes target prot opt in out source destination 9 436 RETURN tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02 limit: avg 1/sec burst 5 0 0 RETURN tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x04 limit: avg 1/sec burst 5 4 471 RETURN udp -- * * 0.0.0.0/0 0.0.0.0/0 limit: avg 5/sec burst 5 3 192 RETURN icmp -- * * 0.0.0.0/0 0.0.0.0/0 limit: avg 5/sec burst 5 69 18895 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 Chain UPNP (0 references) pkts bytes target prot opt in out source destination Chain in_traffic (1 references) pkts bytes target prot opt in out source destination Chain logaccept (0 references) pkts bytes target prot opt in out source destination 0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate NEW LOG flags 39 level 4 prefix `ACCEPT ' 0 0 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 Chain logdrop (0 references) pkts bytes target prot opt in out source destination 0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate NEW LOG flags 39 level 4 prefix `DROP ' 0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 Chain out_traffic (1 references) pkts bytes target prot opt in out source destination
P.S. В /tmp/local/ есть файлы: inet_auto.sh, inet_off.sh, inet_on.sh В которых криптики от имевших место выше идей как "убивать" детям интернет. Система читая, кроме проши Олеговой и прог для чайника ничего самостоятельно больше не прикручивалось.Code:-A INPUT -d 192.168.12.1/32 -p tcp -m tcp --dport 80 -j ACCEPT -A INPUT -j DROP -A FORWARD -p tcp -m webstr --url www.mega-porno.ru/ -j REJECT --reject-with tcp-reset -A FORWARD -i br0 -j out_traffic
Last edited by PTZ-M; 02-07-2012 at 10:48.
RT-N16 на 1.9.2.7-rtn-r4772 + Скрипт "Установка программ для чайника" (Новая редакция) на 8Gb Silicon Power Touch T01 + WD 2.5" 160Gb USB 2.0
Member
Так и не получив толку, решил зайти с другой стороны и сделать всё топорно:
Создал абсолютные правила:
Добавил исключения:
Code:nano /tmp/local/inet_auto.shАвтоотработка при старте:Code:iptables -I FORWARD -p tcp -m time --timestart 13:00:00 --timestop 14:00:00 --weekdays Mon,Tue,Wed,Thu,Fri -m webstr --url vk.com -j ACCEPT
Прикручиваем исполняемость:Code:mv /tmp/local/inet_auto.sh /opt/etc/init.d/S99inet_rule.sh
Ну и временную (нечего перед коллегами палиться, т.ч. пусь повисит в оперативеCode:chmod +x /opt/etc/init.d/S99inet_rule.sh) дырку себе делаем:
Проверяем наличие правил на всякий:Code:iptables -I FORWARD -p tcp -m mac --mac-source XX:XX:XX:XX:XX:XX -j ACCEPT
P.S. стали жаловаться, что до 9 всё равно не пускает интернетCode:iptables-saveплюнул, грохнул глобальные правила и в S99inet_rule.sh прописал их вручную с потиранием предыдущего:
Code:iptables -I FORWARD -p tcp -m time --timestart 09:00:00 --timestop 13:00:00 --weekdays Mon,Tue,Wed,Thu,Fri -m webstr --url vk.com -j DROP iptables -I FORWARD -p tcp -m time --timestart 14:00:00 --timestop 17:00:00 --weekdays Mon,Tue,Wed,Thu,Fri -m webstr --url vk.com -j DROP
Last edited by PTZ-M; 05-07-2012 at 08:13.
RT-N16 на 1.9.2.7-rtn-r4772 + Скрипт "Установка программ для чайника" (Новая редакция) на 8Gb Silicon Power Touch T01 + WD 2.5" 160Gb USB 2.0
Posting Permissions
Reply With Quote
