Page 25 of 36 FirstFirst ... 15232425262735 ... LastLast
Results 361 to 375 of 532

Thread: Настройка IPTables

  1. 25-06-2010, 14:18 #361
    Power
    Power is offline wl-500gp user
    Join Date
    May 2007
    Location
    Истра
    Posts
    1,246
    Quote Originally Posted by Timuchin View Post
    простите за некропост, но это вроде как единственная тема про Iptables.

    стоит задача ограничить внешний доступ к железке.
    с внешнего адреса (известного) получить доступ к веб интерфейсу модема,
    веб интерфейсу торрента и естественно SSH извне с любого адреса.
    все остальные доступы перекрыть.

    доступ изнутри наружу оставить открытым.

    я в настройке Iptables совсем чайник. не судите строго.
    пока что у меня тока 2 строчки...
    iptables -I INPUT -s (адрес внешнего источника) -p tcp --dport 80 -j ACCEPT
    iptables -I INPUT -p tcp -m tcp --dport 51778 -j ACCEPT

    ssh открыт вроде как, стоит ли перекрывать телнет?

    заранее спасибо за советы.
    Вам нужно что-то вроде
    Code:
    iptables -P INPUT DROP
iptables -D INPUT -j DROP
iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
iptables -A INPUT -s адрес_внешнего_источника -p tcp -m tcp --dport 80 -j ACCEPT
iptables -A INPUT -s адрес_внешнего_источника -p tcp -m tcp --dport 8080 -j ACCEPT
    Everybody stand back. I know iptables.
    Мой вариант правильного выключения роутера.
    Reply With Quote Reply With Quote
  2. 13-07-2010, 11:43 #362
    Fly3110
    Fly3110 is offline Registered User
    Join Date
    Jul 2010
    Posts
    4

    сломал голову с iptables :)

    Всем привет!

    Не понимаю, чем

    Code:
    iptables -t mangle -A PREROUTING -s 192.168.0.2 -j MARK --set-mark 1
ip rule add fwmark 1 table 1
    отличается от
    Code:
    ip rule add from 192.168.02 table 1
    ?

    первое не работает, второе работает.
    в table 1 - одна строчка, заворот трафика на определенный интерфейс.

    Еще не понимаю, почему если сделать
    Code:
    iptables -t mangle -A PREROUTING -d 192.168.0.2 -j LOG --log-prefix "mangle: "
iptables -t nat -A PREROUTING -d 192.168.0.2 -j LOG --log-prefix "nat: "
    и попытаться с 192.168.0.2 выйти на какой либо сайт, то в логах видны только пакеты (ответы сайта) из таблицы mangle, до nat они не доходят такое ощущение, как это может быть, не понимаю.

    Если же из интернета попробовать зайти на 192.168.0.2 - видно и mangle и nat.

    Вообще изначально задача была такая - есть 2 интерфейса, ppp0 и ppp1. default gw - ppp1. Надо чтобы 192.168.0.2 был доступен по 80у порту по ppp0
    Reply With Quote Reply With Quote
  3. 13-07-2010, 13:21 #363
    Fly3110
    Fly3110 is offline Registered User
    Join Date
    Jul 2010
    Posts
    4

    не понимаю iproute2

    Всем привет.

    asus wl520gu, прошивка от энтузиастов.

    Code:
    [root@WL-485B39175DEB root]$ ip rule list
0:      from all lookup local
32764:  from 192.168.0.2 lookup 2
32765:  from all fwmark        1 lookup 1
32766:  from all lookup main
32767:  from all lookup 253


[root@WL-485B39175DEB root]$ ip route list table 1
default dev ppp0  scope link

[root@WL-485B39175DEB root]$ ip route list table 2
default dev ppp0  scope link

[root@WL-485B39175DEB root]$ iptables -t mangle -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
MARK       all  --  192.168.0.2          anywhere            MARK set 0x1
... (остальное в mangle пусто)
    В этом случае все работает как надо, все ходят по умолчанию через ppp1, а 192.168.0.2 ходит через ppp0
    но стоит убрать из ip rule строчку from 192.168.0.2 lookup 2, как 192.168.0.2 вообще перестает ходить в интренет.

    ставил в "ip route table 2" перенаправление на другой интерфейс (не ppp0 или ppp1) и смотрел, есть ли там что-то от 192.168.0.2 - нету
    Система - роутер asus wl520gu

    почему меня не устраивает первый вариант, когда прописано from 192.168.0.2 - потому что я хочу чтобы 192.168.0.2 ходил в интернет через ppp1, а вот то, что идет с его 80го порта - шло через ppp0. Но сделать это, если заставить работать iproute2 только по fwmark - 5 секунд.
    Reply With Quote Reply With Quote
  4. 13-07-2010, 13:37 #364
    AndreyPopov
    AndreyPopov is offline Forum Guru
    Join Date
    Feb 2008
    Location
    Dniepropetrovsk, Ukraine
    Posts
    1,527

    Question

    вы задачу как-то задом-наперед описываете!!!

    что значит "все что с его 80-го порта"?????

    вы хотите, чтобы к вашему Web серверу, который находится на 80-м порту 192.168.0.2 обращались через интерфейс ppp0 ????

    так?
    Reply With Quote Reply With Quote
  5. 13-07-2010, 14:25 #365
    vectorm
    vectorm is offline Лужу, паяю, АВМ починяю
    Join Date
    Feb 2008
    Location
    Moscow, Tver
    Posts
    3,962
    Quote Originally Posted by Fly3110 View Post
    Всем привет.
    Вы еще третью тему создайте по этой проблеме.
    Будете продолжать - поедете во "Флудильню".
    Было: WL500gP (fw 1.9.2.7-10-USB-1.71) + Toshiba TravelStar 250Gb 2.5" inside router.
    (ADOS + rTorrent WebUI+rtorrent + samba + rrdtool + XMail + QuiXplorer + ClamAV)
    > Мои инструкции < Для новичков и ленивых > Wiki переехало сюда < "Ночные" сборки >
    Reply With Quote Reply With Quote
  6. 13-07-2010, 14:53 #366
    Fly3110
    Fly3110 is offline Registered User
    Join Date
    Jul 2010
    Posts
    4
    Quote Originally Posted by AndreyPopov View Post
    вы задачу как-то задом-наперед описываете!!!

    что значит "все что с его 80-го порта"?????

    вы хотите, чтобы к вашему Web серверу, который находится на 80-м порту 192.168.0.2 обращались через интерфейс ppp0 ????

    так?
    Да. Это и хочу. Но и хочу понять почему не работает в том варианте, который я описал

    vectorm приношу извинения, реально голова уже кругом от этого
    Reply With Quote Reply With Quote
  7. 13-07-2010, 17:23 #367
    YVM
    YVM is offline Senior Member
    Send a message via ICQ to YVM
    Join Date
    Jul 2008
    Location
    Kyiv, Ukraine
    Posts
    123

    перенаправить пакеты в сеть

    Может быть кто-то сталкивался с такой проблемой?
    Исходные:
    1. Роутер 1 RT-N16 (прошивка 1.9.2.7-rtn-r1764) IP 172.XX.XX.2 работает как основной.
    2. Роутер 2 WL500gpV2 (OpenWRT Backfire в режиме bridged client) IP 172.XX.XX.100- на нем поднят IPSEC c удаленной внутренней сетью 192.168.XX.0. IPSEC направляет пакеты в домашнюю сеть 172.XX.XX.0/24.
    3. Чтобы направить пакеты с роутера 1 на IPSEC использую
    route add -net 192.168.XX.0 netmask 255.255.255.0 gw 172.XX.XX.100
    4. Все работает, но понимаю, что это не правильно и нужно прописать а iptables
    Вопрос: Как, чтобы не на один IP а на всю сеть 192.168.XX.0?
    RT-N16, SSD-60, lighttpd, Mysql, Squid 2.7, Xmail, Openvpn, bind, Dreambox 500 + WL500gpV2 (OpenWRT) IPsec
    Reply With Quote Reply With Quote
  8. 22-07-2010, 20:54 #368
    Dale_C
    Dale_C is offline Junior Member
    Join Date
    Sep 2009
    Location
    Moscow, Russia
    Posts
    7

    iptables, ssh - помогите плиз!

    Комрады, помогите, весь мозг сломал уже.
    Задача: по адресу ххх.ххх.ххх.ххх стоит и работает SSH сервер на порту tcp3033.
    Роутер WL500gpv2 с прошивкой 1.9.2.7-d-r1445 и внешним адресом ууу.ууу.ууу.ууу.
    С роутера делаю телнет - все ок.
    Code:
    [root@router root]$ telnet ххх.ххх.ххх.ххх 3033
SSH-2.0-1.2.2 VShell
    но с компьютера в локалке работающего по wifi с адресом 192.168.1.101 - телнет не проходит.

    смотрим iptables:
    Code:
    Chain PREROUTING (policy ACCEPT 8134 packets, 815K bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 DNAT       udp  --  any    any     ххх.ххх.ххх.ххх       anywhere            udp dpt:https to:72.14.203.188:5228
    0     0 DNAT       tcp  --  any    any     ххх.ххх.ххх.ххх       anywhere            tcp dpt:https to:72.14.203.188:5228
 7200  765K VSERVER    all  --  any    any     anywhere             ууу.ууу.ууу.ууу

Chain POSTROUTING (policy ACCEPT 13069 packets, 886K bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 SNAT       udp  --  any    any     anywhere             tx-in-f188.1e100.net udp dpt:5228 to:ууу.ууу.ууу.ууу
    0     0 SNAT       tcp  --  any    any     anywhere             tx-in-f188.1e100.net tcp dpt:5228 to:ууу.ууу.ууу.ууу
  692 33216 MASQUERADE  all  --  any    vlan1  !ууу.ууу.ууу.ууу         anywhere
   14  3112 SNAT       all  --  any    br0     192.168.1.0/24       192.168.1.0/24      to:192.168.1.1

Chain OUTPUT (policy ACCEPT 13087 packets, 889K bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain VSERVER (1 references)
 pkts bytes target     prot opt in     out     source               destination
    0     0 DNAT       udp  --  any    any     anywhere             anywhere            udp dpt:3478 to:192.168.1.199:3478
    0     0 DNAT       udp  --  any    any     anywhere             anywhere            udp dpt:3479 to:192.168.1.199:3479
    0     0 DNAT       udp  --  any    any     anywhere             anywhere            udp dpt:3658 to:192.168.1.199:3658
    и цепочка Forward

    Code:
    Chain FORWARD (policy ACCEPT 711 packets, 34128 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     udp  --  any    any     ххх.ххх.ххх.ххх       anywhere            udp dpt:5228
    0     0 ACCEPT     tcp  --  any    any     ххх.ххх.ххх.ххх       anywhere            tcp dpt:5228
    0     0 ACCEPT     all  --  br0    br0     anywhere             anywhere
    0     0 DROP       all  --  any    any     anywhere             anywhere            state INVALID
72542   65M ACCEPT     all  --  any    any     anywhere             anywhere            state RELATED,ESTABLISHED
    0     0 DROP       all  --  !br0   vlan1   anywhere             anywhere
    0     0 ACCEPT     all  --  any    any     anywhere             anywhere            ctstate DNAT
    0     0 DROP       all  --  any    br0     anywhere             anywhere
    Что не так? Почему не работает с машины из локалки? Как я понимаю ведь соединение приходит с 192.168.1.101, маскарадится на выходе и дальше успешно маскарадится и проходит Forward со статусом Established. Но почему же не работает в итоге? При том у меня впечатление что соединение даже устанавливается, но пакеты назад не приходят...
    Reply With Quote Reply With Quote
  9. 26-07-2010, 15:00 #369
    Dale_C
    Dale_C is offline Junior Member
    Join Date
    Sep 2009
    Location
    Moscow, Russia
    Posts
    7
    ну неужели ни у кого идей нету где собака могла порыться? уже весь мозг расплавлен..
    Reply With Quote Reply With Quote
  10. 18-08-2010, 07:18 #370
    Spartach
    Spartach is offline Member
    Join Date
    Feb 2010
    Posts
    90

    Роутинг в зависимости от сервиса.

    Подскажите, пожалуйста, как реализовать роутинг в зависимости от сервиса?
    На роутере опубликованы службы (SSH, Web-морда управления, PPTP сервер), сам роутер устанавливает PPTP подключение к другой сети, соответственно 2 маршрута по умолчанию через vlan1 и через ppp0, причем метрика 0 у ppp0.
    Как заставить роутер при обращении к нему на определенные порты отвечать через шлюз на vlan1 а не через ppp0?
    Нашел такое решение, но будет ли оно работать на наших роутерах?

    _http://www.linux.org.ru/forum/admin/443040;jsessionid=A5E451EB947FD96BD8BDB61C76966D68 #comment-443774

    Может быть кто-то сталкивался с такой задачей, или просто имеет мысли по данному вопросу?
    Reply With Quote Reply With Quote
  11. 18-08-2010, 11:39 #371
    Virtuals
    Virtuals is offline Senior Member
    Join Date
    Jul 2010
    Posts
    308
    смотреть в сторону VSERVER

    попробуй в разделе
    NAT Setting - Virtual Server
    добавить проброс,
    а далее глянуть
    Status & Log - Diagnostic Information
    думаю просветление наступит! 100%
    вот для примера попробовал
    Chain VSERVER (1 references)
    pkts bytes target prot opt in out source destination
    0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:8887 to:192.168.200.7:8887
    DIR-320 много,+ другие уже тож много + медиа-плееры и планшеты, и все на мипс
    Reply With Quote Reply With Quote
  12. 18-08-2010, 11:50 #372
    Spartach
    Spartach is offline Member
    Join Date
    Feb 2010
    Posts
    90

    Поясню.

    Не совсем понял, к сожалению...
    Мне проброс как таковой не нужен.
    Есть роутер, WAN смотрит в инет со статикой + поднимается PPTP в другую сеть.
    На роутере открыты порты SSH, WEB морда управления, и запущен POPTOP.
    Пока PPTP не поднялось, из инета доступны все указанные порты.
    Как только поднимается PPTP, так шлюзом с метрикой 0 становится ppp0, соответственно при обращении к роутеру на его "родной" внешний статический IP порты не доступны, т.к. роутер отвечает через шлюз PPTP.
    Если я добавляю статический маршрут, чтобы на второй (с которого осуществляю доступ) IP пакеты продолжали ходить через шлюз vlan1 а не ppp0, то все отлично, но это не красиво, т.к. доступ может понадобится из разных мест.
    От сюдя единственное на мой взгляд решение, заставить роутер при обращении к нему на определенный перечень портов отвечать через шлюз vlan1 а не ppp0.
    Reply With Quote Reply With Quote
  13. 18-08-2010, 13:18 #373
    Virtuals
    Virtuals is offline Senior Member
    Join Date
    Jul 2010
    Posts
    308
    хм чет мне это напоминает.....

    а точно
    рус VPN
    дуал PPTP

    короче инет на Русский манер, локал без впн и инет с впн. вопрос неоднократно подымался, и решение найдено. чуток поиском по форуму пройдись
    DIR-320 много,+ другие уже тож много + медиа-плееры и планшеты, и все на мипс
    Reply With Quote Reply With Quote
  14. 18-08-2010, 13:33 #374
    Spartach
    Spartach is offline Member
    Join Date
    Feb 2010
    Posts
    90

    Еще уточню :-)

    Все бы ни чего, если бы MAN не был инетом... :-)
    Конечно же маршруты для подсети сделал бы и все.
    Но тут загвоздка в том что MAN это инет, и маршрутизить нужно на основании порта. Как раз в первом посте сыль дал, там нечто подобное реализовано. Но должен быть патч на iptables.
    А есть он или нет в наших роутерах и можно ли его прикрутить понятия не имею :-) По этому и инетересуюсь, может есть у кого опыт?
    Reply With Quote Reply With Quote
  15. 19-08-2010, 08:05 #375
    agros
    agros is offline Member
    Join Date
    Nov 2006
    Location
    Russia.
    Posts
    67
    Quote Originally Posted by Spartach View Post
    Все бы ни чего, если бы MAN не был инетом... :-)
    Конечно же маршруты для подсети сделал бы и все.
    Но тут загвоздка в том что MAN это инет, и маршрутизить нужно на основании порта. Как раз в первом посте сыль дал, там нечто подобное реализовано. Но должен быть патч на iptables.
    А есть он или нет в наших роутерах и можно ли его прикрутить понятия не имею :-) По этому и инетересуюсь, может есть у кого опыт?
    наверное нужно смотреть в сторону iptables MARK... метить пакеты в зависимости от интерфейса, более точно к сожалению не подскажу, в shorewall (что в свою очередь транслируется в iptables) это делается легко, правда нужно уточнить, работает ли здесь маркировка пакетов.
    Reply With Quote Reply With Quote
Page 25 of 36 FirstFirst ... 15232425262735 ... LastLast
« Previous Thread | Next Thread »

Similar Threads

  1. Help with IPTABLES
    By tomv in forum WL-500gP Q&A
    Replies: 1
    Last Post: 14-01-2008, 20:43
  2. Iptables
    By byteZero in forum WL-500g Q&A
    Replies: 2
    Last Post: 07-11-2006, 19:23
  3. How to configure Firewall/iptables
    By samoht in forum WL-500g/WL-500gx Tutorials
    Replies: 3
    Last Post: 14-08-2005, 01:28
  4. iptables vs web interface
    By bomberman in forum WL-500g Q&A
    Replies: 0
    Last Post: 20-05-2005, 08:06
  5. Iptables
    By barsju in forum WL-500g Q&A
    Replies: 15
    Last Post: 01-03-2005, 01:36

Tags for this Thread

Posting Permissions

  • You may not post new threads
  • You may not post replies
  • You may not post attachments
  • You may not edit your posts
  •  

Forum Rules