Ощущается как +18

2 м/с северный.

Новая тема

Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.

Список тем

Question on iptables

С друзьями на NN.RU

У вас пока нет друзей на NN.RU, поэтому ссылка на тему не может быть отправлена.

Воспользуйтесь поиском, чтобы найти новых друзей.

В социальных сетях

Investigator

23.09.2006

Привет,

вопрос касательно iptables. Есть машина с двумя сетевыми картами. Карты сконфигурированы на разные сетевые сегменты:
191.1.xxx.yyy netmask 255.255.0.0
191.2.aaa.bbb netmask 255.255.0.0

как необходимо сконфигурировать iptables, чтобы:
1. мультикаст пакеты из одного сегмента блокировались в другом
2. peer-to-peer соединения между сегментами были разрешены
?

PS. мне подсказывали, что надо инструкции ниже записать в файл:

*filter
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]

-A FORWARD –i eth0 –o eth1 –m pkttype –-pkt-type multicast –j DROP
-A FORWARD –i eth1 –o eth0 –m pkttype –-pkt-type multicast –j DROP
-A FORWARD –j ACCEPT
-A INPUT –j ACCEPT
-A OUTPUT –j ACCEPT

COMMIT

а потом вызвать команду iptables-restore <filename>

Но правильный это вариант или нет - незнаю.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

GPRSnik!!

23.09.2006

http://gzip.nn.ru/community/gorod/tech/?do=read&thread=232851&topic_id=4165899&Keywords=iptables
http://gzip.nn.ru/community/gorod/tech/?do=read&thread=205292&topic_id=3596272&Keywords=iptables

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Сейчас читают

Тема Просмотров

довела. 8602

Странный сотрудник 225

а ты наш или не наш? 1010

Ростелекомовский Wink. Не могу отключить навязанные подписки. 26665

Похоронные компании в России заработали рекордные 40 млрд рублей с начала года 685

Смерть русской деревни, или все-же советской ? 2095

Полосатый мух

25.09.2006

/SBIN/IPTABLES -A FORWARD -d 224.0.0.0/4 -j DROP
по идее это запретит форвард мультикаст-пакетов.

Судя по процитированному файлу, система какая то из редхат образных. Так что можно после всех введенных правил набрать /etc/init.d/iptables save

Кстати вот это:
-A INPUT –j ACCEPT
на мой взгляд косяк. Политика по умолчанию в разумном файрволе должна быть drop, даже если это роутер между локальными сегментами. Насчет peer-to-peer соединений - надо бы уточнить, что за протоколы и порты используются.

-A FORWARD –i eth0 –o eth1 –m pkttype –-pkt-type multicast –j DROP
-A FORWARD –i eth1 –o eth0 –m pkttype –-pkt-type multicast –j DROP

в случае всего 2 сетевух это дублирование 1 общего правила:
IPTABLES -A FORWARD –m pkttype –-pkt-type multicast –j DROP
по идее и это должно работать.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

nnstepan

25.09.2006

Полосатый мух писал(а)
Кстати вот это:
-A INPUT –j ACCEPT
на мой взгляд косяк.

Наверно в FORWARDе DROP по умолчанию надо, а не в INPUTе ?
Хотя конечно я везде по умолчанию Дроп ставлю :)

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Полосатый мух

25.09.2006

Если это LAN роутер, то его задача обычно по всем интерфейсам все подряд, кроме явно запрещенных данных. Поэтому политика DROP для forward тут под сомнением. Да и для OUTPUT тоже.

А вот во входящей цепочке - точно нужно DROP. Нефик по портам роутера лазить всем подряд, даже из локалки (imho).

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Новая тема

Список тем

Последние темы форумов

Форум Тема (Автор) Последний ответ Ответов

Техно-форум Ноутбуки вроде подешевели. Не? - spyco 11.06.2025 в 21:58:16 62

Объявления на НН.РУ - Техника

Добавить объявление

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9 Отправка в регионы после оплаты. Продаются сразу обе. Цена за обе 2000 руб....
Цена: 1 000 руб.

Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Принтер лазерный HEWLETT PACKARD HP-6L

Принтер лазерный HEWLETT PACKARD HP-6L Отправка в регионы после оплаты. 3штуки БУ. Внешний вид из магазина простояли на складе...
Цена: 4 500 руб.

Сетевой фильтр APC Surge Arrest

Сетевой фильтр APC Surge Arrest для радиолюбителя.и не только Отправка в регионы после оплаты. ЦЕНА 3000 руб. В рабочем состоянии....
Цена: 3 000 руб.