Polskie Forum Użytkowników Debiana

#!/bin/bash
 
echo 1 > /proc/sys/net/ipv4/ip_forward
 
iptables -F
iptables -F -t nat
iptables -F -t mangle
 
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

iptables -t nat -A POSTROUTING -o eth0 -m iprange --src-range 192.168.0.2-192.168.0.50 -j MASQUERADE
 
#akceptacja połączeń zainicjowanych przez serwer i powiązanych
iptables -I INPUT -p ALL -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
 
#odblokowane porty
iptables -A INPUT -p tcp -m multiport --dport 80,443,3128 -j ACCEPT 
iptables -A INPUT -p udp -m multiport --dport 53,80,443,3128 -j ACCEPT
 
#przekierowanie na squida
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
 
#ping - odpowiedź i wysyłanie
iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
 

Nie rozumiem twojego pytania. Jesli nie chcesz przedziału to podaj kolejne wybrane porty. Pamietaj ze w regułce mozesz zawrzeć max 15.

&quot pisze:Tak więc nie jest dobre blokowanie ruchu, który wychodzi z Twojego komputera w świat.

#akceptacja połączeń zainicjowanych przez serwer i powiązanych
iptables -I INPUT -p ALL -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT

Więc wyjaśnij mi po co opcja ,,new''. Jest dla tych, które chcą nawiązać połączenie nowe z jakimiś portami nasłuchującymi.

&quot pisze:Te regułki bez opcji ,,NEW'' wpuszczają wszystkie połączenia, niezależnie, czy są powiązane z już ustanowionymi opcjami ,,RELATED, ESTABLISHED'', czy też nie.

1. Polecenie:

   Kod: Zaznacz cały

   iptables -I INPUT -p ALL -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT

   
   powoduje, że ze świata NIE można wejść nagle przez SSH, a jeśli wybiorę polecenie:

   Kod: Zaznacz cały

   iptables -I INPUT -p ALL -i eth0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

   
   to będę mógł wejść przez SSH, tak jakby policy DROP w ogóle nie obowiązywało.
2. Natomiast:

   Kod: Zaznacz cały

   axactive0103:~# iptables -L
   Chain INPUT (policy DROP)
   target     prot opt source               destination         
   ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
   ACCEPT     icmp --  anywhere             anywhere            icmp echo-request 
   ACCEPT     icmp --  anywhere             anywhere            icmp echo-reply 
   
   Chain FORWARD (policy ACCEPT)
   target     prot opt source               destination         
   
   Chain OUTPUT (policy ACCEPT)
   target     prot opt source               destination         
   axactive0103:~# ping www.abix.info.pl -c3 -w3
   PING www.abix.info.pl (195.162.24.38) 56(84) bytes of data.
   64 bytes from cutty-sark.abix.info.pl (195.162.24.38): icmp_seq=1 ttl=64 time=0.527 ms
   64 bytes from cutty-sark.abix.info.pl (195.162.24.38): icmp_seq=2 ttl=64 time=0.308 ms
   64 bytes from cutty-sark.abix.info.pl (195.162.24.38): icmp_seq=3 ttl=64 time=0.268 ms
   
   --- www.abix.info.pl ping statistics ---
   3 packets transmitted, 3 received, 0% packet loss, time 1998ms
   rtt min/avg/max/mdev = 0.268/0.367/0.527/0.115 ms
   

   jak widać działa w 100%. Przetestowałem właśnie, bo widzę, że nikomu się nie chciało.
   
   Konkluzja zatem jest następująca - kolego piter8989, pokaż wyniki poleceń:

   Kod: Zaznacz cały

   iptables -L
   cat /etc/resolv.conf
   ping -c3 -w3 www.abix.info.pl

Kod: Zaznacz cały

iptables -I INPUT -p ALL -i eth0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

iptables -P OUTPUT ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT