Newsgroup: it.comp.os.linux.iniziare
Titolo: iptables problema

Allora. pc con due schede di rete eth0 192.168.5.21 che esce su internet e
eth1 10.1.1.100 che da verso l'interno della lan. Con le seguenti regole
iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
riesco ad uscire su internet anche dall'interno con i pc 10.1.1.x
ma come posso fare se volessi uscire solo da UN pc della lan interna? Cioè
come posso specificare a iptables che deve accettare e rigirare i pacchetti
sull'altra interfaccia di rete solo da un pc specifico (o da più, computer,
aggiungendo regole)
io ho provato con
iptables -t nat -A POSTROUTING -s 10.1.1.x/32 -o eth0 -j MASQUERADE dove x è
lo specifico pc ma continuo ad uscire anche dagli altri...
Grazie
--
Simone
----
"Come parla?! Come parla?! Le parole sono importanti! Come parla?! "

 lo specifico pc ma continuo ad uscire anche dagli altri...
Dunque, a occhiometro e a nasometro e a intuitometro:
1) la catena forward e' in accept: significa che la linux box effettua routing
anche per i pc in lan non nattati dalla regola di masqerading, e permette loro
di raggiungere comunque il router...
2) Hai due ip privati sulle due: interfacce di rete: suppongo allora tu abbia un
router che a sua volta fa NAT/PAT
3) Nel router e' anche definita una route verso la eth0 della linux box
(vero,falso?)
Girando il mestolo nel calderone contenente i tre ingredienti, posso emettere il
verdetto-cacchiata finale:
Il router natta anche quello che gli proviene ("routato" dalla linux box e non
alterato da nessuna regola di SNAT) dalla lan su eth1, non solo quello che gli
proviene, o direttamente da processi della linux box (forse: output e' in
DROP...), o da traffico nattato, dall'interfaccia eth0...
soluzione (sempre che non abbia detto cacchiate): metti la catena forward in
DROP, aggiungendo ad essa una regola per accettare le nuove connessioni dalla
lan, ed una regola per i pacchetti di ritorno delle connessioni iniziate dai
client in lan, cioe':
iptables -A FORWARD -i eth1 -o eth0 -s 
192.168.5.0/24
 -m state --state NEW -j
ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
bye G.L.
--
La logica non attiene alla verosimiglianza delle ipotesi,
ma alla coerenza delle tesi con le ipotesi.

 iptables -A FORWARD -i eth1 -o eth0 -s 
192.168.5.0/24
 -m state --state NEW -j
Rettifica: al posto di 
192.168.5.0/24
, l'ip specifico del pc che vuoi far uscire...


 ha scritto nel messaggio
news:3EDE0E88...@tiscalinet.it...


 più lungo.
Ma infatti, conviene "tappare" tutto, e poi decidere cosa puo' passare...


 > piů lungo.


 no?
Be'... puoi anche omettere quelle due opzioni, e' solo un "paranoid mode" di
fare un firewall evitando il piu' possibile scherzi stile ip spoofing...     ;-)
Nella seconda non c'e' tanto bisogno IMHO perche' di per se' le altre regole
nella catena decidono su quali interfacce, quali ip e quali porte accettare le
nuove connessioni. La regola in questione fa solo passare tutto il traffico in
ingresso e uscita gia' stabilito e relazionato, che e' poi il traffico che *tu*
hai permesso con altre regole di poter essere... iniziato. Quindi non mi sembra
una security hole, visto che tratta pacchetti di connessioni leciamente
stabilite dalla tua policy di sicurezza... D'altronde con una sola regola di
stato di quel tipo non posso mettere a priori le interfacce di ingresso e di
uscita, perche' il traffico relazionato non e' solo quello di ritorno, ma anche
quello di uscita, e quello comprendente anche, per esempio, il traffico icmp
relazionato a quella connessione, che e' vero entra, ma e' anche originato dalla
linux-box...
Tutto il discorso e' opinabile, naturalmente, non sono un grande esperto...
:-)
