Newsgroup: it.comp.os.linux.sys
Titolo: Dubbio su iptables e controllo ip sorgente

Supponiamo di avere una interfaccia collegata ad un router esterno (eth0)
con ip pubblico 222.222.222.222 ed un'altra interfaccia (eth1) verso la
rete interna con ip 10.0.0.222
(sono ip fasulli ovviamente)
Oggi si discuteva sulla necessità o meno di effettuare il controllo nella
catena di input sull'ip di destinazione, in pratica se si poteva
semplicemente scrivere:
iptables -A INPUT -i eth0 -s ! 
10.0.0.0/16
 -j sottocatena
oppure se era necessario scrivere (come di solito faccio)
iptables -A INPUT -i eth0 -s ! 
10.0.0.0/16
 -d 222.222.222.222 -j
sottocatena
In pratica i pacchetti con destinazione diversa dall'ip dell'interfaccia
su cui sono arrivati vengono scartati o cmq non vanno nella catena di
INPUT o cosa?
-- 
| /
| \Byte - Andrea Briganti - kbytesys(aaattt)
tiscali.it
CSLug member: 
http://cslug.linux.it
 - JID: 
kb...@jabber.linux.it
***Ogni ideologia o movimento non è immune dagli idioti

 nella catena di INPUT o cosa?
Se l'ip non appartiene all'interfaccia, non ti parte nemmeno una arp
reply che quell'indirizzo se lo "porti dentro", per cui, al naturale,
non vedrai mai quel pacchetto nella tua input, a meno che qualcuno non
incapsuli quel pacchetto nel tuo mac-address (per quale motivo, poi,
mah... tanto lo stack lo ignorerà comunque...).
Può essere sensato, casomai, nel caso in cui usi proxy-arp o nel caso in
cui sulla eth0 ci siano altri ip (ovviamente), ma sono da considerarsi
casi particolari...
Soprattuto se hai un secondo ip che utilizzi per un nat o un port
forwarding verso una macchina da pubblicare, per segare via risposte
"spurie" dovute a quanto resta fuori dal nat e che pertanto va ad
impattare nella input.
In ogni caso - per quanto mi riguarda - in queste situazioni effettuo
sempre un full nat di tutti i protocolli e poi opero in forward,
piuttosto che nattare solo le singole porte, il che risparmia anche un
sacco di grane con gli icmp.
Ergo, non uso quasi mai la limitazione sulla destinazione che citi,
salvo casi particolari.
Questo ovviamente, per quello che mi sovviene. Se ti viene qualche caso
in cui abbia rilevanza dimmi, che hai sollevato la mia curiosità...
Hasta luego...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 in cui abbia rilevanza dimmi, che hai sollevato la mia curiosità...
Bhe, quando avrò un po' di tempo (quindi non nell'immediato), farò
qualche test con qualche generatore di pacchetti :) 
-- 
| /
| \Byte - Andrea Briganti - kbytesys(aaattt)
tiscali.it
CSLug member: 
http://cslug.linux.it
 - JID: 
kb...@jabber.linux.it
***Un errore di lancio o puntamento rende la bomba intelligente stupida

 Forse potresti provare con hping2.
Ho provato grazie e l'ho trovato molto utile...
Cmq per fare il test come intendo io mi servirebbe un programma (o
sistema) che invii un pacchetto verso un determinato MAC address ma con
intestazione ip sballata (ovvero con un ip diverso)...
-- 
| /
| \Byte - Andrea Briganti - kbytesys(aaattt)
tiscali.it
CSLug member: 
http://cslug.linux.it
 - JID: 
kb...@jabber.linux.it
***Coltiva LINUX tanto Windows si pianta da solo!