Newsgroup: it.comp.os.linux.sys
Titolo: iptables: quanta CPU?!?

Ciao a tutti...
Ho questo tipo di necessità: impedire l'accesso ad Internet ad un certo
numero di IP. Però questi IP non sono "contigui", bensì sparsi per 4 subnet
private (192.168.0.0, 192.168.0.1,192.168.0.2, 192.168.0.3).
Ora pensavo di aggiungere una riga per ogni IP in iptables, nella catena
FORWARD, bloccando gli accessi alla porta 80. Dovrebbe bastare, o sbaglio? O
mi conviene aggiungere anche altre porte "di navigazione"? Inoltre: quanto
mi pesa a livello di ritardi e di occupazione di CPU una riga per ogni IP da
bloccare? Sarebbero oltre 200 penso... (alcune delle subnet hanno solo 1 o 2
IP abilitati!)...
Grazie per gli eventuali consigli!


Talking about music is like dancing about architecture.
                -- Laurie Anderson

 
0.0.0.0/0
 80 -j DENY
OK, ho capito cosa intendi e mi piace, però ho anche subnet che hanno un
numero diverso di client che devono navigare... quindi lì mi toccherà usare
una riga per ogni IP, giusto? Bene, se così fosse: quanto mi carica la CPU
e/o mi rallenta la navigazione??? Inotre: DENY o REJECT? che differenza
ottengo???
THanx...

On Sun, 9 Dec 2001 13:38:46 +0100, OxygeN 
was talkin'about:

Non saprei quantificare ma un firewall per controllo sia interno che esterno
con circa 200 regole per 50 client utilizzati full time non aveva problemi
su un P133 che faceva andare anche squid in transparent proxy.
--
  Giuseppe "Cowo" Corbelli \/\ My software: 
http://yoda.ing.unibs.it/~cowo
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Any sufficiently advanced bug is indistinguishable from a feature. !>-
                 Rich Kulawiec

 THanx...


 private (192.168.0.0, 192.168.0.1,192.168.0.2, 192.168.0.3).
Se,  come mi  sembra di  capire, gli  indirizzi abilitati  sono meno  di
quelli da  bloccare puoi  fare il  contrario: inserire  all'inizio della
catena tutti  gli indirizzi abilitati  e poi  chiudere con un  regola di
DROP generale.
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
Porc i' mond che cio' sott i piedi!
V. Catozzo

 su un P133 che faceva andare anche squid in transparent proxy.
Caspita! Proprio su un P133 con 64MB sto lavorando io! E guardacaso uso
squid (ma non come transparent proxy)!
Grazie...

On Mon, 10 Dec 2001 08:38:39 +0100, OxygeN 
was talkin'about:

Dimenticavo che usava ipchains e non iptables. Devi cmq tenere conto di
altre cose: l'accesso esterno era consentito solo con ssh, ma se uno si
metteva a fare scp grossi la CPU era proprio un collo di bottiglia.
--
  Giuseppe "Cowo" Corbelli \/\ My software: 
http://yoda.ing.unibs.it/~cowo
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Drink To Your Brothers Who Are Never To Fall, We Are Brothers Of Metal
  		Here In The Hall! !>-
  			Manowar - Brothers Of Metal PT1

 done
OK, ho letto tutto, ma ora ti chiedo: con iptables non devo specificare "-s
$HTTP 1024:65535" (intendo dire le porte!) e nemmeno "-d ... bla bla" (la
porta)!
Ho letto che esiste l'opzione --destination-port... ma per la SOURCE è
necessario specificare qualche porta???
Grazie ancora

 Grazie ancora
figurati ... ciao


 metteva a fare scp grossi la CPU era proprio un collo di bottiglia.
Io dall'esterno non ci arrivo sulla macchina... non mi interessa al momento!
Grazie!