Newsgroup: it.comp.os.linux.sys
Titolo: iptables a livello di applicativo ?

 
Si puo' usare iptables a livello di applicativo ?
 
Cioè se ho 2 eth , eth0 e eth1 e voglio che un processo instradi i 
pacchetti dall'interfaccia eth0 , e un altro dall'interfaccia eth1 ,
lo posso fare con iptables ?
 
Grazie


così come la descrivi no, non si può fare, ma a meno che non siano due 
processi server (che quindi bindano su due interfacce diverse) non se ne 
capisce il senso.
puoi spiegare meglio il motivo che ti porterebbe ad avere questa esigenza?


Se e no.
 
Che io sappia, una possibilita` con iptables e
di distinguere in funzione dell'utente.
 
Cioe` se un processo gira con permessi tizio:caio
(user:group) si puo` dire ad iptables di farci
qualcosa. Per esempio di uscire (mentre tutti gli
altri non possono).
 
Immagino sia possibile fare un forward da qualche
parte allo stesso modo.
 
bye,
 
-- 
 
piergiorgio


Se ho due processi diversi, ad esempio un browser e un client di posta ,
come posso usare eth0 per uno e eth1 per l'altro ?
 

 parte allo stesso modo.
 
Cioè l'unico modo per farlo con iptables è di lanciare i processi
da 2 utenti diversi, e poi impostare il routing in base al proprietario
del processo ?

 del processo ?
 
Non so se sia l'unico, so che e` un modo.
 
Ma se si tratta di browser e client di posta,
allora si avranno anche, sicuramente, due
destinazioni diverse.
 
Il che puo` anche essere configurato con
iptables oppure, forse, anche con route.
 
Dipende da cosa si voglia / debba fare.
 
bye,
 
-- 
 
piergiorgio


ma io chiedevo qual'è il problema per il quale hai pensato a questa 
soluzione.
te lo chiedo perché magari conoscendo il problema ti si può proporre una 
soluzione fattibile. questa non lo è, e così a naso non ha alcun senso.

 soluzione fattibile. questa non lo è, e così a naso non ha alcun senso.
 
se ho lo stesso programma che va a connettersi allo stesso server, ma 
voglio usare tutte e 2 le interfacce per avere 2 ip diversi ..?

 voglio usare tutte e 2 le interfacce per avere 2 ip diversi ..?
 
Eh?
 
Hai due connessioni? Una connessione?
In due momenti diversi? Nello stesso
momento?
 
Spiega bene, con piu` parole, quello
che ti serve. Non essere stringato,
non si capisce.
 
bye,
 
-- 
 
piergiorgio

come posso usare eth0 per uno e eth1 per l'altro ?
 
Instradi su eth0 le porte 80 e 443, e su eth1 le porte 25, 110, 143, 465, 567
e 993.
 
Oppure magari fai girare i due processi in due VM nattate diversamente.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

 bye,
 
Praticamente ho 2 reti diverse e vorrei instradare i pacchetti non
in base a regole classiche, ma in base all'applicativo che gira.
 
Il firewall di windows consente di farlo semplicemnete, si sceglie
l'eseguibile da gestire , poi si crea una regola che blocca tutto per 
quell'.exe , e una o piu' regole per far passare i pacchetti.
 
Nonostante il firewall di windows sia "strano" e singolare come sistema 
per filtrare, è semplice farlo.
 
Su linux non riesco a farlo, certamente non c'è solo iptables come
front-end di netfilter, ma io non conosco altri software che possano 
interagire a livello di applicativo con netfilter ( il firewall di linux 
embedded nel kernel).
 
 
 
 
 
 
 

 Leonardo
 
P.S. ma tu sei Leonardo Serni dell'epoca delle BBS ?
 
Ricordo un Leonardo Serni che metteva dei post da "paura" nell'area
assembler x86 , parlo di piu' di 20 anni fa ormai...
 
 
 

 quell'.exe , e una o piu' regole per far passare i pacchetti.
 
E funziona? Voglio dire se mi installo un
altro browser che regole segue?
Oppure non posso installare niente?
 
bye,
 
-- 
 
piergiorgio

 assembler x86 , parlo di piu' di 20 anni fa ormai...
 
Lui è eterno!
Egli esiste dalla notte buia delle calcolatrici programmabili RPN ed Egli 
esisterà quando Skynet tenterà invano di prendere il controllo...
Nessun terminator, nessuna matrix potrà metterLo in difficoltà.
 
Lode a leo
 
(coro: sempre sia lodato)
 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 bye,
 
Incredibile ma funziona, non ci credevo neppure io, mi son dovuto 
mettere a studiarlo per forza.
 
Se installi un altro browser esce sulle 2 interfacce diverse senza fare 
casini, son rimasto sorpreso anch'io.
E se l'interfaccia a cui è associato è down, non manda pacchetti da 
nessuna parte, se è configurato come "all deny" prima e poi con
altre regole per permettere il passaggio.
 
Ha anche un sacco di protocolli supportati,  igmp , etc...
 
 
 

 Lode a leo
 
Io ero un ragazzino all'epoca , ma me lo ricordo ancora.
A me pareva un genio o giu' di li'.

 casini, son rimasto sorpreso anch'io.
 
Quindi, se ho capito bene, se ho "edge"
col firewall configurato perche` passi
*solo* per eth0 e poi installo "firefox",
questo, senza nessuna regola aggiunta,
esce per eth0 ed eth1?
 
E` corretto?
 
bye,
 
-- 
 
piergiorgio

 E` corretto?
 
esattamente. Ed è semplicissimo da configurare, non si basa 
sull'interfaccia fisica, ma sul routing sottostante.
 
Basta dire che 1.exe usi un ip, e 2.exe usi un altro ip.
 
Poi è da vedere se proprio filtra tutto, per vie delle librerie, ma l'ip
è quello dell'interfaccia impostata.
Bisognerebbe collegare le interfacce a 2 bridge linux e vedere se magari 
qualche pacchetto non prende la strada sbagliata.
 
 


Poi occorre vedere come si comporta con le librerie.
Se 1.exe usa delle librerie , e questo uso non lo collega a 1.exe , 
allora di default usi la route con metric piu' piccolo ( il default 
route) , ma non ho fatto prove in queste senso.
 
Come al solito sto firewall è tutto strano, singolare, e non so se ci 
sia un'interfaccia per cli.
 
 

 qualche pacchetto non prende la strada sbagliata.
 
Dubito, sara` sicuramente fatto correttamente,
da quel punto di vista.
 
Il problema, semmai, e` che bisognerebbe
configurare *ogni* eseguibile in modo da
soddisfare le regole.
 
Sospetterei questo sia il motivo per cui
in Linux non e` cosi` facile.
 
bye,
 
-- 
 
piergiorgio

nell'area assembler x86 , parlo di piu' di 20 anni fa ormai...
 
Facciamo anche 30. Lavoravo con assembler intorno al 1990 ;-D


 dalla notte buia delle calcolatrici programmabili RPN
 
On a semi-related note, la mia HP28S continua a funzionare con le pile
originali. Devono avere almeno vent'anni :-O
 
Vero è che rimane spenta quasi da un capo dell'anno all'altro...
