Newsgroup: it.comp.os.linux.sys
Titolo: Iptables problemino

 insulti?
picio :)
-- 
signature: No such file or directory

 forward per permettere ai pacchetti di attraversare le 2 interfacce di
rete.
E' quello che pensavo, ma fatte le regole, non funzionano, o meglio e' come
se non esistessero, quello che non mi e' chiaro e' la policy delle chain.
Faccio un esempio ammettiamo che la policy della chain di input sia accept,
io in questa catena metto una regola che dice
regola1:) droppa tutti i pacchetti che non sono diretti all host 
10.2.3.8:80
ovviamente considera lo stato delle connessioni
che cosa succede quando un pacchetto matcha la regola? segue la policy della
chain? quindi viene accettato, mentre se non matcha la regola? che fa'?
viene semplicemente scartato?
Grazie molte

 viene semplicemente scartato?
vedi sopra. la regola dice di droppare: se un pacchetto matcha la 
regola, esso viene necessariamente droppato. comunque, prova a postare 
qui le righe di iptables che usi e vediamo un po' di capirci meglio. :)


 chain? 
Ci sono due tipi di target, quelli conclusivi (forse sono solo DROP, ACCEPT e
REJECT) che fanno terminare l'attraversamento delle chain e definiscono la 
sorte del pacchetto e quindi si passa al pacchetto successivo oppure i 
target non conclusivi (as esempio LOG) che fanno qualcosa al pacchetto che 
poi va avanti nel suo attraversamento della chain.
man iptables e capisci ogni tipo di target ;-) (beh, quasi :-p)
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.

 qui le righe di iptables che usi e vediamo un po' di capirci meglio. :)
Ciao Denny, grazie per le risposte
ecco le regole
allora le reti coinvolte sono 
10.2.3.0/24
 interfaccia fidata e
10.229.224.0/25
 non fidata, io debbo fare in modo che chiunque provenie
dalla 
10.229.224.0/25
 possa raggiungere solo la 10.2.3.8 sulla porta 80 e
permettere a tutte le macchine sempre della 10.229.224.0 di raggiungere la
porta 23 di 10.229.224.9 che e' il gateway tra le due reti, l'interfaccia
che si affaccia sulla rete fidata e' 10.2.3.9=eth1  mentre l'altra e'
10.229.224.9 = eth0
IP_FORWARD e' abilitato
regole
iptables -A INPUT -s 
10.2.3.0/24
 -p tcp -m state --state
NEW,RELATED,ESTABLISHED  -tcp -j ACCEPT
iptables -A INPUT -s 
10.2.3.0/24
 -p tcp -m state --state
NEW,RELATED,ESTABLISHED  -tcp --dport 10000  -j ACCEPT
iptables -A INPUT -s 10.229.224/25 -p tcp -m state --state
NEW,RELATED,ESTABLISHED  -tcp --dport 23  -j ACCEPT
iptables -A INPUT -s 10.229.224/25 -p tcp -m state --state
NEW,RELATED,ESTABLISHED  -tcp --dport 10000  -j ACCEPT
iptables -A INPUT -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -j DROP
iptables -A FORWARD -s 10.229.224.0 -d 10.2.3.8 -p tcp -m state --state
NEW,RELATED,ESTABLISHED  -tcp --dport 80  -j ACCEPT
iptables -A FORWARD -s 127.0.0.1 -j ACCEPT
iptables -A FORWARD -j DROP
queste sono le regole che grazie al vostro aiuto ho tirato fuori

 NEW,RELATED,ESTABLISHED  -tcp -j ACCEPT
questa regola non ha senso. dovrebbe darti errore... allora prova a 
definire prima una policy di default:
iptables -F
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
ipatbles -P FORWARD DROP
poi:
iptables -A INPUT -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -s 
10.2.3.0/24
 -p tcp --dport 10000 -j ACCEPT
iptables -A INPUT -s 
10.229.224.0/25
 -p tcp --dports 23,80,10000 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
alla regola che permette l'ingresso alla rete 10.229.224/25 ho aggiunto 
per sicurezza la porta 80 e ho corretto l'indirizzo (mancava un .0 alla 
fine). se vedi che non serve, togli la 80.
 > iptables -A FORWARD -s 10.229.224.0 -d 10.2.3.8 -p tcp -m
-----------------------------------^^^
questo indirizzo sicuramente non e' assegnato a nessun host.
iptables -A FORWARD -s 
10.220.224.0/25
 -d 10.2.3.8 -p tcp --dport 80 -j 
ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
non garantisco il funzionamento al primo colpo, ma prova cosi' :) al 
massimo, se vedi che non riesci a far routare i pacchetti che vuoi da 
una rete all'altra prova con un DNAT. gli utenti di 
10.229.224.0/25
 si 
connettono alla porta 80 del gateway il quale *DNATTA* :) a 10.2.4.8



wrote:

ora  funziona, ma devi implementare il DNAT in modo che i client della
10.229.224.0 possano accedere a 
10.2.3.8:80
 senza che imposto la
tabella di routing su tutti i client 
Grazie!