Автор Тема: Для чего нужна вторая сточка  (Прочитано 3963 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн kylakevu4

Для чего нужна вторая сточка
« : 02 Октября 2013, 16:16:03 »
Нашел в инете примеры использования iptables, но не нашел описания. Подсажите пожалуйста для чего нужна вторая строчка?

Чтобы заблокировать адрес взломщика 1.2.3.4:
1. # iptables -A INPUT -s 1.2.3.4 -j DROP
2. # iptables -A INPUT -s 192.168.0.0/24 -j DROP
 

Оффлайн endru

Re: Для чего нужна вторая сточка
« Ответ #1 : 02 Октября 2013, 16:21:17 »
1. Блокирует ip адрес
2. Блокирует подсеть атакующего

Оффлайн kylakevu4

Re: Для чего нужна вторая сточка
« Ответ #2 : 02 Октября 2013, 16:22:57 »
тоесть можно использовать только первую строчку зная ip атакующего?!
 

Оффлайн endru

Re: Для чего нужна вторая сточка
« Ответ #3 : 02 Октября 2013, 16:24:31 »
да

Оффлайн kylakevu4

Re: Для чего нужна вторая сточка
« Ответ #4 : 02 Октября 2013, 16:29:38 »
поправте меня если ошибаюсь: если аткующих ip несколько то они записиваються через пробел, без запятих?
 

Оффлайн endru

Re: Для чего нужна вторая сточка
« Ответ #5 : 02 Октября 2013, 16:38:30 »
поправте меня если ошибаюсь: если аткующих ip несколько то они записиваються через пробел, без запятих?

для таких случаев есть смысл настроить fail2ban и не мучаться с выслеживанием атакующего)

Оффлайн kylakevu4

Re: Для чего нужна вторая сточка
« Ответ #6 : 02 Октября 2013, 16:46:26 »
ситуация следующая: Шлюз на Debian-е, на нём проброс во внутреннюю сеть на машиеку с RDP, которую по ночам бутят, в списке ip около 20 адресов, как лучше поступить?
 

Оффлайн endru

Re: Для чего нужна вторая сточка
« Ответ #7 : 02 Октября 2013, 17:00:21 »
1 способ я бы спрятал порт 3389 за любым другим портом, к примеру:
-A PREROUTING -d 8.8.8.8/32 -i eth0 -p tcp -m tcp --dport 9472 -j DNAT --to-destination 10.0.0.1:3389номер порта говорим только тем кто цепляется по RDP.

2 способ: настраиваем 2 файла Iptables.
iptables.day - выполняется роль шлюза, отключен проброс порта до машины с RDP.
iptables.night - блокируем весь входящий трафик, оставляем только нужные IP адреса. добавляем проброс порта.
запихиваем это в cron На нужное время команды
iptables-restore /etc/network/iptables.day
iptables-restore /etc/network/iptables.night
« Последнее редактирование: 02 Октября 2013, 17:17:24 от endru »
 

Оффлайн kylakevu4

Re: Для чего нужна вторая сточка
« Ответ #8 : 02 Октября 2013, 17:15:48 »
а есть у меня в ./setiptables.sh еще такая строчка
iptables -A FORWARD -i $WAN -o $LAN -s $GW/24 -p tcp -m multiport --dport 443,21,22,3389 -j ACCEPT
и в /usr/local/iptables/session.ipt
-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dport 443,21,22,3389 -j ACCEPTи в /etc/iptables.up.rules
-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,3389 -j LOG
-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,3389 -j ACCEPT
здесь менять 3389 на другой?
 

Оффлайн endru

Re: Для чего нужна вторая сточка
« Ответ #9 : 02 Октября 2013, 17:25:26 »
/etc/iptables.up.rules весь покажи  :)

Оффлайн kylakevu4

Re: Для чего нужна вторая сточка
« Ответ #10 : 02 Октября 2013, 17:39:12 »
немножко правила дублируються
Spoiler: ShowHide
# Generated by iptables-save v1.4.8 on Mon Aug  5 08:54:26 2013
*mangle
:PREROUTING ACCEPT [1243027119:1081754308540]
:INPUT ACCEPT [847178822:776116320326]
:FORWARD ACCEPT [395724035:305624885765]
:OUTPUT ACCEPT [460914234:758305042755]
:POSTROUTING ACCEPT [856757456:1063942641098]
COMMIT
# Completed on Mon Aug  5 08:54:26 2013
# Generated by iptables-save v1.4.8 on Mon Aug  5 08:54:26 2013
*filter
:INPUT ACCEPT [90525:72370826]
:FORWARD ACCEPT [69569:5418920]
:OUTPUT ACCEPT [55369:72837903]
-A FORWARD -i eth1 -o eth2 -j LOG
-A FORWARD -i eth1 -o eth2 -j ACCEPT
#-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,3389 -j ACCEPT
#-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,3389 -j ACCEPT
#-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,3389 -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,3389 -j LOG
-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,3389 -j ACCEPT
COMMIT
# Completed on Mon Aug  5 08:54:26 2013
# Generated by iptables-save v1.4.8 on Mon Aug  5 08:54:26 2013
*nat
:PREROUTING ACCEPT [1763:111965]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [1264:83812]
-A PREROUTING -i eth1 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.5:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 2 -j DNAT --to-destination 192.168.0.5:3389
-A PREROUTING -d 193.227.xx.xxx/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.5
#-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128
#-A PREROUTING -i eth2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128
-A PREROUTING -i eth2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -d 193.227.xx.xxx/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.5:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128
-A PREROUTING -i eth2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -d 193.227.xx.xxx/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.5:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128
-A PREROUTING -i eth2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -d 193.227.xx.xxx/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.5:3389
-A POSTROUTING -d 192.168.0.5/32 -p tcp -m tcp --dport 3389 -j SNAT --to-source 192.168.0.1
-A POSTROUTING -o eth2 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -j MASQUERADE
#-A POSTROUTING -o eth1 -j MASQUERADE
#-A POSTROUTING -o eth1 -j MASQUERADE
#-A POSTROUTING -d 192.168.0.5/32 -p tcp -m tcp --dport 3389 -j SNAT --to-source 193.227.xx.xxx
#-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -d 192.168.0.5/32 -p tcp -m tcp --dport 3389 -j SNAT --to-source 193.227.xx.xxx
#-A POSTROUTING -o eth1 -j MASQUERADE
#-A POSTROUTING -d 192.168.0.5/32 -p tcp -m tcp --dport 3389 -j SNAT --to-source 193.227.xx.xxx
-A OUTPUT -d 193.227.xx.xxx/32 -p tcp -m tcp --dport 3389 -j DNAT --to-destination 192.168.0.5
COMMIT
# Completed on Mon Aug  5 08:54:26 2013
(END)
 

Оффлайн endru

Re: Для чего нужна вторая сточка
« Ответ #11 : 02 Октября 2013, 17:59:54 »
от дублирующих записей лучше избавляться, либо комментировать дублирующие строчки.
вот нужный /etc/iptables.up.rules
Spoiler: ShowHide
# Generated by iptables-save v1.4.8 on Mon Aug  5 08:54:26 2013
*mangle
:PREROUTING ACCEPT [1243027119:1081754308540]
:INPUT ACCEPT [847178822:776116320326]
:FORWARD ACCEPT [395724035:305624885765]
:OUTPUT ACCEPT [460914234:758305042755]
:POSTROUTING ACCEPT [856757456:1063942641098]
COMMIT
# Completed on Mon Aug  5 08:54:26 2013
# Generated by iptables-save v1.4.8 on Mon Aug  5 08:54:26 2013
*filter
:INPUT ACCEPT [90525:72370826]
:FORWARD ACCEPT [69569:5418920]
:OUTPUT ACCEPT [55369:72837903]
-A FORWARD -i eth1 -o eth2 -j LOG
-A FORWARD -i eth1 -o eth2 -j ACCEPT
-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,9472 -j LOG
-A FORWARD -s 192.168.0.0/24 -i eth2 -o eth1 -p tcp -m multiport --dports 443,21,22,9472 -j ACCEPT
COMMIT
# Completed on Mon Aug  5 08:54:26 2013
# Generated by iptables-save v1.4.8 on Mon Aug  5 08:54:26 2013
*nat
:PREROUTING ACCEPT [1763:111965]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [1264:83812]
-A PREROUTING -d 193.227.xx.xxx/32 -i eth1 -p tcp -m tcp --dport 9472 -j DNAT --to-destination 192.168.0.5:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:3128
-A PREROUTING -i eth2 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -o eth2 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -j MASQUERADE
-A POSTROUTING -d 192.168.0.5/32 -p tcp -m tcp --dport 3389 -j SNAT --to-source 193.227.xx.xxx
COMMIT
# Completed on Mon Aug  5 08:54:26 2013
(END)

можешь сохранить его например как /etc/iptables.up.rules.test и попробовать на деле:
iptables-restore /etc/iptables.up.rules.test

Оффлайн kylakevu4

Re: Для чего нужна вторая сточка
« Ответ #12 : 02 Октября 2013, 18:06:40 »
сегодня вечерком поюзаю, потом отпишусь 8)

Сообщение объединено: 02 Октября 2013, 23:36:12
по ходу этого не достаточно...по rdp не конектиться,просканив порт - закрыт
« Последнее редактирование: 02 Октября 2013, 23:36:12 от kylakevu4 »
 

Оффлайн endru

Re: Для чего нужна вторая сточка
« Ответ #13 : 03 Октября 2013, 09:29:39 »
объясни значение этих записей, зачем они и тд. потому как не вижу где они используются.
-A POSTROUTING -o eth2 -j MASQUERADE
-A POSTROUTING -o eth1 -j MASQUERADE
-A POSTROUTING -j MASQUERADE
а еще вчера проглядел:
строку
-A POSTROUTING -d 192.168.0.5/32 -p tcp -m tcp --dport 3389 -j SNAT --to-source 193.227.xx.xxxменяем на
-A POSTROUTING -s 192.168.0.0/32 -o eth1 -j SNAT --to-source 193.227.xx.xxxи пробуей еще раз

Оффлайн kylakevu4

Re: Для чего нужна вторая сточка
« Ответ #14 : 03 Октября 2013, 12:05:05 »
блин....забыл еще про /usr/local/bin/firewallset
Spoiler: ShowHide
#!/bin/sh

export LAN=eth2
export WAN=eth1

echo "1" > /proc/sys/net/ipv4/ip_forward

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X

iptables -t nat -I POSTROUTING -o ${WAN} -j MASQUERADE
iptables -t nat -I POSTROUTING -o ${LAN} -j MASQUERADE

#iptables -I FORWARD -p tcp --tcp-flags SYN, RST SYN -j TCPMSS --clamp-mss-to-pmtu

iptables -A FORWARD -i eth1 -o eth2 -j ACCEPT
#iptables -t nat -A POSTROUTING -o eth1 -j REJECT

#iptables -t nat -A PREROUTING -p tcp --dport 3389 -i ${WAN} -j DNAT --to-destination 192.168.0.5:3389
#iptables -t nat -A PREROUTING -p tcp --dport 2 -i ${WAN} -j DNAT --to 192.168.0.5:3389

iptables -t nat -A PREROUTING -p tcp -d 193.227.xx.xxx --dport 3389 -j DNAT --to-destination 192.168.0.5:3389
iptables -t nat -A POSTROUTING -p tcp --dst 192.168.0.5 --dport 3389 -j SNAT --to-source 193.227.xx.xxx
 

Теги:
     

    Нужна помощь в настройке подключения интернета через модем USB и не только...

    Автор karen311

    Ответов: 17
    Просмотров: 3898
    Последний ответ 21 Ноября 2016, 20:45:06
    от ferum
    Нужна помощь по браузеру Firefox!

    Автор Leewilliams

    Ответов: 3
    Просмотров: 284
    Последний ответ 10 Сентября 2021, 08:58:28
    от Clarencekuhl
    соединение L2TP Нужна помощ по подключению

    Автор smaile

    Ответов: 10
    Просмотров: 3543
    Последний ответ 10 Ноября 2016, 08:23:36
    от ogost
    OpenVPN...server Debian - client Windows 7 нужна помощь!!!

    Автор andrei42lk

    Ответов: 4
    Просмотров: 1783
    Последний ответ 20 Ноября 2015, 03:40:48
    от ihammers
    iptables - баг или я чего-то не понимаю.

    Автор m90125

    Ответов: 0
    Просмотров: 1067
    Последний ответ 07 Декабря 2017, 23:59:53
    от m90125