IPTables

Saj ti vse piše v navodilih za IPTABLES.


Načeloma se pravila za vsak paket sledijo, dokler sistem ne pride do pravila, ki mu opazovani paket ustreza in je ukaz tega pravila dokončen. Če je ukaz -j ACCEPT ali npr -j DROP, potem je to to. Ko je stvar enkrat ACCEPTala paket, je stvar že mimo in ga ne more več drop-at v istem chainu.

Če si na vhodu INPUTu že recimo acceptal paket, ga lahko ujameš še v FORWARD chainu ( če je seveda namenjen naprej, ne pa tvoji mašini in če imaš forwarding dovoljen) ali pa čisto na koncu na POSTROUTINGu, vendar ne vem, če tam filter chain "še nese"...

Ne vidim pa, zakaj ne moreš vsega, kar te zanima naredit v input chainu za pakete, ki prihajajo v stroj...

Malo daljse ctivo ampak zelo berljivo:
frozentux.net

>>Ne vidim pa, zakaj ne moreš vsega, kar te zanima naredit v input chainu za pakete, ki prihajajo v stroj...
> Tega stavka pa ne razumem najbolj. Please explain.

Diagram za vgrajene verige:
c951

"man iptables" ?

> A poznas se kaksnto stran kjer so vsi parametri za posameznen chain razlozeni?

Vzemi si cajt za tutorial, tam je skor vse not kar rabis vedet, edino QoSa ni not ce se prav spomnim.

Ja, 'man iptables' ma vse not. Samo je malo nepregleden pa telegrafski

OK, hvala.

> Če si na vhodu INPUTu že recimo acceptal paket, ga lahko
> ujameš še v FORWARD chainu

Se mi je zdelo, da je INPUT chain samo za tiste pakete, ki so za lokalno masino.

V debianovi dokumentaciji pise tole za DNAT:

DNAT alters the destination address of the packet and is used in the PREROUTING and OUTPUT chains, and user-defined chains which are only called from those chains. (nat table only)

--to-destination ipaddr[-ipaddr][:port-port]

A je mogoce treba uporabit ta dolgo varianto namesto "--to"


Pa kaj naredi chain "fwd-bad" oz. cemu sluzi?

antonija: probaj si malo to pogledat http://www.fwbuilder.org/

je kr lušna zadeva za administracijo in omogoča marsi kaj - QoS pa nisem siguren če podpira

Tole je zdaj z glave, ampak recimo :)


Na zacetek:
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -p tcp -i $BAD_IFACE -d 192.168.0.2 -m state --state NEW -j ACCEPT

Za fwd pa se tole:
iptables -t nat -A PREROUTING -p tcp -i $BAD_IFACE -d 193.189.x.x --dport 21 -j DNAT --to 192.168.0.2
iptables -t nat -A PREROUTING -p tcp -i $BAD_IFACE -d 193.189.x.x --dport 1024:65535 -j DNAT --to 192.168.0.2

Ostalih specifik nisem gledal, le toliko te opozarjam da moraš imet naložen conntrack ftp helper modul pri kakršnemoki xnatanju, ker mora ta ustrezno popraviti src/dst podatke v ftp paketih, drugače ne bo delalo. Točnega imena helper modula ne vem - conntrack-ftp ali nekaj takega. Zakurblaj "make menuconfig" in si poglej ustrezne podatke.