Iptables - История изменений

imported>Vix в 15:44, 15 июля 2020

2020-07-15T15:44:41Z

← Предыдущая версия		Версия от 18:44, 15 июля 2020
Строка 241:		Строка 241:
	* [https://www.dmosk.ru/instruktions.php?object=iptables-settings#port-forward Настройка netfilter с помощью iptables]		* [https://www.dmosk.ru/instruktions.php?object=iptables-settings#port-forward Настройка netfilter с помощью iptables]
	* [https://www.linux.org.ru/forum/security/7420941 Запуск пользовательских цепочек iptables]		* [https://www.linux.org.ru/forum/security/7420941 Запуск пользовательских цепочек iptables]
			* [https://wiki.dieg.info/iptables Правила iptables]

imported>Vix в 15:38, 15 июля 2020

2020-07-15T15:38:42Z

← Предыдущая версия		Версия от 18:38, 15 июля 2020
Строка 240:		Строка 240:
	* [http://www.linux16.ru/articles/nastrojka-iptables-primery-chast-2.html правильное использование]		* [http://www.linux16.ru/articles/nastrojka-iptables-primery-chast-2.html правильное использование]
	* [https://www.dmosk.ru/instruktions.php?object=iptables-settings#port-forward Настройка netfilter с помощью iptables]		* [https://www.dmosk.ru/instruktions.php?object=iptables-settings#port-forward Настройка netfilter с помощью iptables]
			* [https://www.linux.org.ru/forum/security/7420941 Запуск пользовательских цепочек iptables]

imported>Vix: /* Фильтр по мак-адресам */

2019-02-10T14:19:10Z

Фильтр по мак-адресам

← Предыдущая версия		Версия от 17:19, 10 февраля 2019
Строка 239:		Строка 239:
	* [http://vasilisc.com/21-examples-iptables примеры...]		* [http://vasilisc.com/21-examples-iptables примеры...]
	* [http://www.linux16.ru/articles/nastrojka-iptables-primery-chast-2.html правильное использование]		* [http://www.linux16.ru/articles/nastrojka-iptables-primery-chast-2.html правильное использование]
			* [https://www.dmosk.ru/instruktions.php?object=iptables-settings#port-forward Настройка netfilter с помощью iptables]

imported>Vix в 14:17, 10 февраля 2019

2019-02-10T14:17:54Z

← Предыдущая версия		Версия от 17:17, 10 февраля 2019
Строка 235:		Строка 235:
	еще http://bourabai.kz/dbt/security/iptables.htm		еще http://bourabai.kz/dbt/security/iptables.htm

			ПОЛЕЗНОЕ:
			<hr>
	* [http://vasilisc.com/21-examples-iptables примеры...]		* [http://vasilisc.com/21-examples-iptables примеры...]
			* [http://www.linux16.ru/articles/nastrojka-iptables-primery-chast-2.html правильное использование]

imported>Vix в 20:57, 18 августа 2015

2015-08-18T20:57:56Z

← Предыдущая версия		Версия от 23:57, 18 августа 2015
Строка 105:		Строка 105:

	== Пример блокировки доступа к определенному хосту от выделенного ip локальной сети - не стандартно! ==		== Пример блокировки доступа к определенному хосту от выделенного ip локальной сети - не стандартно! ==
	в секции nat		в секции '''nat'''
	-A PREROUTING -s 10.10.10.22/32 -d 88.97.1.0/18 -p tcp -m multiport --dports 1:65535 -j REDIRECT --to-ports 666		-A PREROUTING -s 10.10.10.22/32 -d 88.97.1.0/18 -p tcp -m multiport --dports 1:65535 -j REDIRECT --to-ports 666
	или		или
	-A PREROUTING -s 10.10.10.22/32 -d 88.99.33.11 -p tcp -m multiport --dports 1:65535 -j REDIRECT --to-ports 666		-A PREROUTING -s 10.10.10.22/32 -d 88.99.33.11 -p tcp -m multiport --dports 1:65535 -j REDIRECT --to-ports 666
	порт "666" - произвольный который не используется ни кем.. можно на 127.0.0.1:666		порт "666" - произвольный который не используется ни кем.. можно на 127.0.0.1:666<br>
	любой запрос будет завернут в глухую.. :)		любой запрос будет завернут в глухую.. :)

Строка 165:		Строка 165:
	http://forum.ubuntu.ru/index.php?topic=63695.0		http://forum.ubuntu.ru/index.php?topic=63695.0

	данная ~~схера~~ проброса портов для eth1 чтобы торенты видели и из локалки и из интеренета ppp0		данная схема проброса портов для eth1 чтобы торенты видели и из локалки и из интеренета ppp0
	где:		где:
	*6681 пробрасываемый порт, 192.168.1.2- ip назначения (компъютер где работает торрент клиент)		*6681 пробрасываемый порт, 192.168.1.2- ip назначения (компъютер где работает торрент клиент)

imported>Vix в 20:56, 18 августа 2015

2015-08-18T20:56:46Z

← Предыдущая версия		Версия от 23:56, 18 августа 2015
Строка 103:		Строка 103:
	iptables -A INPUT -i eth0 -p tcp -m multiport --dport 21,80,111,135,139,445 -j DROP		iptables -A INPUT -i eth0 -p tcp -m multiport --dport 21,80,111,135,139,445 -j DROP
	iptables -A INPUT -i ppp0 -p tcp -m multiport --dport 21,80,111,135,139,445 -j DROP		iptables -A INPUT -i ppp0 -p tcp -m multiport --dport 21,80,111,135,139,445 -j DROP

			== Пример блокировки доступа к определенному хосту от выделенного ip локальной сети - не стандартно! ==
			в секции nat
			-A PREROUTING -s 10.10.10.22/32 -d 88.97.1.0/18 -p tcp -m multiport --dports 1:65535 -j REDIRECT --to-ports 666
			или
			-A PREROUTING -s 10.10.10.22/32 -d 88.99.33.11 -p tcp -m multiport --dports 1:65535 -j REDIRECT --to-ports 666
			порт "666" - произвольный который не используется ни кем.. можно на 127.0.0.1:666
			любой запрос будет завернут в глухую.. :)

imported>Vix в 20:51, 18 августа 2015

2015-08-18T20:51:41Z

← Предыдущая версия		Версия от 23:51, 18 августа 2015
Строка 226:		Строка 226:

	еще http://bourabai.kz/dbt/security/iptables.htm		еще http://bourabai.kz/dbt/security/iptables.htm

			* [http://vasilisc.com/21-examples-iptables примеры...]

imported>Supportadmin: /* Фильтр по мак-адресам */

2014-07-30T13:05:59Z

Фильтр по мак-адресам

← Предыдущая версия		Версия от 16:05, 30 июля 2014
Строка 176:		Строка 176:
	==Фильтр по мак-адресам==		==Фильтр по мак-адресам==

	[~~Оригинал~~ http://mtaalamu.ru/blog/admining/2094.html]		[http://mtaalamu.ru/blog/admining/2094.html Оригинал]

	Есть выделенный сервер с XCP (Xen Cloud Platform), есть диапазон ip выданный провайдером. Как сделать так, чтобы клиенты не могли поменять свой ip внутри xen машин? Привязка к mac адресу! Но как сделать, чтобы и mac адрес не сменили? Воспользуемся iptables на сервере XCP. Нам понадобится XCP версии минимум 1.1, в 1.0 ядро не поддерживает фильтрацию по mac адресам.		Есть выделенный сервер с XCP (Xen Cloud Platform), есть диапазон ip выданный провайдером. Как сделать так, чтобы клиенты не могли поменять свой ip внутри xen машин? Привязка к mac адресу! Но как сделать, чтобы и mac адрес не сменили? Воспользуемся iptables на сервере XCP. Нам понадобится XCP версии минимум 1.1, в 1.0 ядро не поддерживает фильтрацию по mac адресам.
Строка 223:		Строка 223:

	Теперь доступ на внешку и из внешки к виртуальной машине возможен только при правильном ip и mac адресе внутри виртуальной машины.		Теперь доступ на внешку и из внешки к виртуальной машине возможен только при правильном ip и mac адресе внутри виртуальной машины.


			еще http://bourabai.kz/dbt/security/iptables.htm

imported>Supportadmin в 13:04, 30 июля 2014

2014-07-30T13:04:53Z

← Предыдущая версия		Версия от 16:04, 30 июля 2014
Строка 172:		Строка 172:
	iptables -t nat -A PREROUTING -p tcp -m tcp --dport 6681 -i ppp0 -j DNAT --to 192.168.1.2: 6681		iptables -t nat -A PREROUTING -p tcp -m tcp --dport 6681 -i ppp0 -j DNAT --to 192.168.1.2: 6681
	iptables -A FORWARD -m tcp -p tcp -d 192.168.1.2 --dport 6681 -j ACCEPT</nowiki>		iptables -A FORWARD -m tcp -p tcp -d 192.168.1.2 --dport 6681 -j ACCEPT</nowiki>


			==Фильтр по мак-адресам==

			[Оригинал http://mtaalamu.ru/blog/admining/2094.html]

			Есть выделенный сервер с XCP (Xen Cloud Platform), есть диапазон ip выданный провайдером. Как сделать так, чтобы клиенты не могли поменять свой ip внутри xen машин? Привязка к mac адресу! Но как сделать, чтобы и mac адрес не сменили? Воспользуемся iptables на сервере XCP. Нам понадобится XCP версии минимум 1.1, в 1.0 ядро не поддерживает фильтрацию по mac адресам.

			Делаем так:

			Очищаем правила iptables:

			iptables -F


			Разрешаем клиенту с ip 46.4.180.227 и с mac адресом 11:11:11:11:11:11 и 2му клиенту с ip 46.4.180.228 и с mac адресом 22:22:22:22:22:22:

			<nowiki>iptables -A FORWARD -m mac --mac-source 11:11:11:11:11:11 -s 46.4.180.227 -j ACCEPT
			iptables -A FORWARD -m mac --mac-source 22:22:22:22:22:22 -s 46.4.180.228 -j ACCEPT</nowiki>


			Если ip другой, но mac прежний, то запрещаем:

			<nowiki>iptables -A FORWARD -m mac --mac-source 11:11:11:11:11:11 -j DROP
			iptables -A FORWARD -m mac --mac-source 22:22:22:22:22:22 -j DROP</nowiki>


			Блокируем все неиспользуемые ip (эти правила будут наверху цепочки):

			<nowiki>iptables -I FORWARD -s 46.4.180.229 -j DROP
			iptables -I FORWARD -s 46.4.180.230 -j DROP
			iptables -I FORWARD -s 46.4.180.231 -j DROP</nowiki>


			Цепочка FORWARD должна выглядеть так:

			iptables -L -n


			<nowiki>Chain FORWARD (policy ACCEPT)
			target prot opt source destination
			DROP all -- 46.4.180.231 0.0.0.0/0
			DROP all -- 46.4.180.230 0.0.0.0/0
			DROP all -- 46.4.180.229 0.0.0.0/0
			ACCEPT all -- 46.4.180.227 0.0.0.0/0 MAC 11:11:11:11:11:11
			ACCEPT all -- 46.4.180.228 0.0.0.0/0 MAC 22:22:22:22:22:22
			DROP all -- 0.0.0.0/0 0.0.0.0/0 MAC 11:11:11:11:11:11
			DROP all -- 0.0.0.0/0 0.0.0.0/0 MAC 22:22:22:22:22:22</nowiki>


			Теперь доступ на внешку и из внешки к виртуальной машине возможен только при правильном ip и mac адресе внутри виртуальной машины.

imported>Vix в 20:09, 9 сентября 2013

2013-09-09T20:09:52Z

← Предыдущая версия		Версия от 23:09, 9 сентября 2013
Строка 1:		Строка 1:
	[[Файл:Netfilter-packet-flow.svg~~\|1024px~~]]		[[Файл:1024px-Netfilter-packet-flow.svg.png]]

	'''Anti-ssh-bruteforce'''		'''Anti-ssh-bruteforce'''