Новости
Видео
Microsoft
Windows 10
Железо
Программы
Форум

Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Linux и FreeBSD » Общий по Linux » Прочее - Правило iptables

Ответить
Настройки темы
Прочее - Правило iptables

Аватара для Rezor666

Ветеран


Сообщения: 2738
Благодарности: 336


Конфигурация

Профиль | Сайт | Отправить PM | Цитировать

Есть CentOS, на нем виртуалки.
Есть интерфейсы eth2 lo virbr1 vnet0
Задача не дать виртуалкам использовать любые порты кроме 8888 и 8080.

Пробовал так, бестолку...
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 0:8079 -j DROP
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 8081:8879 -j DROP
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 8881:65534 -j DROP

Есть мысли у кого-то?

В iptables правила

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT

#Block traffic
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 0:8079 -j DROP
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 8081:8879 -j DROP
-A OUTPUT -o virbr1 -p tcp -m multiport --ports 8881:65534 -j DROP

#SSH
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT

#FTP
-A INPUT -m state --state NEW -m tcp -p tcp --dport 20 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

#Apache
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

#Samba
-A INPUT -i eth2 -p udp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
-A OUTPUT -o eth2 -p udp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
-A INPUT -i eth2 -p tcp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT
-A OUTPUT -o eth2 -p tcp -m multiport --ports 135,136,137,138,139,445 -j ACCEPT

#VNC
-A INPUT -m state --state NEW -m tcp -p tcp --dport 5900:6000 -j ACCEPT

#WebVirtMgr
-I INPUT -m state --state NEW -m tcp -p tcp --dport 16509 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

COMMIT

-------
"Средства у нас есть. У нас ума не хватает..."

Отправлено: 12:47, 13-08-2013

 

Аватара для Rezor666

Ветеран


Сообщения: 2738
Благодарности: 336

Профиль | Сайт | Отправить PM | Цитировать

Проблема кроеться в том что libvirt добавляет свои правила в iptables.
И когда я делал DROP он делал ACCEPT...

Как это побороть?

-------
"Средства у нас есть. У нас ума не хватает..."

Отправлено: 10:38, 14-08-2013 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Забанен


Сообщения: 6158
Благодарности: 1300

Профиль | Цитировать

У вас виртуальная сетка для виртуалок мост или нат?

Отправлено: 20:40, 14-08-2013 | #3


Аватара для Rezor666

Ветеран


Сообщения: 2738
Благодарности: 336

Профиль | Сайт | Отправить PM | Цитировать

vadblm, мост

-------
"Средства у нас есть. У нас ума не хватает..."

Отправлено: 20:59, 14-08-2013 | #4


Забанен


Сообщения: 6158
Благодарности: 1300

Профиль | Цитировать

http://habrahabr.ru/qa/29447/

Ну и ещё хинт, почему бы не фильтровать трафик на шлюзе.

Отправлено: 21:03, 14-08-2013 | #5


Аватара для Rezor666

Ветеран


Сообщения: 2738
Благодарности: 336

Профиль | Сайт | Отправить PM | Цитировать

vadblm, Спасибо за ссылку.
Цитата vadblm:
Ну и ещё хинт, почему бы не фильтровать трафик на шлюзе. »И
Уже пробовал сделать виртуальную машину для работы в качестве шлюза... Не вышло.
Или Вы о вышестоящим после сервера оборудовании? Если да то у меня доступа к нему нету.

-------
"Средства у нас есть. У нас ума не хватает..."

Отправлено: 03:18, 15-08-2013 | #6


Забанен


Сообщения: 6158
Благодарности: 1300

Профиль | Цитировать

Цитата Rezor666:
Или Вы о вышестоящим после сервера оборудовании? Если да то у меня доступа к нему нету. »
Да. Пичаль.

Отправлено: 09:48, 15-08-2013 | #7



Компьютерный форум OSzone.net » Linux и FreeBSD » Общий по Linux » Прочее - Правило iptables

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
2010 - Правило в Outlook 2010 fraid Microsoft Office (Word, Excel, Outlook и т.д.) 3 01-04-2013 13:24
Proxy/NAT - Правило в Kerio ugara Сетевые технологии 6 17-08-2012 06:53
FreeBSD - Правило PF Ruslan19891989 Общий по FreeBSD 1 21-05-2012 18:23
V. 5.5/2000/2003 - Правило для Exchange stavsys Microsoft Exchange Server 1 11-04-2009 17:10
IPTABLES!!! RULES, Разгавор о iptables BuuG Общий по Linux 17 03-03-2006 16:00


« Предыдущая тема | Следующая тема »


 
Переход