Исходное сообщение
"Покритикуйте iptables правила?" Отправлено uptime, 28-Окт-12 20:11
>> Цепочка FORWARD вцелом как-то не очень... > Т.е. "как-то" не очень это как? Я не все что нужно указал? > Или в том что есть ошибка? Возможно не совсем понял что Вам необходимо от шлюза, но если что... :-) Используйте модуль conntrack для отслеживания соединений, в т.ч. для FORWARD. Разрешайте инициализацию NEW соединений на внутреннем интерфейсе. Выглядит примерно так: iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A FORWARD -m state --state NEW -i eth2 -p tcp --dport 80 -j ACCEPT iptables -A FORWARD -m state --state NEW -i eth2 -p tcp,udp --dport 53 -j ACCEPT iptables -A INPUT -m state --state NEW -i eth2 -p tcp -s 192.168.2.0/24 --dport 22 -j ACCEPT Тогда предыдущие правила для FORWARD уже будут не нужны. Про OUTPUT Вам уже говорили, ставьте в ACCEPT. >> iptables -A INPUT -p tcp -m tcp -s 192.168.2.0/24 --dport 22 -j ACCEPT >Без указания привязки ко внутреннему интерфейсу, зайти можно и снаружи, видимо пропустили. Здесь не совсем прав, зайти со внешнего адреса конечно не получится (легко), т.к. фильтруете по адресам (не заметил), но привязка к интерфесу часто бывает желательна. Пара линков по теме: http://www.frozentux.net/documents/iptables-tutorial/ http://firehol.sourceforge.net/ Удачи!

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>> Цепочка FORWARD вцелом как-то не очень... >> Т.е. "как-то" не очень это как? Я не все что нужно указал? >> Или в том что есть ошибка? > Возможно не совсем понял что Вам необходимо от шлюза, но если что... > :-) > Используйте модуль conntrack для отслеживания соединений, в т.ч. для FORWARD. > Разрешайте инициализацию NEW соединений на внутреннем интерфейсе. > Выглядит примерно так: > iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT > iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT > iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT > iptables -A FORWARD -m state --state NEW -i eth2 -p tcp --dport > 80 -j ACCEPT > iptables -A FORWARD -m state --state NEW -i eth2 -p tcp,udp --dport > 53 -j ACCEPT > iptables -A INPUT -m state --state NEW -i eth2 -p tcp -s > 192.168.2.0/24 --dport 22 -j ACCEPT > Тогда предыдущие правила для FORWARD уже будут не нужны. > Про OUTPUT Вам уже говорили, ставьте в ACCEPT. >>> iptables -A INPUT -p tcp -m tcp -s 192.168.2.0/24 --dport 22 -j ACCEPT >>Без указания привязки ко внутреннему интерфейсу, зайти можно и снаружи, видимо пропустили. > Здесь не совсем прав, зайти со внешнего адреса конечно не получится (легко), > т.к. фильтруете по адресам (не заметил), но привязка к интерфесу часто бывает > желательна. > Пара линков по теме: > http://www.frozentux.net/documents/iptables-tutorial/ > http://firehol.sourceforge.net/ > Удачи!
	Введите код, изображенный на картинке: