Исходное сообщение
"iptables: динамические ACL (в виде файлов в /proc?)" Отправлено ze6ra, 06-Авг-09 15:56
>>OpenVPN Позволяет запускать скрипты при подключениях отключениях клиентов в качестве аргументов передаются >>различные параметры клиента. Почему бы от туда и не менять правила. > >мне казалось что это само собой разумеется когда писал >"динамически добавлять/удалять ip-адреса в цепочки ACL_*", >но если неудачно выразился, то расшифровываю -- использую learn-address, ну и дальше >в соответствии с написанным ранее. > >Вопрос не как запускать iptables, а как это организовать правила/цепочки просто и >надежно. iptables-restore предназначен для запуска при загрузке системы для начальной установки iptables. iptables-save для сохранения того что будет загружено потом при старте. Ничего красивого организовать с их помощью не выйдет. Как вариант загружать основу при запуске системы, а openVPN будет через скрипт из learn-address управлять своими цепочками ДИНАМИЧЕСКИ. При старте например можно также запустить скрипт который почистит цепочки от openvpn тут насколько фантазии хватит. Запуск iptables-restore на работающей системе это не нормально. Правда есть ещё iptables-restore ключик -n (--noflush)