Avatar billede kbhadsten Nybegynder
26. oktober 2006 - 08:40 Der er 6 kommentarer og
1 løsning

iptables, hjælp mig med mit script!

Hej eksperten.dk

Jeg vil igang med iptables, men det driller mig for meget.
Jeg kan ikke få mine specifikke FORWARD regler til at virke!
Hvad gør jeg galt.
Som det er nu, skal scriptet kun tillade internet surf fra LAN

#IPTABLES Firewall

#!/bin/bash

# Setting variables
LANIP="192.168.0.1"
WANIP="192.168.1.86"
DMZIP="172.16.1.1"

LANIF="eth1"
WANIF="eth2"
DMZIF="eth0"

# Enabling IP forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward

# Current iptables rules are flushed an fallback policies is set.
iptables --flush
iptables -t nat --flush
iptables --delete-chain
iptables --policy INPUT ACCEPT # Jeg ved godt denne skal lukkes, men det bliver senere
iptables --policy OUTPUT ACCEPT
iptables --policy FORWARD DROP

# NAT enabled
iptables -t nat --append POSTROUTING --out-interface $WANIF --source $LANIP/24 -j SNAT --to-source $WANIP

# INPUT Rules
iptables --append INPUT --in-interface $LANIF -j ACCEPT
iptables --append INPUT --in-interface lo -j ACCEPT

# FORWARD Rules
iptables --append FORWARD --in-interface $LANIF --protocol tcp --dport 80 -j ACCEPT
iptables --append FORWARD --in-interface $LANIF --protocol tcp --dport 53  -j ACCEPT

# Script completed output
echo "-- IPTABLES SCRIPT LOADED --"
Avatar billede langbein Nybegynder
27. oktober 2006 - 17:55 #1
Dns oppslag skal være udp ikke tcp. (Port 53).
Dessuten så mangler mulighet for returtrafikk fra dmz sone til lan. Når du åpner opp tcp trafikk den ene vei så vil det også være nædvendig å åpne opp for den retutrafikk som føger av dette. Dette gjøres kanskje best ved å bruke stateful inspection for returtrafikken
Avatar billede langbein Nybegynder
27. oktober 2006 - 18:04 #2
Unskyld, beklager den aktuelle snat setningen kan jo heller ikke fungere i forhold til trafikk lan-dmz tror jeg:

iptables -t nat --append POSTROUTING --out-interface $WANIF --source $LANIP/24 -j SNAT --to-source $WANIP (Skulle kun gi snat funksjon for trafikk til internett.)

Tror ikke lan har noen mulighet til å tilgå dmz hverken hva angår dnat/snat eller filtrering gjennom Forward chains.
Avatar billede langbein Nybegynder
27. oktober 2006 - 18:06 #3
Ville brukt et dnat prinsipp for trafikken fra lan til dmz pluss statiske rules den ene vei og statefull inspection den annen vei for returtrafikken.
Avatar billede langbein Nybegynder
27. oktober 2006 - 18:12 #4
Dette er to lokalnettver og ikke et lokalnett pluss internett. Mulig at det da er unødvendig med dnat, og at det eneste du mangler er åpning for returtrafikk. Tror faktisk det.
Avatar billede kbhadsten Nybegynder
29. oktober 2006 - 02:57 #5
Tak for de mange svar! skriv hvis du vil have points! tråden lukkes d. 29/10 kl 15:00
Avatar billede langbein Nybegynder
29. oktober 2006 - 14:34 #6
OK
Avatar billede kbhadsten Nybegynder
29. oktober 2006 - 17:07 #7
* Tråden lukkes *

-Løsning var at tillade UDP på port 53
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester