Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2010-05-22 23:15:50
haczyk - 
Użytkownik
- haczyk
- Użytkownik
- Skąd: Bydgoszcz
- Zarejestrowany: 2009-02-28
iptables - przekierowanie
Witam,
mam plik hosts.txt, w którym mam adresy ip hostów do zablokowania.
Skrypt pobiera argumenty z pliku hosts.txt i załaduje regułki takiego łańcucha "blocks" iptables np.
Kod:
iptables -N blocks iptables -F blocks iptables -t nat -N blocks iptables -t nat -F blocks #przekierowanie na www z info iptables -A blocks -i eth1 -s [ip] -p tcp --dport 80 -j DNAT --to [www_z_informacja] #wylaczenie calego pozostalego ruchu iptables -A blocks -i eth1 -s [ip] -p all -j DROP
przy czym jak zrobić w iptables własciwym aby np. FORWARD i PREROUTING najpierw sprawdzaly lancuch blocks ?
próbowałem coś takiego na [i]poczatku[/i] firewalla:
Kod:
iptables -A FORWARD -j blocks
i to dziala, ale dla preroutingu
Kod:
iptables- t nat -PREROUTING -j blocks
juz cos nie smiga - nie przekierowuje na www wybranych w lancuchu blocks adresów ;/
Ostatnio edytowany przez haczyk (2010-05-22 23:20:29)
Offline
#2 2010-05-23 17:15:20
djjanek - Użytkownik
Re: iptables - przekierowanie
A może takie coś:
Kod:
iptables -I blocks -i eth1 -s [ip] -p tcp --dport 80 -j DNAT --to [www_z_informacja]
edit:
Ja korzystam:
Kod:
iptables -t nat -A PREROUTING -p tcp -s IP_KOMPA -d ! IP_SERWERA -j DNAT --to IP_SERWERA:PORT iptables -t nat -A PREROUTING -p udp -s IP_KOMPA -d ! IP_SERWERA -j DNAT --to IP_SERWERA:PORT
Ostatnio edytowany przez djjanek (2010-05-23 17:18:18)
Offline
#3 2010-05-24 07:13:36
haczyk - Użytkownik
- haczyk
- Użytkownik
- Skąd: Bydgoszcz
- Zarejestrowany: 2009-02-28
Re: iptables - przekierowanie
dzieki za odp. ale chyba parametr -I tu nie pomoże - łańcuch "blocks" czyszcze na samym poczatku skryptu, wiec nie ma reguł które mogłby sie zazębiać ;/
co do drugich regułek - wywalało u mnie bład skladni, musiałem zmienić na :
Kod:
iptables -t nat -A PREROUTING -p tcp -s IP_KOMPA ! -d IP_SERWERA -j DNAT --to IP_SERWERA:PORT iptables -t nat -A PREROUTING -p udp -s IP_KOMPA ! -d IP_SERWERA -j DNAT --to IP_SERWERA:PORT
coś blokuje mi ten ruch bo widze w tcpdumpie mnóstwo wpisów:
Kod:
IP [ip].1076 > [serwer_www]: TCP, length 25
Kod:
IP [ip].1076 > [serwer_www]: UDP, length 25
czyli niby dziala, ale gdzieś sie zatyka ;/
najdziwniejsze ze dalej w iptables mam prerouting na squida - i tu wszystko dziala ;/
zakładając ze prerouting działa, to juz nie wiem co moze blokować - Forward na [serwer_www] jest zrobiony
Offline
#4 2010-05-24 11:52:33
djjanek - Użytkownik
#5 2010-05-24 23:08:52
haczyk - Użytkownik
- haczyk
- Użytkownik
- Skąd: Bydgoszcz
- Zarejestrowany: 2009-02-28
Re: iptables - przekierowanie
no własnie przekierowanie ruchu na adres www na squidzie coś mi nie wychodzi.
Ale z moich doświadczeń ze squidem - zeby cokolwiek zmienic - trzeba restartować całą usługę.
Kombinuje z iptables bo wydaje mi sie ze jak wrzucę na ruch Forwardujący regułki własnego łancucha ( blocks ) to nie bede musial przeładowywac usługi ( iptables ) - wystarczy ze wyczyszcze łancuch - chyba że sie myle.
Offline
#6 2010-05-25 06:02:52
djjanek - Użytkownik
Re: iptables - przekierowanie
w squid wystarczy reload a w iptables albo usuwanie konkretnych regułek albo wszystkiego, tylko jak ja przeładujesz iptables to nie zrywa połączeń (chyba że masz długi czas przeładowania), a w squid chyba nie robisz przekierowania tylko dajesz zabronienie dla pewnej listy hostów i sam ustawiasz jak ma wyglądać strona.
Offline
#7 2010-05-25 17:36:39
haczyk - Użytkownik
- haczyk
- Użytkownik
- Skąd: Bydgoszcz
- Zarejestrowany: 2009-02-28
Re: iptables - przekierowanie
hmm..to moze przez squida przekieruje ruch tych użytkowników.
oki. Przez squid zadziałało, ale jedna rzecz mnie teraz zastanawia - na squid przekierowuje normalnie port 80. Wiec user który wpadnie w blokujacy acl nie bedzie miał stron, ale jak zablokowac jego pozostały ruch - np. gg i skype ?
Ostatnio edytowany przez haczyk (2010-05-25 18:04:54)
Offline
Informacje debugowania
| Time (s) | Query |
|---|---|
| 0.00009 | SET CHARSET latin2 |
| 0.00005 | SET NAMES latin2 |
| 0.00097 | SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.118.144.109' WHERE u.id=1 |
| 0.00068 | UPDATE punbb_online SET logged=1732405807 WHERE ident='18.118.144.109' |
| 0.00042 | SELECT * FROM punbb_online WHERE logged<1732405507 |
| 0.00046 | SELECT topic_id FROM punbb_posts WHERE id=148517 |
| 0.00007 | SELECT id FROM punbb_posts WHERE topic_id=16903 ORDER BY posted |
| 0.00060 | SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=16903 AND t.moved_to IS NULL |
| 0.00012 | SELECT search_for, replace_with FROM punbb_censoring |
| 0.00154 | SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=16903 ORDER BY p.id LIMIT 0,25 |
| 0.00225 | UPDATE punbb_topics SET num_views=num_views+1 WHERE id=16903 |
| Total query time: 0.00725 s | |