Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.

Strony: 1

 

#1  2017-08-29 09:59:03

  urbinek - Użytkownik

urbinek
Użytkownik
Skąd: Sosnowiec
Zarejestrowany: 2009-10-01
Serwis

IPtables w bridgu

bry, mam trochę głupie pytanie

Mam sobie xen'a z jednym interfejsem fizycznym i wielkim szczęśliwym bridgem

Kod:

[root@xen ~]# brctl show
bridge name     bridge id               STP enabled     interfaces
virbr0          8000.525400cf109a       yes             virbr0-nic
xen_br          8000.d05099734379       no              enp3s0
                                                        vif1.0
                                                        vif2.0
                                                        vif3.0
                                                        vif4.0
xen_br.100              8000.d05099734379       no              enp3s0.100

Wszystkie maszyny są w jednej podsieci (wraz z hipervisorem, kompami w domu itp)


Dorobiłem do fail2ban dopisywanie adresów to ipset'a i dodałem importowanie listy firehol_level1.netset


Wszystko działa tak jak powinno, ipsety są tworzone, aktualizowane itp:

Kod:

[root@xen scripts]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
REJECT     icmp --  0.0.0.0/0            0.0.0.0/0            match-set blacklist_firehol src reject-with icmp-host-unreachable
REJECT     udp  --  0.0.0.0/0            0.0.0.0/0            match-set blacklist_firehol src reject-with icmp-port-unreachable
REJECT     tcp  --  0.0.0.0/0            0.0.0.0/0            match-set blacklist_firehol src reject-with tcp-reset
f2b-sshd   tcp  --  0.0.0.0/0            0.0.0.0/0            multiport dports 22
REJECT     icmp --  0.0.0.0/0            0.0.0.0/0            match-set blacklist_f2b src reject-with icmp-host-unreachable
REJECT     udp  --  0.0.0.0/0            0.0.0.0/0            match-set blacklist_f2b src reject-with icmp-port-unreachable
REJECT     tcp  --  0.0.0.0/0            0.0.0.0/0            match-set blacklist_f2b src reject-with tcp-reset

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

A moje pytanie - jako, że xen nie robi za router sam łańcuch INPUT wystarczy aby blokować pakiety, które przechodzą przez enp3s0->xen_br i dalej do maszyn wirtualnych?

A w wolnym czasie, robię noże :)
[img]http://nginx.urbinek.eu/_photos/signature.png[/img]

Offline

 

#2  2017-08-29 10:02:35

  lis6502 - Łowca lamerów

lis6502
Łowca lamerów
Skąd: Stalinogród
Zarejestrowany: 2008-12-04

Re: IPtables w bridgu

Sam odpowiedziałeś sobie na pytanie:

A moje pytanie - jako, że xen nie robi za router sam łańcuch INPUT wystarczy aby blokować pakiety, które [b]przechodzą[/b] przez enp3s0->xen_br i dalej do maszyn wirtualnych?[/quote]
.
Afaik, łańcuch FORWARD dotyczy przekazywania pakietów między interfejsami.

Offline

 

#3  2017-08-29 10:03:33

  urbinek - Użytkownik

urbinek
Użytkownik
Skąd: Sosnowiec
Zarejestrowany: 2009-10-01
Serwis

Re: IPtables w bridgu

[quote=lis6502]Afaik, łańcuch FORWARD dotyczy przekazywania pakietów między interfejsami.[/quote]
Niezależnie od tego czy routing działa czy nie ?

A w wolnym czasie, robię noże :)
[img]http://nginx.urbinek.eu/_photos/signature.png[/img]

Offline

 

#4  2017-08-29 10:07:08

  lis6502 - Łowca lamerów

lis6502
Łowca lamerów
Skąd: Stalinogród
Zarejestrowany: 2008-12-04

Re: IPtables w bridgu

Czyli jak nie ma routingu to FORWARD jest niepotrzebne?
Filozoficznie zapytam czym jest routing? :) Bo w momencie kiedy pakiet nie przeznaczony bezpośrednio dla [b]tej[/b] maszyny leci gdzieś indziej, już mówimy o routingu, nawet bez włączenia maskarady.
BTW: popraw sobie stopkę bo przeglądarka długo mi się timeoutuje nim stwierdzi że nginx.urbinek.eu jest zimy ;)

Offline

 

#5  2017-08-29 10:11:27

  urbinek - Użytkownik

urbinek
Użytkownik
Skąd: Sosnowiec
Zarejestrowany: 2009-10-01
Serwis

Re: IPtables w bridgu

Dlatego mówiłem, że pytanie było głupie ;)


A co do stopki - własnie zauważyłem, wirtualka z serwerem umarła, zaraz zreanimujemy

A w wolnym czasie, robię noże :)
[img]http://nginx.urbinek.eu/_photos/signature.png[/img]

Offline

 

 

Strony: 1

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
To nie jest tylko forum, to nasza mała ojczyzna ;-)

[ Generated in 0.009 seconds, 11 queries executed ]

Informacje debugowania

Time (s) Query
0.00012 SET CHARSET latin2
0.00004 SET NAMES latin2
0.00123 SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.15.7.212' WHERE u.id=1
0.00090 REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.15.7.212', 1732714615)
0.00043 SELECT * FROM punbb_online WHERE logged<1732714315
0.00090 SELECT topic_id FROM punbb_posts WHERE id=313833
0.00030 SELECT id FROM punbb_posts WHERE topic_id=29867 ORDER BY posted
0.00062 SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=29867 AND t.moved_to IS NULL
0.00017 SELECT search_for, replace_with FROM punbb_censoring
0.00107 SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=29867 ORDER BY p.id LIMIT 0,25
0.00086 UPDATE punbb_topics SET num_views=num_views+1 WHERE id=29867
Total query time: 0.00664 s