Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2017-08-29 09:59:03
urbinek - 
Użytkownik
IPtables w bridgu
bry, mam trochę głupie pytanie
Mam sobie xen'a z jednym interfejsem fizycznym i wielkim szczęśliwym bridgem
Kod:
[root@xen ~]# brctl show
bridge name bridge id STP enabled interfaces
virbr0 8000.525400cf109a yes virbr0-nic
xen_br 8000.d05099734379 no enp3s0
vif1.0
vif2.0
vif3.0
vif4.0
xen_br.100 8000.d05099734379 no enp3s0.100Wszystkie maszyny są w jednej podsieci (wraz z hipervisorem, kompami w domu itp)
Dorobiłem do fail2ban dopisywanie adresów to ipset'a i dodałem importowanie listy firehol_level1.netset
Wszystko działa tak jak powinno, ipsety są tworzone, aktualizowane itp:
Kod:
[root@xen scripts]# iptables -L -n Chain INPUT (policy ACCEPT) target prot opt source destination REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_firehol src reject-with icmp-host-unreachable REJECT udp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_firehol src reject-with icmp-port-unreachable REJECT tcp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_firehol src reject-with tcp-reset f2b-sshd tcp -- 0.0.0.0/0 0.0.0.0/0 multiport dports 22 REJECT icmp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_f2b src reject-with icmp-host-unreachable REJECT udp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_f2b src reject-with icmp-port-unreachable REJECT tcp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist_f2b src reject-with tcp-reset Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination
A moje pytanie - jako, że xen nie robi za router sam łańcuch INPUT wystarczy aby blokować pakiety, które przechodzą przez enp3s0->xen_br i dalej do maszyn wirtualnych?
A w wolnym czasie, robię noże :)
[img]http://nginx.urbinek.eu/_photos/signature.png[/img]
Offline
#2 2017-08-29 10:02:35
lis6502 - Łowca lamerów
- lis6502
- Łowca lamerów
- Skąd: Stalinogród
- Zarejestrowany: 2008-12-04
Re: IPtables w bridgu
Sam odpowiedziałeś sobie na pytanie:
A moje pytanie - jako, że xen nie robi za router sam łańcuch INPUT wystarczy aby blokować pakiety, które [b]przechodzą[/b] przez enp3s0->xen_br i dalej do maszyn wirtualnych?[/quote]
.
Afaik, łańcuch FORWARD dotyczy przekazywania pakietów między interfejsami.
Offline
#3 2017-08-29 10:03:33
urbinek - Użytkownik
Re: IPtables w bridgu
[quote=lis6502]Afaik, łańcuch FORWARD dotyczy przekazywania pakietów między interfejsami.[/quote]
Niezależnie od tego czy routing działa czy nie ?
A w wolnym czasie, robię noże :)
[img]http://nginx.urbinek.eu/_photos/signature.png[/img]
Offline
#4 2017-08-29 10:07:08
lis6502 - Łowca lamerów
- lis6502
- Łowca lamerów
- Skąd: Stalinogród
- Zarejestrowany: 2008-12-04
Re: IPtables w bridgu
Czyli jak nie ma routingu to FORWARD jest niepotrzebne?
Filozoficznie zapytam czym jest routing? :) Bo w momencie kiedy pakiet nie przeznaczony bezpośrednio dla [b]tej[/b] maszyny leci gdzieś indziej, już mówimy o routingu, nawet bez włączenia maskarady.
BTW: popraw sobie stopkę bo przeglądarka długo mi się timeoutuje nim stwierdzi że nginx.urbinek.eu jest zimy ;)
Offline
#5 2017-08-29 10:11:27
urbinek - Użytkownik
Re: IPtables w bridgu
Dlatego mówiłem, że pytanie było głupie ;)
A co do stopki - własnie zauważyłem, wirtualka z serwerem umarła, zaraz zreanimujemy
A w wolnym czasie, robię noże :)
[img]http://nginx.urbinek.eu/_photos/signature.png[/img]
Offline
Informacje debugowania
| Time (s) | Query |
|---|---|
| 0.00011 | SET CHARSET latin2 |
| 0.00005 | SET NAMES latin2 |
| 0.00152 | SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.220.136.165' WHERE u.id=1 |
| 0.00071 | REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '18.220.136.165', 1714378230) |
| 0.00040 | SELECT * FROM punbb_online WHERE logged<1714377930 |
| 0.00066 | DELETE FROM punbb_online WHERE ident='47.128.59.46' |
| 0.00066 | DELETE FROM punbb_online WHERE ident='54.36.148.148' |
| 0.00114 | SELECT topic_id FROM punbb_posts WHERE id=313834 |
| 0.00139 | SELECT id FROM punbb_posts WHERE topic_id=29867 ORDER BY posted |
| 0.00075 | SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=29867 AND t.moved_to IS NULL |
| 0.00006 | SELECT search_for, replace_with FROM punbb_censoring |
| 0.00125 | SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=29867 ORDER BY p.id LIMIT 0,25 |
| 0.00101 | UPDATE punbb_topics SET num_views=num_views+1 WHERE id=29867 |
| Total query time: 0.00971 s | |