iptables/netfilter

[Assarbad]

Kennt jemand eine Methode die aktuellen Regeln mit iptables auszulesen um sie nicht doppelt einzufügen?

Ich würde quasi gern meinem Firewallskript einen Aktualisierungsmodus verpassen bei dem ich nur Regeln einfüge, die noch nicht existieren.

Kennt da jemand eine relativ unkomplizierte Methode?

[Valle]

Kannst du mit der Ausgabe von folgendem Befehl was anfangen?

Code:

iptables-save

Ansonsten wirst du wohl eine eigene Datenbank über die Regelsätze mitführen müssen.

Oder eben alle Regeln erst löschen. So schwer ist das ja dann auch nicht.

Code:

iptables -F
iptables -X
<neue Regeln erstellen>

Btw, die schönste und einfachste Methode die ich kenne könnte vielleicht auch interessant sein. In /etc/network/if-down.d/ wird ein Script gelegt, welches alle Regeln exportiert. Dieses beinhaltet einfach nur "iptables-save > /etc/iptables.conf" und evtl. das IPv6-Equivalent und wird immer ausgeführt wenn das Netzwerkinterface heruntergefahren wird, also auch bei einem Reboot. Das zweite Script lädt die Regeln via "iptables-restore < /etc/iptables.conf" wieder und befindet sich in /etc/network/if-up.d/. Editiert wird einfach per Kommandozeile, eine Config-Datei gibt es nicht.

Liebe Grüße,
Valentin

[Assarbad]

Danke für die Antwort.

Zitat von Valle:

Kannst du mit der Ausgabe von folgendem Befehl was anfangen?

Code:

iptables-save

Jupp, hatte ich schon dran gedacht, ist leider nicht komplett identisch mit dem was ich bei Erstellung der Regel übergebe.

Zitat von Valle:

Oder eben alle Regeln erst löschen. So schwer ist das ja dann auch nicht.

Das schon, es gibt aber auch Regeln von anderer Seite. Deswegen überhaupt dieser "komplizierte" Ansatz.

Zitat von Valle:

Btw, die schönste und einfachste Methode die ich kenne könnte vielleicht auch interessant sein. In /etc/network/if-down.d/ wird ein Script gelegt, welches alle Regeln exportiert. Dieses beinhaltet einfach nur "iptables-save > /etc/iptables.conf" und evtl. das IPv6-Equivalent und wird immer ausgeführt wenn das Netzwerkinterface heruntergefahren wird, also auch bei einem Reboot. Das zweite Script lädt die Regeln via "iptables-restore < /etc/iptables.conf" wieder und befindet sich in /etc/network/if-up.d/. Editiert wird einfach per Kommandozeile, eine Config-Datei gibt es nicht.

Kenne ich. Habe es auf meinem alten Dedi-Server benutzt. Kann ich aber nicht mehr gebrauchen, da ich diverse DNAT- und SNAT-Regeln erstellen will, die etwas dynamisch sind und u.a. auch auf den Namen der Interfaces basieren. Ein Skript mit etlichen for-Schleifen ist also hier die elegantere Methode ...

[generic]

Du schreibst deine Regeln selbst?
Kennst du shorewall?

[Assarbad]

Zitat von generic:

Du schreibst deine Regeln selbst?

Ja.

Zitat von generic:

Kennst du shorewall?

Habe davon gehört. "Kennen" wäre zuviel behauptet ...

[mkinzler]

Zudem weis man dann ja nicht, was da genau passiert

[Assarbad]

Zitat von mkinzler:

Zudem weis man dann ja nicht, was da genau passiert

Du meinst bei Shorewall? Naja, das Backend ist iptables und ich kann mir ja angucken was rausgekommen ist.

Vorteil von iptables-save/-restore ist übrigens, daß die Zähler erhalten bleiben. Bei Neustart oder nur Netzwerkneustart ne coole Sache.

[mkinzler]

Dieser Beitrag war nicht ganz soi ernst gemeint

[generic]

shorewall generiert doch nur iptables regeln.

[mkinzler]

Wie gsagt, war der Beitrag nicht ganz Ernst gemeint
http://www.delphipraxis.net/157246-d...ihr-damit.html