iptables: nur bestimmte ports routen

[DeddyH]

Hmmm... vielleicht fehlt noch die Adressübersetzung (hab seit 3 Jahren nix mehr mit iptables gemacht, sorry)
iptables -t nat -A POSTROUTING -p tcp --dport 80 -s 172.16.0.0/24 -j SNAT --to $IP_AndererRouter

[geisi]

Danke! habe immer versucht im browser mit http://www.google.at die verbindung ins internet zu prüfen, darum hats auch nicht funktioniert. jetzt habe ich es mit http://209.85.129.104/ versucht, und jetzt funktionierts.

also muss ich nur noch den port für die dns-anfrage öffnen.
das ist der udp port 53, oder?

[DeddyH]

Zitat von geisi:

das ist der udp port 53, oder?

Richtig.

[geisi]

Klappt super!!!
Und jetzt nochmal zusammengefasst:

Um nur das Surfen im Internet zu erlauben müsst ihr folgendes tun:

Delphi-Quellcode:

// iptables-chains leeren
iptables -F

// chain-policies (--> default-wert) auf DROP setzen (trifft keine bedingung zu, wird das packet verworfen)
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP




// den Traffic auf dem TCP-Port 80 (HTTP) erlauben
// vom Internet ins lokale Netz
iptables -A FORWARD -p tcp -i <wan-interfaces> -o <lan-interfaces> --sport 80 -d 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

// vom lokalen Netz ins Internet
iptables -A FORWARD -p tcp -i <lan-interfaces> -o <wan-interfaces> --dport 80 -s 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT





// den Traffic auf dem TCP-Port 443 (HTTPS) erlauben
// vom Internet ins lokale Netz
iptables -A FORWARD -p tcp -i <wan-interfaces> -o <lan-interfaces> --sport 443 -d 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

// vom lokalen Netz ins Internet
iptables -A FORWARD -p tcp -i <lan-interfaces> -o <wan-interfaces> --dport 443 -s 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT




// den Traffic auf dem UDP-Port 53 (DNS) erlauben
// vom Internet ins lokale Netz
iptables -A FORWARD -p udp -i <wan-interfaces> -o <lan-interfaces> --sport 53 -d 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

// vom lokalen Netz ins Internet
iptables -A FORWARD -p udp -i <lan-interfaces> -o <wan-interfaces> --dport 53 -s 172.16.0.0/24 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Viel Spaß!!!!

[DeddyH]

Bei FTP wird es schon schwieriger (Active,Passive)
Ich hatte mal nach MonMotha gegooglet, aber die Seite ist leider down. Schade, war als Basis ein super Script.

[geisi]

Habe jetzt meine Firewall jetzt unter SuSE Linux 10 vollständig konfiguriert, leider ist die konfiguration weg, sobald ich den server neu starte. Warum bleiben die einträge in der iptables nicht gespeichert?

[geisi]

hi!

habe jetzt meinen server neu konfiguriert. habe 2 netzwerkkarten drin: eth1 richtung modem, eth0 in richtung LAN.
wenn ich auf meinem suse-server den befehl ifconfig ausführe bekomme ich 3 schnittstellen angezeigt: eth0, eth1 und dsl0.
wenn ich jetzt bestimmte ports in richtung internet (externe zone) sperren bzw. öffnen will, muss ich die iptables-chains auf die schnittstelle eth1 oder dsl0 legen?