Jump to content

Помощь с Iptables


Serega555

Recommended Posts

Добрый день, знающие люди не могли бы помочь с правилами для Iptables

есть системник (файловая-помойка) работает через роутер с статическим IP 91.215.61.91 (в роутере все порты проброшены, доступ из мира на системник есть)

мне нужно что бы с этих IP был доступ на любые порты

194.147.51.0/24

194.147.50.0/24

92.38.96.0/19

91.215.60.0/22

192.168.0.255/24

Со всех других IP был блок с 22 по 8200 порт

по возможности так же в какой файл сохранить правила, что бы работали после перезагрузки системника, на системнике трудится Debian 9

Link to comment
Share on other sites

Логичнее настроить ограничения на самом роутере. Порты проброшены выборочно?

 

Для сохранения правил - пакет iptable-persistence и юзать iptable-save/restore. В /etc есть файлик в который можно сохранять и из него будет авторестор при ребуте.

Link to comment
Share on other sites

Логичнее настроить ограничения на самом роутере. Порты проброшены выборочно?

 

Для сохранения правил - пакет iptable-persistence и юзать iptable-save/restore. В /etc есть файлик в который можно сохранять и из него будет авторестор при ребуте.

 

локальный IP системника добавлен в DMZ-host с мира при вводе 91.215.61.91 сразу попадаю на системник, роутер стоит Tenda AC6

проще будет убрать эту зону DMZ и настраивать порту в ручную каждый порт какой откуда можно какой нет?

Link to comment
Share on other sites

Эти роутеры я не знаю, может и проще, но вот то что безопаснее - точно. Иначе у вас задача защитить свою систему от всего мира целиком. Есть шансы что-то да упустить, особенно когда опыта настройки такой нет. А в случае с роутер ом, все проще. К тому же если сделать наружу нестандартные порты.
Link to comment
Share on other sites

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i название интерфейса -s адреса локальной сети -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i название интерфейса -s адрес, с которого нужно разрешить -j ACCEPT

iptables -A INPUT -i название интерфейса -m tcp -p tcp --dport 22:8200 -j ACCEPT

apt install iptables-persistent

apt install fail2ban

 

fail2ban - чтобы на 22 порт с меньшей вероятности попали

Link to comment
Share on other sites

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i название интерфейса -s адреса локальной сети -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i название интерфейса -s адрес, с которого нужно разрешить -j ACCEPT

iptables -A INPUT -i название интерфейса -m tcp -p tcp --dport 22:8200 -j ACCEPT

apt install iptables-persistent

apt install fail2ban

 

fail2ban - чтобы на 22 порт с меньшей вероятности попали

 

Спасибо! подскажите куда всё это можно будет добавить что бы после перезагрузки правила сохранились?

Link to comment
Share on other sites

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i название интерфейса -s адреса локальной сети -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i название интерфейса -s адрес, с которого нужно разрешить -j ACCEPT

iptables -A INPUT -i название интерфейса -m tcp -p tcp --dport 22:8200 -j ACCEPT

apt install iptables-persistent

apt install fail2ban

 

fail2ban - чтобы на 22 порт с меньшей вероятности попали

iptables -A INPUT -i название интерфейса -m tcp -p tcp --dport 22:8200 -j ACCEPT

разве этой цепочкой я не ставлю разрешения с 22 по 8200 порт?

мне нужно что бы был блок со всех IP по этим портам кроме тех кому можно

Link to comment
Share on other sites

Тогда там DROP, я тоже сначала по топику понял что нужно разрешить.

Только после Drop, разрешить на все остальные.

Ну или сразу разрешить остальные диапазоны, правила сверху вниз обрабатываются, при срабатывании выходит из цепочки.

Спасибо! подскажите куда всё это можно будет добавить что бы после перезагрузки правила сохранились?

Вот в WiKi пишут - https://wiki.debian.org/iptables

«Украинский народ заслуживает того, чтобы определять своё будущее без вмешательства извне. И именно это Соединённые Штаты пытаются сделать». © Джон Бреннан (главный советник президента США Барака Обамы по борьбе с терроризмом)

«Сибирь слишком большая, чтобы принадлежать одному государству» © Кондолиза Райс (госсекретарь США)

Link to comment
Share on other sites

Блок, в смысле, блокировка? Тогда вместо ACCEPT - REJECT

Я понял так, что блок - блок портов

 

Сообщение отредактировал mmad11: 23 Март 2019 - 19:47

А в чём разница между DROP и REJECT?

«Украинский народ заслуживает того, чтобы определять своё будущее без вмешательства извне. И именно это Соединённые Штаты пытаются сделать». © Джон Бреннан (главный советник президента США Барака Обамы по борьбе с терроризмом)

«Сибирь слишком большая, чтобы принадлежать одному государству» © Кондолиза Райс (госсекретарь США)

Link to comment
Share on other sites

Drop - просто отбивает, а реджект говорит, что отбивает. При ринге можно увидеть разницу. При дворе будет тишина, типа нет адреса такого, а при реджект он говорит, что оборудование есть, но оно говорит реджект.
Link to comment
Share on other sites

То есть DROP просто игнорирует, а REJECT культурно посылает :) .

Спасибо.

Надо 53 порт с Reject на Drop, переделать, чтоб трафик не генерило, а то ломятся периодически.

«Украинский народ заслуживает того, чтобы определять своё будущее без вмешательства извне. И именно это Соединённые Штаты пытаются сделать». © Джон Бреннан (главный советник президента США Барака Обамы по борьбе с терроризмом)

«Сибирь слишком большая, чтобы принадлежать одному государству» © Кондолиза Райс (госсекретарь США)

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Loading...

Чат

Чат

Please enter your display name

×
×
  • Create New...