|
|
|
network
|
|||
|---|---|---|---|
|
#18+
Хочу совета! Совета, в реализации идеи простой защиты сервера от кое-каких атак... Есть сервер, с выходом на три сети, две внутренние - третья интернет. защищать нужно одну - интернет. Все не нужные сервисы я отключил, теперь остается задачка в том, чтобы к оставшимся сервисам имели доступ только определенные, удаленные машины, а не вся сеть. схемка... Под сетевым сервисом я имею ввиду ftp или listener oracle, открываю их на сервере, видны и доступны только моим машинам, остальным вообще не видны. Помогите сделать или скажите где прочитать о такой конфигурации или примерной. iptables - хороший firewall, но никак не могу понять как там сделать, то что мне нужно. Может есть способы проще? ... |
|||
|
:
Нравится:
Не нравится:
|
|||
| 16.03.2005, 15:05:46 |
|
||
|
network
|
|||
|---|---|---|---|
|
#18+
А маршрутизация у тебя настроена? Пинг машины из другой сети проходит? ... |
|||
|
:
Нравится:
Не нравится:
|
|||
| 16.03.2005, 15:19:46 |
|
||
|
network
|
|||
|---|---|---|---|
|
#18+
ALex_hhaА маршрутизация у тебя настроена? Пинг машины из другой сети проходит? ...дык про роутер вроде он не писал... 2 автор: а чем конкретно iptables не устраивает ? ... |
|||
|
:
Нравится:
Не нравится:
|
|||
| 16.03.2005, 15:24:02 |
|
||
|
network
|
|||
|---|---|---|---|
|
#18+
iptables устраивает, только не могу сообразить какие правила написать. 1. запретить всем все 2. разрешить только машинам <ip1 ip2> порты <21 1111> на eth0. как это написать на iptables и чтобы это не распространялось на остальные интерфейсы. ... |
|||
|
:
Нравится:
Не нравится:
|
|||
| 16.03.2005, 15:29:40 |
|
||
|
network
|
|||
|---|---|---|---|
|
#18+
Alexander Gulyaeviptables устраивает, только не могу сообразить какие правила написать. 1. запретить всем все 2. разрешить только машинам <ip1 ip2> порты <21 1111> на eth0. как это написать на iptables и чтобы это не распространялось на остальные интерфейсы. поменять 1 и 2 пункт местами и написать примерно следующее: Код: plaintext 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16. 17. 18. 19. 20. 21. P.S. это только кусок от реального конфига... ... |
|||
|
:
Нравится:
Не нравится:
|
|||
| 16.03.2005, 15:39:28 |
|
||
|
network
|
|||
|---|---|---|---|
|
#18+
Если правило пишется -A INPUT -i eth0 -p tcp -m tcp -s 192.168.108.0/24 -j ACCEPT то для все остальных интерфейсов все остается по умолчанию? т.е. если ничего не писалось, то все можно? Если нужны другие порты кроме ssh -A INPUT -i eth0 -p tcp -m tcp --dport 0:21 -j REJECT --reject-with icmp-port-unreachable -A INPUT -i eth0 -p tcp -m tcp --dport 23:1023 -j REJECT --reject-with icmp-port-unreachable то их так же описывать? нет правила от обратного - просто перечислить которые нужны, а то получается на каждый разрешенный порт по две строки. Как написать, что доступ к ssh только машине с определенным ip, а не всем подряд? Просто в логах постоянно непонятные ip, с которых попытки войти. Ssh конечно крут, но все же лучше вообще чтобы его другие не видели. А вот как это сделать? Что должно быть в реальном конфиге еще, если это только часть(из обязательного)? если есть возможность прислать его (укороченный ;)) вот почта sgul@kiae.ru ... |
|||
|
:
Нравится:
Не нравится:
|
|||
| 16.03.2005, 16:32:47 |
|
||
|
network
|
|||
|---|---|---|---|
|
#18+
Alexander GulyaevЕсли правило пишется -A INPUT -i eth0 -p tcp -m tcp -s 192.168.108.0/24 -j ACCEPT то для все остальных интерфейсов все остается по умолчанию? т.е. если ничего не писалось, то все можно? угу Alexander Gulyaev Если нужны другие порты кроме ssh -A INPUT -i eth0 -p tcp -m tcp --dport 0:21 -j REJECT --reject-with icmp-port-unreachable -A INPUT -i eth0 -p tcp -m tcp --dport 23:1023 -j REJECT --reject-with icmp-port-unreachable то их так же описывать? ну man iptables или info iptables таки лучше прочитать... но суть такая что описать в начале все кому можно, а в конце конфига дропать все остальное... Alexander Gulyaev нет правила от обратного - просто перечислить которые нужны, а то получается на каждый разрешенный порт по две строки. дык почему по две ? ну напиши : -A INPUT -i eth0 -p tcp -m tcp --dport 21 -s 192.168.108.127 -j ACCEPT ... -A INPUT -i eth0 -p tcp -m tcp --dport 22 -s 192.168.108.127 -j ACCEPT ... -A INPUT -i eth0 -p ip -j REJECT ... |
|||
|
:
Нравится:
Не нравится:
|
|||
| 16.03.2005, 16:46:13 |
|
||
|
|
start [/forum/topic.php?fid=25&fpage=250&tid=1490881]: |
0ms |
get settings: |
8ms |
get forum list: |
11ms |
check forum access: |
2ms |
check topic access: |
2ms |
track hit: |
273ms |
get topic data: |
11ms |
get forum data: |
3ms |
get page messages: |
39ms |
get tp. blocked users: |
1ms |
| others: | 226ms |
| total: | 576ms |
| 0 / 0 |
