Как разрешить все порты для определенного ip?

Question

[Семен Семеныч]

Как разрешить все порты для определенного ip?
Мой текущий iptables:

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [64:11092]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m multiport --dports 20:22,25,80,443,110,143,465,587,53,5432 -j ACCEPT
-A INPUT -p udp -m conntrack --ctstate NEW -m multiport --dports 53 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -s IP/32 -j ACCEPT
-A FORWARD -s IP/32 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

Answer 1

[Руслан Федосеев]

а что делает строка -A FORWARD -s IP/32 -j ACCEPT
Вы скорее всего -s и -d попутали ;)

Comments

[Семен Семеныч]

Спасибо, не заметил, но всё равно не работает.

[Руслан Федосеев]

объясните схему сети. что вы хотите открыть и где оно расположено относительно роутера

[Семен Семеныч]

Руслан Федосеев: есть сервер и клиент. Необходимо на сервере открыть порты a,b,c, а всё остальное дропать, но для определенного ip открыть все порты.

[Руслан Федосеев]

для определенного ип - это значит разрешить доступ этому ип к серверу по всем портам?
Тогда чего вы в FORWARD цепочку полезли?

А проблема у вас тут:
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -s IP/32 -j ACCEPT

Вы сначала запрещаете все, потом разрешаете. До разрешающего правила пакет уже не дойдет.
Поменяйте правила местами, а FORWARD не трогайте. Эта цепочка для пакетов, которые проходят сквозь маршрутизатор.

[Семен Семеныч]

Руслан Федосеев: спасибо большое, заработало.

Answer 2

[Владимир]

добавить

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

перед -A FORWARD -j REJECT ...

Comments

[Семен Семеныч]

Не работает, к сожалению.

[Владимир]

iptables -L -vn

[Семен Семеныч]

Владимир: pastebin.com/KuZjJieS

[Владимир]

чего вы ожидаете если в INPUT это

135 7667 REJECT all -- * * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
0 0 ACCEPT all -- * * IP 0.0.0.0/0
?