Iptables, NAT, PPTP, как запретить все, кроме необходимого?

Question

[vetash]

Необходимо запретить все порты, кроме необходимых на интерфейсах eth0 и ppp0.
(Провайдер использует PPTP Dual Acces)

Имеем такой конфиг:

#!/bin/sh
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
# Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward
# Разрешаем трафик на loopback-интерфейсе
iptables -A INPUT -i lo -j ACCEPT
# Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i eth1 -o ppp0 -j ACCEPT
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
#iptables -A FORWARD -i wlan0 -o ppp0 -j ACCEPT
# Включаем NAT
iptables -t nat -A POSTROUTING -o ppp0 -s 192.168.55.0/24 -j MASQUERADE
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.55.0/24 -j MASQUERADE
# Разрешаем ответы из внешней сети
iptables -A FORWARD -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Запрещаем доступ снаружи во внутреннюю сеть
iptables -A FORWARD -i ppp0 -o eth1 -j REJECT
iptables -A FORWARD -i eth0 -o eth1 -j REJECT

#Запретить Samba снаружи
iptables -A INPUT -i eth0 -p udp --dport 139 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 139 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 445 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 445 -j DROP

iptables -A INPUT -i ppp0 -p udp --dport 139 -j DROP
iptables -A INPUT -i ppp0 -p tcp --dport 139 -j DROP
iptables -A INPUT -i ppp0 -p tcp --dport 445 -j DROP
iptables -A INPUT -i ppp0 -p udp --dport 445 -j DROP

Что нужно добавить, чтобы на внешних интерфейсах работали порты только:
22,53,80,443,933,465,25,587,143?
Что надо добавить, чтобы отбрасывать нежелательные пакеты?

ptables -A INPUT -m state --state INVALID -j DROP
iptables -A FORWARD -m state --state INVALID -j DROP

Нашел вот такие опции - только не понял, где надо указывать Интерфейсы на которых оно должно работать.
В общем, опять запутался в правилах iptables, помогите, тону!

Comments

[sonik_spb]

Какие политике стоят по умолчанию? Покажите
iptables -S

[vetash]

Добавил еще 2 строки:

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128
#Включаем сегментацию пакетов
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Но, думаю не особо повлияет на ответы.
Вот:

#iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --dport 139 -j DROP
-A INPUT -i eth0 -p tcp -m tcp --dport 139 -j DROP
-A INPUT -i eth0 -p tcp -m tcp --dport 445 -j DROP
-A INPUT -i eth0 -p udp -m udp --dport 445 -j DROP
-A INPUT -i ppp0 -p udp -m udp --dport 139 -j DROP
-A INPUT -i ppp0 -p tcp -m tcp --dport 139 -j DROP
-A INPUT -i ppp0 -p tcp -m tcp --dport 445 -j DROP
-A INPUT -i ppp0 -p udp -m udp --dport 445 -j DROP
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -i eth1 -o ppp0 -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i ppp0 -o eth1 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i eth0 -o eth1 -j REJECT --reject-with icmp-port-unreachable

Answer 1

[Skazik]

Например -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
Интерфейс указывается после -i

Comments

[vetash]

Хорошо, а как запретить все остальные?

[sonik_spb]

У вас сейчас по умолчанию политика фаервола такая:
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT

Что означает что всё что не запрещено явно - разрешено.

если вам нужно запретить всё кроме того что у вас разрешено явно, тогда вам стоит поменять политику по умолчанию.

Менять так:
iptables -P имя_цепочки DROP

INPUT - входящие соединения
FORWARD - то что сервер пересылает в сеть\из сети
OUTPUT - исходящие соединения

делайте допустим на INPUT по умолчанию всё DROP и открывайте правилами только нужные порты.

Помните - что по сети настраивать фаервол дело не благодарное! Советую всё это изучать только если вы имеете локальный доступ к данному компьютеру.