Alterator/AlteratorNetIptables: различия между версиями

Материал из ALT Linux Wiki
(Новая: == alterator-net-iptables == '''Проект, по результатам разговора с vitty@''' Состояние системы по умолчанию (заботится ...)
 
 
(не показана 21 промежуточная версия 3 участников)
Строка 1: Строка 1:
== alterator-net-iptables ==
== alterator-net-iptables >= 1.0 ==


'''Проект, по результатам разговора с vitty@'''


Состояние системы по умолчанию (заботится инсталятор):
Модуль хранит свое состояние в отдельном файле и из него настраивает систему "в одну сторону".
* service iptables не существует, все работает через etcnet.
* все интерфейсы считаются внешними, изначально закрытыми, firewall включен
* в /etc/net/ifaces/default/fw/iptables/filter/INPUT записано:
* -P DROP
* -i lo -j ACCEPT
* -f -j DROP
* -m state --state ESTABLISHED,RELATED -j ACCEPT
* что-то еще, кажется надо было открыть
* в /etc/net/ifaces/default/fw/iptables/filter/OUTPUT:
* -P ACCEPT
* -f -j DROP
* -m state --state ESTABLISHED,RELATED -j ACCEPT (или такого тут не надо?)
* в /etc/net/ifaces/default/fw/options написано:
* FW_TYPE="iptables"
* IPTABLES_HUMAN_SYNTAX=no
* в /etc/net/ifaces/default/options:
* CONFIG_FW=yes


Модуль определяет текущее состояние:
Имеется скрипт iptables_helper (с достаточно человеколюбивым интерфейсом) умеющий читать и писать конфигурацию и настраивать систему, а также тривиальный модуль альтератора, который его использует.  
* определяется default policy (сперва из /etc/net/ifaces/default/fw/options, потом из /etc/net/ifaces/default/fw/iptables/filter/INPUT).  
* Если ACCEPT - значит все интерфейсы - внутренние
* Если DROP - дополнительно определяем внутренние интерфейсы по строчкам -i <имя> -j ACCEPT
* определяем дополнительно открытые сервисы (группы портов) и отдельные порты - по строчкам вида '-p <протокол> --dport <порт> -j ACCEPT'


Модуль перезаписывает состояние:
=== Мы работаем со следующими параметрами: ===
* из /etc/net/ifaces/default/fw/iptables/filter/{INPUT/OUTPUT} стираются строчки, соделжащие '-P' '-j DROP', '-j ACCEPT' (строчка ULOGD при этом сохраняется, интересно, нужно ли тут сохранять какие-то еще чужие строчки?)
* туда же дописываются значения по умолчанию (указанные выше)
* перезаписываются значения по умолчанию в /etc/net/ifaces/default/fw/options и /etc/net/ifaces/default/options -- все это надо делать одним скриптом
* для всех внутренних интерфейсов пишется '-i <имя> -j ACCEPT'
* записываются строчки для всех дополнительно открытых сервисов, для внешних интерфейсов (без указания интерфейсов) '-p <протокол> --dport <порт> -j ACCEPT'


Интерфейс:
* режим работы (firewall/gateway)
* выбор внутренних интерфейсов
* список внешних интерфейсов
* выбор открытых наружу сервисов
* список открытых снаружи сервисов
* ввод открытых наружу дополнительных портов
* список открытых снаружи портов
[[category:sisyphus]]
* дополнительные опции (сейчас поддерживается только запись правил для ulogd)
 
=== В соответствии с этими параметрами производятся следующие настройки системы: ===
* iptables  -- включен всегда
* forwarding -- включен всегда
 
* {{path|/etc/net/ifaces/default/fw/iptables/filter/INPUT}}:
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
-i <интейрфейс> -p <протокол> --dport <порт> -j ACCEPT # для всех открытых сервисов и
                                              # портов, для всех внешних интерфейсов
-i <интерфейс> -j DROP # для всех внешних интерфейсов
 
* {{path|/etc/net/ifaces/default/fw/iptables/filter/OUTPUT}}:
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
 
* для каждой пары внутренних интерфейсов в {{path|/etc/net/ifaces/default/fw/iptables/filter/FORWARDING}}:
-i $i1 -o $i2 -j DROP
 
* если режим работы gateway, то в {{path|/etc/net/ifaces/default/fw/iptables/nat/POSTROUTING}}:
-o <внешн.интерфейс> -j MASQUERADE # для каждой пары внутненний-внешний интерфейс
 
=== Кроме того ===
* service iptables не существует, все работает через etcnet + efw.
 
[[Категория:Sisyphus]]

Текущая версия от 17:35, 6 февраля 2009

alterator-net-iptables >= 1.0

Модуль хранит свое состояние в отдельном файле и из него настраивает систему "в одну сторону".

Имеется скрипт iptables_helper (с достаточно человеколюбивым интерфейсом) умеющий читать и писать конфигурацию и настраивать систему, а также тривиальный модуль альтератора, который его использует.

Мы работаем со следующими параметрами:

  • режим работы (firewall/gateway)
  • список внешних интерфейсов
  • список открытых снаружи сервисов
  • список открытых снаружи портов
  • дополнительные опции (сейчас поддерживается только запись правил для ulogd)

В соответствии с этими параметрами производятся следующие настройки системы:

  • iptables -- включен всегда
  • forwarding -- включен всегда
  • /etc/net/ifaces/default/fw/iptables/filter/INPUT:
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
-i <интейрфейс> -p <протокол> --dport <порт> -j ACCEPT # для всех открытых сервисов и 
                                              # портов, для всех внешних интерфейсов
-i <интерфейс> -j DROP # для всех внешних интерфейсов
  • /etc/net/ifaces/default/fw/iptables/filter/OUTPUT:
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
  • для каждой пары внутренних интерфейсов в /etc/net/ifaces/default/fw/iptables/filter/FORWARDING:
-i $i1 -o $i2 -j DROP
  • если режим работы gateway, то в /etc/net/ifaces/default/fw/iptables/nat/POSTROUTING:

-o <внешн.интерфейс> -j MASQUERADE # для каждой пары внутненний-внешний интерфейс

Кроме того

  • service iptables не существует, все работает через etcnet + efw.