ipchains 이용시는 전부 input chain으로 들어 오는 걸로 알고 있습니다.
linux iptables HOWTO(번역본은 없는걸로 알고 있음)를 보시면
다음 그림과 같이 되어 있습니다.
_____
/
-->[Routing ]--->|FORWARD|------->
[Decision] \_____/ ^
| |
v ____
___ /
/ |OUTPUT|
|INPUT| \____/
\___/ ^
| |
----> Local Process ----
아래 스크립트는 필터링 서버에 들어오는 패킷만 걸러내는 거 같습니다.
내부에서 외부로 나가는 것은 전혀 터치하는 부분이 없죠?
글구 저도 안해봤는데요 FORWARD로 바꿔주시면 되나요?
: 안냐세요 오늘 새벽에 이 글을 올렸는데 글이 파뭇혀버렸군요
: 밑에분이 답변해주셨는데 감사드립니다.
: 근데 말이죠 제가 알기론
: 모든 패킷들은 input과 output은 꼭 지나는것으로 알고 있거든요?
:
: 김정균님의 oops파이어월 스크립트를 봐도
: iptables -A FORWARD -p tcp -dport 80 -j REJECT
: 이렇게 필터를 하는건 없군요?
: 아마 김정균님께서 마스커레이딩 필터링을 하지 않으셨거나
: 아님 제말대로 INPUT으로 필터링이 가능하거나 크^^ 넘 헷갈리네요
:
:
: ----------------답변-----------------------
: iptables -A INPUT -p tcp -dport 80 -j REJECT
: 이게 아니고
: iptables -A FORWARD -p tcp -dport 80 -j REJECT
: 아닌가여?
: 모르겠다.. 어제 밤에 공부한건데..
:
:
: -------------원본글--------------------
: : 다름이 아니오라 제가 마스커레이딩(이하 마스)를 했습니다.
: : 일단 제가했는걸 보여드리죠
: :
: : iptables -A INPUT -m state --state INVALID -j DROP
: :
: :
: : iptables -A OUTPUT -m state --state INVALID -j DROP
: :
: :
: : iptables -A INPUT -s 203.233.191.202 -j ACCEPT
: :
: :
: : iptables -A INPUT -p udp --sport 53 -m state --state ESTABLISHED -j ACCEPT
: :
: :
: : iptables -A INPUT -d 203.233.191.201 -p tcp --dport 23 -m state --state NEW,ESTABLISHED -j ACCEPT
: :
: : iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
: :
: :
: : iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j SNAT --to 203.233.191.201
: :
: :
: : iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.10.1
: :
: :
: : iptables -A INPUT -p tcp --syn -j REJECT
: :
: :
: : iptables -A INPUT -p tcp --dport 1:65535 -j DROP
: :
: :
: : iptables -A INPUT -p udp --dport 1:65535 -j DROP
: :
: :
: :
: : 위와 같습니다..
: : iptables을 쓴 컴터 즉, 마스를 한 컴터정보는
: : eth0 203.233.191.201
: : eth1 192.168.10.1
: : 입니다.
: :
: : 마지막에 3줄은 DENY정책입니다 tcp,udp의 모든 포트를 막아버립니다.
: : 문제는
: : 마스를 하지않은 실 아이피들은 INPUT룰에 걸려 제대로 컨트롤이 됩니다.
: : 하지만 마스를 한 내부아이피들은 아무런 컨트롤이 되지 않습니다.
: : 만약에 마스커레이딩부분위에 iptables -A INPUT -p tcp -dport 80 -j REJECT
: : 해도 마스커레이딩된 컴터들은 아무런 제약없이 웹서핑이 가능합니다
: : 마스커레이딩하면 원래 필터링을 할수 없는 것인가요?
: : 분명히 필터링 방법이 있는제 제가 잘못한거 같습니다.
: : 한수 가르쳐 주솝소