적수네 동네 - 질문과 답변 [ 게시물 수정 ]

	>> Edit article


			이름
			제목
			패스워드

안냐세요 오늘 새벽에 이 글을 올렸는데 글이 파뭇혀버렸군요
밑에분이 답변해주셨는데 감사드립니다.
근데 말이죠 제가 알기론
모든 패킷들은 input과 output은 꼭 지나는것으로 알고 있거든요?
 김정균님의 oops파이어월 스크립트를 봐도 
iptables -A FORWARD -p tcp -dport 80 -j REJECT 
이렇게 필터를 하는건 없군요?
아마 김정균님께서 마스커레이딩 필터링을 하지 않으셨거나
아님 제말대로 INPUT으로 필터링이 가능하거나 크^^ 넘 헷갈리네요
  ----------------답변-----------------------
iptables -A INPUT -p tcp -dport 80 -j REJECT 
이게 아니고 
iptables -A FORWARD -p tcp -dport 80 -j REJECT 
아닌가여? 
모르겠다.. 어제 밤에 공부한건데.. 
  -------------원본글--------------------
: 다름이 아니오라 제가 마스커레이딩(이하 마스)를 했습니다. 
: 일단 제가했는걸 보여드리죠 
: 
: iptables -A INPUT -m state --state INVALID -j DROP 
: 
: 
: iptables -A OUTPUT -m state --state INVALID -j DROP 
: 
: 
: iptables -A INPUT -s 203.233.191.202 -j ACCEPT 
: 
: 
: iptables -A INPUT -p udp --sport 53 -m state --state ESTABLISHED -j ACCEPT 
: 
: 
: iptables -A INPUT -d 203.233.191.201 -p tcp --dport 23 -m state --state NEW,ESTABLISHED -j ACCEPT 
: 
: iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
: 
: 
: iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j SNAT --to 203.233.191.201 
: 
: 
: iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.10.1 
: 
: 
: iptables -A INPUT -p tcp --syn -j REJECT 
: 
: 
: iptables -A INPUT -p tcp --dport 1:65535 -j DROP 
: 
: 
: iptables -A INPUT -p udp --dport 1:65535 -j DROP 
: 
: 
: 
: 위와 같습니다.. 
: iptables을 쓴 컴터 즉, 마스를 한 컴터정보는 
: eth0 203.233.191.201 
: eth1 192.168.10.1 
: 입니다. 
: 
: 마지막에 3줄은 DENY정책입니다 tcp,udp의 모든 포트를 막아버립니다. 
: 문제는 
: 마스를 하지않은 실 아이피들은 INPUT룰에 걸려 제대로 컨트롤이 됩니다. 
: 하지만 마스를 한 내부아이피들은 아무런 컨트롤이 되지 않습니다. 
: 만약에 마스커레이딩부분위에 iptables -A INPUT -p tcp -dport 80 -j REJECT 
: 해도 마스커레이딩된 컴터들은 아무런 제약없이 웹서핑이 가능합니다 
: 마스커레이딩하면 원래 필터링을 할수 없는 것인가요? 
: 분명히 필터링 방법이 있는제 제가 잘못한거 같습니다. 
: 한수 가르쳐 주솝소