적수네 동네 - 질문과 답변 [ 게시물 수정 ]

	>> Edit article


			이름
			제목
			패스워드

ipchains 이용시는 전부 input chain으로 들어 오는 걸로 알고 있습니다.
 linux iptables HOWTO(번역본은 없는걸로 알고 있음)를 보시면
 다음 그림과 같이 되어 있습니다.
                     _____
                   /     
 -->[Routing ]--->|FORWARD|------->
    [Decision]     \_____/        ^ 
         |                        |
         v                       ____  
        ___                     /     
       /                      |OUTPUT|
      |INPUT|                   \____/ 
       \___/                      ^    
         |                        |
          ----> Local Process ----
 아래 스크립트는 필터링 서버에 들어오는 패킷만 걸러내는 거 같습니다.
내부에서 외부로 나가는 것은 전혀 터치하는 부분이 없죠?
 글구 저도 안해봤는데요 FORWARD로 바꿔주시면 되나요?
  : 안냐세요 오늘 새벽에 이 글을 올렸는데 글이 파뭇혀버렸군요
: 밑에분이 답변해주셨는데 감사드립니다.
: 근데 말이죠 제가 알기론
: 모든 패킷들은 input과 output은 꼭 지나는것으로 알고 있거든요?
: 
: 김정균님의 oops파이어월 스크립트를 봐도 
: iptables -A FORWARD -p tcp -dport 80 -j REJECT 
: 이렇게 필터를 하는건 없군요?
: 아마 김정균님께서 마스커레이딩 필터링을 하지 않으셨거나
: 아님 제말대로 INPUT으로 필터링이 가능하거나 크^^ 넘 헷갈리네요
: 
: 
: ----------------답변-----------------------
: iptables -A INPUT -p tcp -dport 80 -j REJECT 
: 이게 아니고 
: iptables -A FORWARD -p tcp -dport 80 -j REJECT 
: 아닌가여? 
: 모르겠다.. 어제 밤에 공부한건데.. 
: 
: 
: -------------원본글--------------------
: : 다름이 아니오라 제가 마스커레이딩(이하 마스)를 했습니다. 
: : 일단 제가했는걸 보여드리죠 
: : 
: : iptables -A INPUT -m state --state INVALID -j DROP 
: : 
: : 
: : iptables -A OUTPUT -m state --state INVALID -j DROP 
: : 
: : 
: : iptables -A INPUT -s 203.233.191.202 -j ACCEPT 
: : 
: : 
: : iptables -A INPUT -p udp --sport 53 -m state --state ESTABLISHED -j ACCEPT 
: : 
: : 
: : iptables -A INPUT -d 203.233.191.201 -p tcp --dport 23 -m state --state NEW,ESTABLISHED -j ACCEPT 
: : 
: : iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
: : 
: : 
: : iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j SNAT --to 203.233.191.201 
: : 
: : 
: : iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.10.1 
: : 
: : 
: : iptables -A INPUT -p tcp --syn -j REJECT 
: : 
: : 
: : iptables -A INPUT -p tcp --dport 1:65535 -j DROP 
: : 
: : 
: : iptables -A INPUT -p udp --dport 1:65535 -j DROP 
: : 
: : 
: : 
: : 위와 같습니다.. 
: : iptables을 쓴 컴터 즉, 마스를 한 컴터정보는 
: : eth0 203.233.191.201 
: : eth1 192.168.10.1 
: : 입니다. 
: : 
: : 마지막에 3줄은 DENY정책입니다 tcp,udp의 모든 포트를 막아버립니다. 
: : 문제는 
: : 마스를 하지않은 실 아이피들은 INPUT룰에 걸려 제대로 컨트롤이 됩니다. 
: : 하지만 마스를 한 내부아이피들은 아무런 컨트롤이 되지 않습니다. 
: : 만약에 마스커레이딩부분위에 iptables -A INPUT -p tcp -dport 80 -j REJECT 
: : 해도 마스커레이딩된 컴터들은 아무런 제약없이 웹서핑이 가능합니다 
: : 마스커레이딩하면 원래 필터링을 할수 없는 것인가요? 
: : 분명히 필터링 방법이 있는제 제가 잘못한거 같습니다. 
: : 한수 가르쳐 주솝소