Re: iptables setup: masq, opening ports, security

[Elena Egorova <jeg@satgate02.satgatellc.com>]

Здравствуйте,

On Mon, Dec 09, 2002 at 07:51:28PM +0200, Andrei Sosnin wrote:
>
> Вот пример:
>
> Dec  9 20:32:43 zzx kernel: IN=eth0 OUT=
> MAC=00:d0:44:21:da:ac:00:08:e2:33:f0:54:08:00 SRC=216.177.89.27
> DST=62.65.204.36 LEN=50 TOS=0x00 PREC=0x00 TTL=113 ID=21547 PROTO=UDP
> SPT=4368 DPT=12201 LEN=30
>
> Dec  9 20:32:45 zzx kernel: IN=eth0 OUT=
> MAC=00:d0:44:21:da:ac:00:08:e2:33:f0:54:08:00 SRC=216.177.89.27
> DST=62.65.204.36 LEN=50 TOS=0x00 PREC=0x00 TTL=113 ID=22985 PROTO=UDP
> SPT=4368 DPT=12201 LEN=30
>
> Dec  9 20:32:47 zzx kernel: IN=eth0 OUT=
> MAC=00:d0:44:21:da:ac:00:08:e2:33:f0:54:08:00 SRC=216.177.89.27
> DST=62.65.204.36 LEN=50 TOS=0x00 PREC=0x00 TTL=113 ID=24308 PROTO=UDP
> SPT=4368 DPT=12201 LEN=30
>
> А вот FTP, SMTP-порты - молчание, так как, по-видимому, из-за ошибки
> что-то не работало. Попробуйте зайти на http://zzx.ath.cx, а я посмотрю
> логи и вам покажу... ;-)

Dec 10 09:39:06 satgate01 kernel: Packet log: input DENY eth1 PROTO=17 212.44.70.74:137 212.44.70.75:137 L=78 S=0x00 I=51361 F=0x0000 T=128 (#108)
Dec 10 09:39:06 satgate01 kernel: Packet log: input DENY eth1 PROTO=17 212.44.64.90:137 212.44.64.91:137 L=78 S=0x00 I=48547 F=0x0000 T=128 (#108)

Не знаю, откуда вы берете такие странные логи. У меня не iptables, а ipchains,
но в логе видно, кто, куда, и почему DENY, какая цепочка обрабатывалась.

У меня последним правилом стоит:
#deny log all
ipchains -A input  -j DENY -l
ipchains -A output -j DENY -l
и все великолепно и с комментариями пишется в /var/log/kernel.log

--
Elena Egorova