Re: iptables + rdesktop

["Timur S. Sattarov" <tumyp@uzsci.net>]

Evgeny Yurkin wrote:

> В сообщении от 20 Май 2005 12:47 dh написал(a):
>  
>
> > В общем, создаю правило для rdesktop:
> >
> > # на RDP порт любого хоста в сети по TCP
> > -I OUTPUT -p tcp -d 192.168.2.0/255.255.255.0 --dport 3389 -j ACCEPT
> >
> > # чтобы RDP удалённого хоста мог общаться с rdesktop'ом. Только с порта
> > 3389 -I INPUT -p tcp -s 192.168.2.0/255.255.255.0 --sport 3389 -j ACCEPT
> >
> > Так вот в чём загвостка, вторая строчка фактически разрешает
> > коннектиться к _любому_ порту на локальной машине. Если конечно
> > --sport 3389. Что не есть хорошо. А проблема в том что rdesktop каждый
> > раз задаёт разный локальный порт.
> >
> > for example:
> >
> > IP 192.168.2.149.54393 > 192.168.2.1.3389
> >
> > запускаем rdesktop ещё раз:
> >
> > IP 192.168.2.149.53703 > 192.168.2.1.3389
> >
> > Порт уже другой.
> >
> > Кого ругать?
> >    
> не дочитал документацию
> http://gazette.linux.ru.net/rus/articles/iptables-tutorial.html
>
> на предмет флагов tcp (--tcp-flags) и состояния --state
>
>
>  
я обычно ставлю в самой первой строчке цепочки FORWARD и INPUT
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I INPUT -m state --state INVALID -j DROP
некоторое время делал ещё LOG инвалидных пакетов для пущей вящести, но 
ошибок не заметил
проверялось на загруженном 10-ти мегабитном линке в мир