Доступ к сети (ограничение доступа)

[svip]

Есть машинка с ubuntu 7.10 на борте. Стоит в качестве роутера. внутренняя сеть - ноут и комп. нужно сделать чтобы с компьютера можно было зайти только на определенные сайты или как вариант запретить определенные сайты (ip).
Добрые люди подскажите как реализовать. можно ли обойтись без фаервола, только правилами для iptables???
Подскажите пожалуйста конкретным примером

 

[SlavaD]

Цитата(svip @ 3 Февраля, 2008, 22:42)
можно ли обойтись без фаервола, только правилами для iptables???
мда... команда iptables управляет фаерволом, так что если ты ее применяешь, то как раз и пользуешь фаервол

пример фаервола, для начала сбрасываем все правила, так сказать начинаем с чистого листа:
Код
iptables -F
iptables -X
iptables -F -t nat
iptables -X -t nat
iptables -F -t filter
iptables -X -t filter
iptables -F -t mangle
iptables -X -t mangle


дальше можешь закрыть лишние сайты:
Код
iptables -t mangle -A PREROUTING -d mail.ru -j DROP
iptables -t mangle -A PREROUTING -d microsoft.com -j DROP


теперь открыть интернет своей локальной сети
Код
iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -d 192.168.1.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE


на самом деле данный пример не идеален, но усложнять не буду, разберись пока с этим

 

[svip]

Цитата
мда... команда iptables управляет фаерволом, так что если ты ее применяешь, то как раз и пользуешь фаервол

я имел ввиду дополнительным файерволом.

Дело в том что в сети есть вде тачки. вот именно на одной и нужно закрыть доступ.
iptables -t mangle -A PREROUTING -d mail.ru -j DROP - это правило -закрывает для всей сети
iptables -A FORWARD -d 192.168.1.0/24 -j ACCEPT - это открыает для все й сети. а как для конкретного айпи?

 

[SlavaD]

Цитата(svip @ 3 Февраля, 2008, 23:08)
а как для конкретного айпи?

Код
iptables -t mangle -A PREROUTING -s 192.168.1.2 -d mail.ru -j DROP

 

[alexk]

Код

iptables -t mangle -A PREROUTING -d mail.ru -j DROP


дропать пакеты на первой возможной проверке, не нагружая маршрутизацию и conntrack... красиво.

 

[svip]

Код

iptables -t mangle -A PREROUTING -s 192.168.1.2 -d 0.0.0.0/0 -j DROP
iptables -t mangle -A PREROUTING -s 192.168.1.2 -d mail.ru -j ACCEPT



так будет правильно задать правила для запрета всех адресов и разрешения заходить только на mail.ru??

 

[SlavaD]

сначала все пакеты убил... а потом уже открывать и некому

так правильно:
Код
iptables -t mangle -A PREROUTING -s 192.168.1.2 -d mail.ru -j ACCEPT
iptables -t mangle -A PREROUTING -s 192.168.1.2 -d 0.0.0.0/0 -j DROP

 

[svip]

спасибо. не пойму откуда второй пост вылез. Удалил его.