|
Tomato - iptables ograniczenia
|
| WoRo |
Dodano 14-10-2009 13:10
|
User
Posty: 10
Dołączył: 22/10/2008 06:27
|
Witam,
Mam takie problem WRT54GS z tomato (mod RAF) 1.25 sprzęt ten podłaczony jest portem WAN do sieci firmowej lokalnej. WRT ma 192.168.1.10 w lokalnej. WRT rozdaje klientom wifi adresy z puli 192.168.2.x. I problem jest tego typu w sieci lokalnej stoi samba (na 192.168.1.1) czy jest jakaś możliwość na WRT w iptables ograniczyć dostęp do 192.168.1.1 (samba) tylko okreslonym komputerom?
Np. są sobie klienci 192.168.2.100 do 192.168.2.150 i chcę aby oni nie mieli dostęp do 192.168.1.1 do tej samy a cała reszta aby dostęp miała.
Może ktoś pomoc w napisaniu reguł iptables albo zaproponować jakiś inny mechanizm (poza uwierzytelnieniem na sambie - chodzi o brak kontaktu z sambą (nawet proby autoryzacji aby nie było)). |
| |
|
|
| shibby |
Dodano 14-10-2009 13:48
|
SysOp
Posty: 17166
Dołączył: 15/01/2009 20:30
|
tak na szybko
Cytat iptables -A INPUT -p tcp -m iprange --src-range 192.168.2.100-192.168.2.200 --dport 139 -j DROP
iptables -A INPUT -p tcp -m iprange --src-range 192.168.2.100-192.168.2.200 --dport 445 -j DROP
mogl gdzies sie wkrasc blad bo pisane z glowy.
Router: Unifi Cloud Gateway Fiber
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 4x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| WoRo |
Dodano 14-10-2009 16:55
|
User
Posty: 10
Dołączył: 22/10/2008 06:27
|
Dzięki ale niestety nadal można połączyć się z sambą. Tzn. Tomato przyjęło te regułki ale niestety nic one nie spowodowały. |
| |
|
|
| shibby |
Dodano 14-10-2009 17:20
|
SysOp
Posty: 17166
Dołączył: 15/01/2009 20:30
|
ok a sprobuj
Cytat iptables -I OUTPUT -p tcp -m iprange --dst-range 192.168.2.100-192.168.2.200 --sport 139 -j DROP
u mnie (ale na dane ip, nie na range) zadzialalo.
Router: Unifi Cloud Gateway Fiber
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 4x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| WoRo |
Dodano 14-10-2009 18:30
|
User
Posty: 10
Dołączył: 22/10/2008 06:27
|
Cytat
iptables -I OUTPUT -p tcp -m iprange -d 192.168.2.100 --sport 139 -j DROP
Coś takiego? Bo u mnie ani Twoje ani moje nie działa.
Edytowany przez WoRo dnia 14-10-2009 18:33
|
| |
|
|
| shibby |
Dodano 14-10-2009 19:46
|
SysOp
Posty: 17166
Dołączył: 15/01/2009 20:30
|
jak -d to bez -m iprange ale wtedy tyczy sie to jednego adresu ip.
a wiec
iptables -I OUTPUT -p tcp -d 192.168.2.100/32 --sport 139 -j DROP
Router: Unifi Cloud Gateway Fiber
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 4x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| WoRo |
Dodano 14-10-2009 20:09
|
User
Posty: 10
Dołączył: 22/10/2008 06:27
|
U mnie napewno nie działa.
Popraw mnie jesli się mylę:
zablokuj ruch wychodzący z IP 192.168.2./100 jeśli portem źródlowym jest 139? Tak należy to czytać?
Bo jeśli tak to chyba powinno być --dport 139 (kiedy docelowym jest 139)
Ale to te nie za bardzo chce działać...
|
| |
|
|
| shibby |
Dodano 15-10-2009 11:47
|
SysOp
Posty: 17166
Dołączył: 15/01/2009 20:30
|
czekaj to 192.168.1.1 to nie jest ip routera tak? to mnie zmylilo, myslalem ze router jest twoim serwerem plikow.
w takim razie sprobuj tak:
Cytat iptables -A FORWARD -m iprange --src-range 192.168.2.100-192.168.2.200 -d 192.168.1.1/32 -p tcp --dport 139 -j DROP
iptables -A FORWARD -s 192.168.1.1/32 -p tcp --sport 139 -m iprange --dst-range 192.168.2.100-192.168.2.200 -j DROP
czyli,
jezeli pakiet ma byc przekazany z hostow 192.168.2.100-192.168.2.200 do hosta 192.168.1.1 na port docelowy 139 to go odrzuc
oraz
jezeli pakiet na byc przekazywany z hosta 192.168.1.1 z portem zrodlowym 139 do hostow 192.168.2.100-192.168.2.200 to tez go odrzuc. czemu tu jest sport? bo to samba dziala na takim porcie, nie klient. zrodlem tu jest 192.168.1.1 a wiec port zrodlowy 139. To sie tyczy tego co wyzej napisalem a zle zinterpretowales. INPUT i OUTPUT stosuje sie do pakietow skierowanych do/z routera a nie przez niego przechodzacych (przekazywanych). Dla pakietow przekazywanych stosuje sie lancuch FORWARD (przekazywanych w obie strony)
Edytowany przez shibby dnia 15-10-2009 11:50
Router: Unifi Cloud Gateway Fiber
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 4x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| WoRo |
Dodano 15-10-2009 14:43
|
User
Posty: 10
Dołączył: 22/10/2008 06:27
|
No to teraz sam juz nie wiem. Bo to też nie działa.
Aby wyjaśnić:
WRT54GS ma adres 192.168.1.10 w sieci firmowej
W tej sieci jest sobie samba na 192.168.1.1.
Sam WRT (z pomidorem) tworzy sieć 192.168.2.X i ma w tej sieci 192.168.2.1 gdzie jest routerem.
Klienci maja adres 192.168.2.YYY.
|
| |
|
|
| shibby |
Dodano 15-10-2009 17:11
|
SysOp
Posty: 17166
Dołączył: 15/01/2009 20:30
|
to moze
Cytat iptables -t mangle -A POSTROUTING ! -s 192.168.1.1/32 -m iprange --dst-range 192.168.2.100-192.168.2.200 -j DROP
iptables -t mangle -A PREROUTING ! -d 192.168.1.1/32 -m iprange --src-range 192.168.2.100-192.168.2.200 -j DROP
Router: Unifi Cloud Gateway Fiber
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 4x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| WoRo |
Dodano 18-10-2009 08:36
|
User
Posty: 10
Dołączył: 22/10/2008 06:27
|
To ja już nie wiem - bo to też nie działa. Może winne jest to, że mam autoryzacje z WPA2 Enterprise... sam już nie wiem.
Zmieniłem już wszystko łącznie z tym, że router stał się switchem... wyłączony port wan, zmieniłem adresację,.. nie wiem co jest grane...
Może kolejność jest ważna albo robię coś innego źle. Wpisuję to w konsoli zalogowany na router via ssh (probowałem też w skrypcie firewall).
Edytowany przez WoRo dnia 18-10-2009 10:00
|
| |
|
' target='_blank'>Link
