askad
Junior Member | Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Товарищи, очень нужна Ваша помощь.
Нужно с помощью iptables (v1.4.2) обеспечить защиту сети от несанкционированного доступа.
Имеем:
Сервер Debian 5 Lenny. На нем крутится сервис SIP-телефонии на mysql.
eth0 - мир IP:80.11.15.157 (сеть 80.11.15.152/29)
eth1 - не задействован (в будущем будет локалка 192.168.2.100)
Маршрутизация:
Код: # route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
80.11.15.152 0.0.0.0 255.255.255.248 U 0 0 0 eth0
0.0.0.0 80.11.15.153 0.0.0.0 UG 0 0 0 eth0
|
Нужно ограничить доступность сервера из внешней сети, кроме доверенных адресов:
SIP_IP: 80.11.14.0/23 - С этой сети будет идти трафик по SIP (порты 5060,5061).
С этих адресов и сетей будет осуществляться администрирование сервера и сервиса SIP (TRUST_IP):
212.11.161.182, 95.11.78.218
212.11.148.0/24, 192.11.88.128/26
80.11.15.0/26
Вот примерно, как я вижу цепочки маршрутизации:
Ограничиваем входящие соединения по портам tcp/udp(моя цепочка ports): 22,23,443,80,3306,5060,5061,8080,icmp
т.е. разрешаем их только для доверенных адресов командами:
Код: iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -i lo -j ACCEPT
iptables -A ports -s TRUST_IP -p tcp --destination-port 22 -j ACCEPT
iptables -A ports -s TRUST_IP -p tcp --destination-port 22 -j ACCEPT
iptables -A ports -s TRUST_IP -p tcp --destination-port 23 -j ACCEPT
iptables -A ports -s TRUST_IP -p tcp --destination-port 23 -j ACCEPT
iptables -A ports -s SIP_IP -p upd --destination-port 5060 -j ACCEPT
iptables -A ports -s SIP_IP -p upd --destination-port 5061 -j ACCEPT
iptables -A ports -s TRUST_IP -p tcp --destination-port 8080 -j ACCEPT
iptables -A ports -s TRUST_IP -p tcp --destination-port 8080 -j ACCEPT
iptables -A ports -s TRUST_IP -p tcp --destination-port 8080 -j ACCEPT
iptables -A ports -s TRUST_IP -p tcp --destination-port 8080 -j ACCEPT
iptables -A INPUT -j ports
iptables -A input -s ! 80.11.15.0/26 -p icmp --icmp-type echo-request -j REJECT --reject-with icmp-host-prohibited
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -P INPUT DROP |
Будет ли работать моя цепочка правил, или есть какие-нибудь нюансы? |
