Iptables - Історія редагувань

WikiSysop в 07:39, 31 березня 2009

2009-03-31T07:39:16Z

WikiSysop в 07:38, 31 березня 2009

2009-03-31T07:38:38Z

WikiSysop в 07:38, 31 березня 2009

2009-03-31T07:38:11Z

WikiSysop в 07:34, 31 березня 2009

2009-03-31T07:34:05Z

WikiSysop в 07:32, 31 березня 2009

2009-03-31T07:32:17Z

WikiSysop в 07:15, 31 березня 2009

2009-03-31T07:15:33Z

WikiSysop в 07:11, 31 березня 2009

2009-03-31T07:11:42Z

WikiSysop в 07:10, 31 березня 2009

2009-03-31T07:10:11Z

WikiSysop в 07:09, 31 березня 2009

2009-03-31T07:09:26Z

WikiSysop в 07:06, 31 березня 2009

2009-03-31T07:06:11Z

@@ Рядок 15: / Рядок 15: @@
 |-
 !4
-| ||	nat ||	PREROUTING 	||Эта цепочка используется для трансляции сетевых адресов (Destination Network Address Translation). Source Network Address Translation выполняется позднее, в другой цепочке. Любого рода фильтрация в этой цепочке может производиться только в исключительных случаях
+| nat ||	PREROUTING 	||Эта цепочка используется для трансляции сетевых адресов (Destination Network Address Translation). Source Network Address Translation выполняется позднее, в другой цепочке. Любого рода фильтрация в этой цепочке может производиться только в исключительных случаях
 |-
 !5
@@ Рядок 87: / Рядок 87: @@
 | || mangle  ||	OUTPUT 	|| Здесь производится внесение изменений в заголовок пакета. Выполнение фильтрации в этой цепочке может иметь негативные последствия.
 |-
-!4 || nat  || OUTPUT 	|| Эта цепочка используется для трансляции сетевых адресов (NAT) в пакетах, исходящих от локальных процессов брандмауэра.
+!4
 |-
 !5

@@ Рядок 15: / Рядок 15: @@
 |-
 !4
-| 	nat ||	PREROUTING 	||Эта цепочка используется для трансляции сетевых адресов (Destination Network Address Translation). Source Network Address Translation выполняется позднее, в другой цепочке. Любого рода фильтрация в этой цепочке может производиться только в исключительных случаях
+| ||	nat ||	PREROUTING 	||Эта цепочка используется для трансляции сетевых адресов (Destination Network Address Translation). Source Network Address Translation выполняется позднее, в другой цепочке. Любого рода фильтрация в этой цепочке может производиться только в исключительных случаях
 |-
 !5

@@ Рядок 75: / Рядок 75: @@
 Таблица 3-3. От локальных процессов
- Шаг 	Таблица 	Цепочка 	Примечание
+{|border="1" cellpadding="2"
-	  	  	Локальный процесс (т.е., программа-сервер или программа-клиент).
+!Шаг!! 	Таблица !!	Цепочка !!	Примечание
-	  	  	Принятие решения о маршрутизации. Здесь решается куда пойдет  пакет дальше -- на какой адрес, через какой сетевой интерфейс и пр.
+|-
-	mangle 	OUTPUT 	Здесь производится внесение изменений в заголовок пакета. Выполнение фильтрации в этой цепочке может иметь негативные последствия.
+!1
-	nat 	OUTPUT 	Эта цепочка используется для трансляции сетевых адресов (NAT) в пакетах, исходящих от локальных процессов брандмауэра.
+| || || ||Локальный процесс (т.е., программа-сервер или программа-клиент).
-	Filter 	OUTPUT 	Здесь фильтруется исходящий траффик.
+|-
-	mangle 	POSTROUTING 	Цепочка POSTROUTING таблицы mangle в основном используется для правил, которые должны вносить изменения в заголовок пакета перед тем, как он покинет брандмауэр, но уже после принятия решения о маршрутизации. В эту цепочку попадают все пакеты, как транзитные, так и созданные локальными процессами брандмауэра.
+!2
-	nat 	POSTROUTING 	Здесь выполняется Source Network Address Translation. Не следует в этой цепочке производить фильтрацию пакетов во избежание нежелательных побочных эффектов. Однако и здесь можно останавливать пакеты, применяя политику по-умолчанию DROP.
+| || || || Принятие решения о маршрутизации. Здесь решается куда пойдет  пакет дальше -- на какой адрес, через какой сетевой интерфейс и пр.
-	  	  	Сетевой интерфейс (например, eth0)
+|-
-	  	  	Кабель (т.е., Internet)
+!3

@@ Рядок 46: / Рядок 46: @@
 !Шаг!! 	Таблица !!	Цепочка !!	Примечание
 |-
-!1 || || ||Кабель (т.е. Интернет)
+!1
 |-
-!2 || || ||Входной сетевой интерфейс (например, eth0)
+!2
 |-
-!3 ||mangle ||PREROUTING ||Обычно используется для внесения изменений в заголовок  пакета, например для установки битов TOS и пр.
+!3
 |-
-!4 ||nat ||PREROUTING || Преобразование адресов (Destination Network Address Translation). Фильтрация пакетов здесь допускается только в исключительных случаях.
+!4
 |-
-!5 || || || Принятие решения о маршрутизации.
+!5
 |-
-!6 ||mangle ||INPUT ||Пакет попадает в цепочку INPUT таблицы mangle. Здесь внесятся изменения в заголовок пакета перед тем как он будет передан локальному приложению.
+!6
 |-
-!7 ||filter ||INPUT ||Здесь производится фильтрация входящего трафика. Помните, что все входящие пакеты, адресованные нам, проходят через эту цепочку, независимо от того с какого интерфейса они поступили.
+!7
 |-
-!8 || || || Локальный процесс/приложение (т.е., программа-сервер или программа-клиент)
+!8
 |}
 Важно помнить, что на этот раз пакеты идут через цепочку INPUT, а не через FORWARD.

@@ Рядок 61: / Рядок 61: @@
 |-
 !8 || || || Локальный процесс/приложение (т.е., программа-сервер или программа-клиент)
-!}
+|}
 Важно помнить, что на этот раз пакеты идут через цепочку INPUT, а не через FORWARD.

@@ Рядок 6: / Рядок 6: @@
 |-
 !1
-|1|| ||	 || 	  	Кабель (т.е. Интернет)
+| ||	 || 	  	Кабель (т.е. Интернет)
 |-
 !2
-|2|| ||  ||	  	Сетевой интерфейс (например, eth0)
+| ||  ||	  	Сетевой интерфейс (например, eth0)
 |-
 !3
-|3|| 	mangle|| 	PREROUTING ||	Обычно эта цепочка используется для внесения изменений в заголовок пакета, например для изменения битов TOS и пр..
+| 	mangle|| 	PREROUTING ||	Обычно эта цепочка используется для внесения изменений в заголовок пакета, например для изменения битов TOS и пр..
 |-
 !4
-|4|| 	nat ||	PREROUTING 	||Эта цепочка используется для трансляции сетевых адресов (Destination Network Address Translation). Source Network Address Translation выполняется позднее, в другой цепочке. Любого рода фильтрация в этой цепочке может производиться только в исключительных случаях
+| 	nat ||	PREROUTING 	||Эта цепочка используется для трансляции сетевых адресов (Destination Network Address Translation). Source Network Address Translation выполняется позднее, в другой цепочке. Любого рода фильтрация в этой цепочке может производиться только в исключительных случаях
 |-
 !5
-|5||  || ||	  	  	Принятие решения о дальнейшей маршрутизации, т.е. в этой точке решается куда пойдет пакет -- локальному приложению или на другой узел сети.
+|  || ||	  	  	Принятие решения о дальнейшей маршрутизации, т.е. в этой точке решается куда пойдет пакет -- локальному приложению или на другой узел сети.
 |-
 !6
-|6|| 	mangle 	|| FORWARD 	||Далее пакет попадает в цепочку FORWARD таблицы mangle, которая должна использоваться только в исключительных случаях, когда необходимо внести некоторые изменения в заголовок пакета между двумя точками принятия решения о маршрутизации.
+| 	mangle 	|| FORWARD 	||Далее пакет попадает в цепочку FORWARD таблицы mangle, которая должна использоваться только в исключительных случаях, когда необходимо внести некоторые изменения в заголовок пакета между двумя точками принятия решения о маршрутизации.
 |-
 !7
-|7|| 	Filter 	|| FORWARD 	||В цепочку FORWARD попадают только те пакеты, которые идут на другой хост Вся фильтрация транзитного трафика должна выполняться здесь. Не забывайте, что через эту цепочку проходит траффик в обоих направлениях, обязательно учитывайте это обстоятельство при написании правил фильтрации.
+| 	Filter 	|| FORWARD 	||В цепочку FORWARD попадают только те пакеты, которые идут на другой хост Вся фильтрация транзитного трафика должна выполняться здесь. Не забывайте, что через эту цепочку проходит траффик в обоих направлениях, обязательно учитывайте это обстоятельство при написании правил фильтрации.
 |-
 !8
-|8|| 	mangle 	||POSTROUTING 	||Эта цепочка предназначена для внесения изменений в заголовок пакета уже после того как принято последнее решение о маршрутизации.
+| 	mangle 	||POSTROUTING 	||Эта цепочка предназначена для внесения изменений в заголовок пакета уже после того как принято последнее решение о маршрутизации.
 |-
 !9
-|9|| 	nat 	||POSTROUTING 	||Эта цепочка предназначена в первую очередь для Source Network Address Translation. Не используйте ее для фильтрации без особой на то необходимости. Здесь же выполняется и маскарадинг (Masquerading).
+| 	nat 	||POSTROUTING 	||Эта цепочка предназначена в первую очередь для Source Network Address Translation. Не используйте ее для фильтрации без особой на то необходимости. Здесь же выполняется и маскарадинг (Masquerading).
 |-
 !10
-|10|| ||	||Выходной сетевой интерфейс (например, eth1).
+| ||	||Выходной сетевой интерфейс (например, eth1).
 |-
 !11
-|11|| ||	||Кабель (пусть будет LAN).
+| ||	||Кабель (пусть будет LAN).
 |}
 Как вы можете видеть, пакет проходит несколько этапов, прежде чем он будет передан далее. На каждом из них пакет может быть остановлен, будь то цепочка iptables или что либо еще, но нас главным образом интересует iptables. Заметьте, что нет каких либо цепочек, специфичных для отдельных интерфейсов или чего либо подобного. Цепочку FORWARD проходят ВСЕ пакеты, которые движутся через наш брандмауэр/ роутер. Не используйте цепочку INPUT для фильтрации транзитных пакетов, они туда просто не попадают! Через эту цепочку движутся только те пакеты, которые предназначены данному хосту!