Nein, an den ACCEPTS liegt es nicht... wohl schon eher daran, dass ich mich nicht mehr richtig daran erinnert habe wofür ich die Konfig damals benutzt habe
(Damals hatte ich keinen Router)
Okay... Ich habe eine komplett neue (und von allen Seiten getestete) Konfig gemacht, und siehe da... es funktioniert. Erklärung folgt unten:
Code: Alles auswählen
#!/bin/sh
# Konfiguration
IPTABLES=/sbin/iptables
INET_IFACE=ppp0
INTERNAL_NET=192.168.0.0/24
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT
### MASQUERADING
$IPTABLES -t nat -A POSTROUTING -o $INET_IFACE -j MASQUERADE
#
# Enable Firewalling
#
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#
# Hier wird die Firewall selbst geschützt (aus dem Internet kommender Traffic)
# Regeln für die Firewall/den Router selbst
#
# WWW ist OK
$IPTABLES -A INPUT -i $INET_IFACE -m state --state NEW -p tcp --dport 80 -j ACCEPT
# SSH ist OK
$IPTABLES -A INPUT -i $INET_IFACE -m state --state NEW -p tcp --dport 22 -j ACCEPT
# Alles andere aus dem Internet ist für den Router NICHT OK
$IPTABLES -A INPUT -i $INET_IFACE -j DROP
# die FW darf kein abgehendes WWW machen
$IPTABLES -A OUTPUT -o $INET_IFACE -m state --state NEW -p tcp --dport 80 -j DROP
# ansonsten darf die FW beliebig ins Netz senden
$IPTABLES -A OUTPUT -o $INET_IFACE -m state --state NEW -j ACCEPT
##########################################################################
# An diesem Punkt können alle Maschinen des internen Netzes ins Internet #
# und man kann aus dem Internet WWW und SSH auf dem Router erreichen #
# Ausserdem sind alle internen Maschinen durch das MASQ geschützt, da #
# sie nicht erreichbar sind (privates Netz, siehe unten) #
# Das habe ich mit nmap getestet!!! #
##########################################################################
#
# Hier sind die Regeln für das interne Netz. Alles in die FORWARD Chain,
# wobei man masquerading einfach ignorieren kann.
# Die internen Hosts muss man nicht explizit vor dem Internet schützen,
# wenn sie Adressen aus einem privaten Subnetz haben (192.168.*.* 10.*.*.* 172.16.*.* bis 172.31.*.*)
# weil diese Adressen nicht im Internet gerouted werden
# Explizite Schutzregeln der internen Hosts machen mehr Probleme, als dass sie nützen!
#
# Abgehendes SSH ist für alle internen Rechner verboten
$IPTABLES -A FORWARD -o $INET_IFACE -p tcp --dport 22 -m state --state NEW --source $INTERNAL_NET -j DROP
# 192.168.0.3 darf auch kein WWW
$IPTABLES -A FORWARD -o $INET_IFACE -p tcp --dport 80 -m state --state NEW --source 192.168.0.3 -j DROP
Das Problem war, dass durch die "ungünstigen" Policies (insbesondere FORWARD = DROP) bestimmter Netzwerk Traffic (u.a. DNS) nicht geforwardet wurde. Allgemein habe ich meine Firewalls immer so konstriert, dass die Policies alle auf ACCEPT stehen, und jede Chain eine explizite Regel am Ende hat, die unerwünschten Traffic blockt.
Bei FORWARD existiert keine solche Regel, da die Rechner schon durch MASQ geschützt sind. Jeder Versuch eine solche Regel einzubauen führte bei mir dazu, dass es sofort nicht mehr funktionierte...
Aus Rusty's unreliable Iptables Guide habe ich folgendes Diagramm:
Code: Alles auswählen
_____
Incoming / \ Outgoing
-->[Routing ]--->|FORWARD|------->
[Decision] \_____/ ^
| |
v ____
___ / \
/ \ |OUTPUT|
|INPUT| \____/
\___/ ^
| |
----> Local Process ----
(Firewall)
Damit war's dann (fast) ganz einfach...
Patrick
Ich weiss nicht was ich falsch mache, poste schnell ein Teil vom Skript Script:
