#1 07.07.07 13:58
Глюки с iptables
Есть сервер с 4-мя сетевыми карточками eth0, eth1, eth2, eth3. eth0 - подключена к ADSL-модему. Настроил nat-таблицу для сети 192.168.0.0/24 и 192.168.2.0/24. Что бы ограничить выход в интернет и считать трафик на каждый айпи, я сделал так.
iptables -P FORWARD DROP
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j SNAT --to-source 87.103.252.113
iptables -N IN_COUNT_1
iptables -A FORWARD -d 192.168.0.1 -i ppp0 -j IN_COUNT_1
iptables -A IN_COUNT_1 -d 192.168.0.1 -j ACCEPT
iptables -A FORWARD -o ppp0 -s 192.168.0.1 -j ACCEPT
все замечательно работает, но есть одно НО.
1. С локальных компьютеров нельзя зайти на внешний ФТП сервер, при этом выскакивает ошибка "команда PORT не выполнена". Как бы на сам фтп заходишь, но на нем ни чего не отображается.
2. Не открываются некоторые сайты, хотя с самого сервера я замечательно захожу на фтп и на все сайты.
И еще, кода выполняю команду iptables -L, то по 2 минуте приходится ждать пока все отобразится.
Система ubuntu 7.04
iptables v1.3.6
У кого ранее были подобные проблемы?
Исправлено kai (07.07.07 14:07)
Offline
#6 07.07.07 21:34
Re: Глюки с iptables
1. нафига IN_COUNT_1 если в него ничего не заруливается? можно проще:
iptables -I FORWARD -i ppp0 -d 192.168.0.2 -j ACCEPT
iptables -I FORWARD -i ppp0 -d 192.168.0.3 -j ACCEPT
iptables -I FORWARD -i ppp0 -d 192.168.0.4 -j ACCEPT
и т.д.
кстати, на 192.168.0.1 никогда ничего не прийдет :))
2. про фтп - modprobe ip_nat_ftp
3. про "некоторые сайты". можно попробовать
iptables -I FORWARD -o ppp0 -j TCPMSS --set-mss 1350 (можно поэксперементировать с значением mss, от 1300 до 1492, чем больше значение тем лучше, но некоторые пакеты могут "не пролазить" в ррр-тоннель)
Offline
#8 11.07.07 23:16
Re: Глюки с iptables
kai, тыс считаешь сколько пришло в цепочку? зачем? считай сколько прошло через правило
вместо
iptables -A FORWARD -d 192.168.0.1 -i ppp0 -j IN_COUNT_1
iptables -A IN_COUNT_1 -d 192.168.0.1 -j ACCEPT
достаточно
iptables -A FORWARD -d 192.168.0.1 -i ppp0 -j ACCEPT
потом iptables -vnxL тебе все покажет
Offline
