Hoe Firewall instellen: geen IP maar www.******.**

[Lambik61]

Ik heb een linux-server draaien waarbij ik de firewall middels Webmin configureer welke ip-nummers toegang mogen krijgen tot de server.

 

Nu wil ik iemand met een dynamisch ip-nummer toegang verlenen. Deze persoon heeft middels dyn.dns een naam aangemaakt die naar zijn op dat moment geldige ip-adres verwijst.

 

Met webmin kan ik alleen ip-nummers invoeren.

 

Hoe los ik dit op?

[Gast]

Als dit niet mogelijk is via webmin, zal je rechtstreeks in iptables moeten werken.

Iptables

iptables heeft natuurlijk ook een goede gebruikershandleiding onboard: [color:"blue"]man iptables [/color]

[Digger]

Op naam zal het moeilijk gaan, aangezien de forward (naam naar ip) wel goedstaat, maar de reverse (ip naar naam) zal nog steeds die van de provider zijn (indien deze al door de provider ingevuld is).

 

Dat wordt een probleem dus met dynamische ip's waarschijnlijk.

[Penthe]

Citaat:

Op naam zal het moeilijk gaan, aangezien de forward (naam naar ip) wel goedstaat, maar de reverse (ip naar naam) zal nog steeds die van de provider zijn (indien deze al door de provider ingevuld is).

Dat wordt een probleem dus met dynamische ip's waarschijnlijk.

Tis wel heel lang geleden voor mij hoor maar toen kon je toch met wildcards in de iptables een range aangeven doormiddel van 89.67.*.* waarbij de laatste 2 wildcards zijn en daar alles toelaten in die range?

Mocht dit nu anders zijn vergeet dit bericht dan maar en heb ik ook weer iets geleerd.

[Lambik61]

Ik heb de firewallconfig file met een teksteditor aangepast en het ipnummer vervangen door naam.dyndns.net

 

Nu maar proberen of het werkt.

[Kraan Banaan]

 

iptables -A INPUT -p tcp -s piemel.net -d 0/0 --dport 20000 -j ACCEPT

iptables -A INPUT -p udp -s piemel.net -d 0/0 --dport 20000 -j ACCEPT

 

iptables -A INPUT -p tcp -s 0/0 -d 0/0 --dport 2000 -j DROP

iptables -A INPUT -p udp -s 0/0 -d 0/0 --dport 2000 -j DROP

 

0/0 is alles !!

--dport 0/0 zal best werken

[Gast]

Citaat:

iptables -A INPUT -p tcp -s piemel.net -d 0/0 --dport 20000 -j ACCEPT
iptables -A INPUT -p udp -s piemel.net -d 0/0 --dport 20000 -j ACCEPT

iptables -A INPUT -p tcp -s 0/0 -d 0/0 --dport 2000 -j DROP
iptables -A INPUT -p udp -s 0/0 -d 0/0 --dport 2000 -j DROP

0/0 is alles !!
--dport 0/0 zal best werken

dport=Destination PORT. Als daar een / inzit zal het stuklopen denk ik?

Tevens moeten de regels andersom staan volgens mij? Bovenaan de lijst staat waarschijnlijk DROP ALL, vervolgens open je poort 2000 vanaf 1 adres, en daarna sluit je hem weer voor alle adressen? Altijd eerst alles dichtgooien en daarna pas weer specifiek openen! <img src="/forums/images/graemlins/wink.gif" alt="" />

@TS, Je moet er wel rekening mee houden dat iptables alleen maar DNS-resolvement doet bij het STARTEN! Als er na het starten iets veranderd werkt het niet meer... <img src="/forums/images/graemlins/wink.gif" alt="" />

[frozen-sky]

Citaat:

Tevens moeten de regels andersom staan volgens mij? Bovenaan de lijst staat waarschijnlijk DROP ALL, vervolgens open je poort 2000 vanaf 1 adres, en daarna sluit je hem weer voor alle adressen? Altijd eerst alles dichtgooien en daarna pas weer specifiek openen!

Nee, de regels staan in de goede volgorde. Eerst alles 'open' zetten en de laatste regel sluiten. Iptables gaat 1 voor 1 de regels af van boven naar beneden, als er een match gevonden wordt, dan gebruikt ie die. Het wordt een ander verhaal als je met default policities gaat werken (iptables -P INPUT
DROP), die zet je wel bovenaan.

[Lambik61]

[citaat...<knip>...

@TS, Je moet er wel rekening mee houden dat iptables alleen maar DNS-resolvement doet bij het STARTEN! Als er na het starten iets veranderd werkt het niet meer... <img src="/forums/images/graemlins/wink.gif" alt="" />

 

Dus gaat dit in de praktijk niet werken, tenzij je een paar keer per dag de firewall regels opnieuw inlaadt.

[Gast]

Citaat:

Dus gaat dit in de praktijk niet werken, tenzij je een paar keer per dag de firewall regels opnieuw inlaadt.

Precies! Maar, no fear, crond is here!! LoL

Je kan in de crontab (als root commando "crontab -e" uitvoeren) een regel toevoegen:

Fedora Core

Code:

1 * * * * service iptables restart >/dev/null

Debian

Code:

1 * * * * /etc/init.d/iptables restart >/dev/null

Bovenstaande betekend dat in de eerste minuut (1) na elk uur (eerste *) iptables herstart wordt.

Of je kan in /etc/cron.hourly (Fedora Core en Debian, maar waarschijnlijk elke Distro) een shell-script zetten die iptables herstart? Dat script hoeft dan niet meer te bevatten als

Code:

#!/bin/sh/etc/init.d/iptables restart >/dev/null

Dit script zal dan door crond elke uur uitgevoerd worden.

Mocht je het korter op elkaar willen herstarten dan kun je van "1 *" ook "*/30 *" maken, zodat het commando elke 30 minuten uitgevoerd wordt?

Suc6!

Psycho