Allan Olesen wrote:
> "PowerCom" <PowerCom@anarchy.dk> wrote:
>
>>ok jeg havde glemt at krive de men kæden ser såden ud det er outputtet jeg
>>ikke vil have andet in fra 5 forskælige ip dette er den en af dem men jeg
>>kan ikke få firewallen til at sende parkerne fra de ip
>>
>>ipchains -A output -p TCP -s 0/0 -d 0/0 nntp -j DENY
>>ipchains -A output -p TCP -s 192.168.2.4/32 -d 0/0 nntp -j ACCEPT
Du _skal_ bytte de to regler rundt. Du har sikkert to problemer, hvoraf
det ene er, at reglerne står i den forkerte rækkefølge. Men hvis du bare
bytter reglerne rundt; konstanterer at det ikke virker og så bytter dem
tilbage igen, er du ikke kommet nogen vegne.
_Når_ du har byttet dem rundt, tilføjer du logging til dem (-l). Så kan
du se i /var/log/messages, om det overhovedet er firewallen, der er
problemet.
Desuden vil jeg foreslå dig at prøve at skifte væk fra symbolske navne
på protokollen (hvis der er ged i /etc/services, dur dine regler ikke)
og at skrive tcp med småt, som Allan også foreslår. Altså:
ipchains -A output -p tcp -s 192.168.2.4/32 -d 0/0 -l -j ACCEPT 119
ipchains -A output -p tcp -s 0/0 -d 0/0 -l -j DENY 119
Noget helt andet er: Det er EMM ikke så smart at filtrere på IP,
når ip-adressen er et 192.168.*.* netværk. En maskine på dit ydre
netværk kan SVJV uden videre skifte til en sådan adresse og derefter
ryge lige igennem din firewall.
Jeg bruger filtrering på netkort i stedet. F.eks:
#
# Block external named connection (53) (log)
#
ipchains -A input -p tcp -i eth1 -d 0/0 -l -j DENY 53
ipchains -A input -p udp -i eth1 -d 0/0 -l -j DENY 53
....hvis dit ydre netkort er eth1.
-Claus