iptables 的一些问题，请解答

wangbinde

原贴是我的一跟贴，因为没有高人解答，所以又发了新贴
发表于: 2006-5-11 13:51    主题：   [编辑]  [引用]  [投诉] [快速回复]  


--------------------------------------------------------------------------------

eth0=fix internet IP
eth1=LAN IP
eth2=ppp0(拔号)
ppp0=adsl

高级路由我不会用，用了几次都出现问题，所以还是手工切换吧

在根目下建了几个脚本，如果用ADSL就用ADSL的脚本，用固定IP就用另一个脚本（全手工的，呵呵）

内网用squid代理上网，我的目的很简单，上网全部用代理，其它用我允许的端口才可以对外联系，以下脚本到底错在哪呢？

正确的脚本：

#! /bin/sh

echo "1" > /proc/sys/net/ipv4/ip_forward

/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_limit
/sbin/modprobe ipt_state
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp -i eth1 -m multiport --dports 22,3128 -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -p tcp -m multiport --dports 21,22,25,53,110,4899 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -p udp -m multiport --dports 53,69 -j ACCEPT
iptables -t nat -A PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to 192.168.1.253
iptables -t nat -A PREROUTING -i eth1 -d ! 192.168.1.0/24 -p tcp --dport 80 -j REDIRECT --to 3128

[ 本帖最后由 chris_wan 于 2006-5-10 13:57 编辑 ]
lz
上面的规则是修改后的吧？！
另外：iptables -A INPUT -i lo -j ACCEPT  什么功能 ？lo是loopback 口吗？ lo口有什么用？
      /sbin/modprobe ip_tables
         /sbin/modprobe ip_conntrack
         /sbin/modprobe iptable_filter
         /sbin/modprobe iptable_mangle
         /sbin/modprobe iptable_nat
         /sbin/modprobe ipt_LOG
         /sbin/modprobe ipt_limit
         /sbin/modprobe ipt_state
         /sbin/modprobe ip_conntrack_ftp
         /sbin/modprobe ip_nat_ftp
         可以实现什么功能？
      再帮我看看着条规则：/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -j MIRROR
           （这是我在网上搜  的）-j mirror 什么动作？related established 两个状态是怎么回事？
        静侯佳音，谢谢！

platinum

原帖由 wangbinde 于 2006-5-12 22:00 发表
我的目的很简单，上网全部用代理

理论上讲，你的需求根本无法实现

wangbinde

听了斑竹的话，一头雾水

platinum

因为不是所有上网的东西都能使用代理的
比如 ping，比如一些其他非正常 application

cexoyq

如果用squid,可不可以实现对BT及其它P2P软件的限制？
因为用ipt_p2p好像对一些BT软件没有限制效果。

platinum

原帖由 cexoyq 于 2006-5-13 21:08 发表
如果用squid,可不可以实现对BT及其它P2P软件的限制？
因为用ipt_p2p好像对一些BT软件没有限制效果。

BitComet 使用了 RC4 对称加密技术，目前还没有任何东西可以封的住它

s7ck4

建议使用l7-filter