tolstyk

Вакансия тогда прям для вас, в 1,5 можно благосостояние улучшить.

Я думаю, его Путин в попу ужалил, вот и злится.

Видимо воровали сразу у поставщика или по пути )) Или приписки. И как же моральный ущерб и проценты. ))

https://www.google.ru/maps/@46.3477672,48.0402452,3a,75y,199.83h,87.87t/data=!3m6!1e1!3m4!1s-72KR1cs570ELDuHqbiE8w!2e0!7i13312!8i6656 https://www.google.ru/maps/@46.3479463,48.0427674,3a,75y,225.4h,67.39t/data=!3m9!1e1!3m7!1sUFoDCjX2XUF0G9Gv3dBYIw!2e0!7i13312!8i6656!9m2!1b1!2i42

И совсем не из-за того, что вода течет только во втором кране.

При таком количестве звонков только "Ноль сомнений".

Как видим iptables --list не выводит названий интерфейсов к которому правило применяется, отсюда и путаница. iptables -P INPUT DROP это только для цепочки INPUT, т.е. для всех входящих только на этот сервер на все интерфейсы, и выполняется после всех остальных в INPUT. Еще форвард запрещен, если в файле /proc/sys/net/ipv4/ip_forward ноль стоит, а стоит он там по умолчанию. Ну и цепочка OUTPUT разрешена по умолчанию на всё. Т.е. работаем только INPUT и POSTROUTING. Кстати, чтобы извне никто не заходил на веб-сервер в iptables -A INPUT -p tcp -m multiport --destination-ports 80,443 -j ACCEPT нужно внутренний интерфейс добавить. Я же правильно понял eth0 смотрит в интернет, eth1 в локалку. Могу в чем-то ошибаться, я просто любитель.

Видимо это #А на внутреннюю что дойдёт iptables -A INPUT -i lo -j ACCEPT

Нужно по каждой цепочке для каждого интерфеса пройтись, посмотреть, что нужно где "резать". И как лучше для скорости обработки пакетов. По умолчанию все разрешено. Позже еще гляну, может какие-нибудь идеи будут.

Форвард из сети в инет у ТС-а же полностью разрешен. Да и обратно в сеть тоже. И исходящие с сервака разрешены (вот насчет всех исходящих с сервака и сети я согласен, что должны быть открыто всё, а потом резать по необходимости). А про входящие на сервер это уже зависит от загруженности сервера, доверия к внешней сети и паранои админа.

Вот еще несколько интересных правил для файрвола: И эту сточку я бы для ускорения поставил как у меня в примере: iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT А открытие портов вот так, соответственно должно быть ниже предыдущего: iptables -t filter -A INPUT -i eth1 -d 192.168.0.1 -p tcp -m tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT iptables -A INPUT -p tcp -m multiport --destination-ports 80,443 -m state --state NEW,ESTABLISHED -j ACCEPT Я так понимаю это веб-сервер на который заходят и извне и из сети?

Ну смотря для чего сервер нужен ТС-у.