Avatar billede mabi Nybegynder
12. februar 2004 - 17:07 Der er 11 kommentarer og
1 løsning

iptables og samba

Hej......

Har en lille problem med iptables.
vær gang jeg kører dette scripts, kan jeg ikke komme i kontakt med samba shares, der mangler sikkert et elle andet men hvad.
Er ikke lige frem en haj til iptables.



#!/bin/sh

# iptables script generator: V0.1-2002
# Comes with no warranty!
# e-mail: michael@1go.dk

# Diable forwarding
echo 0 > /proc/sys/net/ipv4/ip_forward

LAN_IP_NET='192.168.0.1/24'
LAN_NIC='eth1'
WAN_IP='80.199.14.9'
WAN_NIC='eth0'

# load some modules (if needed)
modprobe ip_nat_ftp
modprobe ip_conntrack_ftp

# Flush
iptables -t nat -F POSTROUTING
iptables -t nat -F PREROUTING
iptables -t nat -F OUTPUT
iptables -F

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# enable Masquerade and forwarding
iptables -t nat -A POSTROUTING -s $LAN_IP_NET -j MASQUERADE
iptables -A FORWARD -j ACCEPT -i $LAN_NIC -s $LAN_IP_NET
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Open ports on router for server/services
iptables -A INPUT -j ACCEPT -p tcp --dport 80
iptables -A INPUT -j ACCEPT -p tcp --dport 21
iptables -A INPUT -j ACCEPT -p tcp --dport 110
iptables -A INPUT -j ACCEPT -p tcp --dport 25
iptables -A INPUT -j ACCEPT -p tcp --dport 22

# STATE RELATED for router
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


# Enable forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
Avatar billede oz2kas Nybegynder
12. februar 2004 - 19:13 #1
du mangler at acceptere smb-trafik.
du tillader web, ftp, mail og ssh.
jeg er ikke helt sikker på hvilken range det er, 137-140 skulle kunne gøre det.
Avatar billede oz2kas Nybegynder
13. februar 2004 - 16:33 #2
kommet videre?
Avatar billede mabi Nybegynder
13. februar 2004 - 17:27 #3
Nææ, prøver at finde ud af hvordan man gør læser og læser.
kan ikke finde ud af det med "range" kunne jo bare lave 3 linier med port 137 osv...
men der er jo sikkert en smarter måde.
jeg ville også gerne have at det kun var fra 192.168.x.x til 192.168.x.x der kan bruge smb shares.

Så lidt hjælp ville værer dejligt.
Avatar billede hilli Nybegynder
16. februar 2004 - 22:30 #4
Portranges kan du kun bruge, hvis din kernel har et passende patch.

Det med at holde det indenfor 192.168.x.x kan klares med en subnetmaske:
iptables -A INPUT -j ACCEPT -p tcp -s 192.168.0.0/16 --dport 137
iptables -A INPUT -j ACCEPT -p tcp -s 192.168.0.0/16 --dport 138
iptables -A INPUT -j ACCEPT -p tcp -s 192.168.0.0/16 --dport 139

Du bør også sætte tilsvarende linier ind for udp, da det også bliver brugt til SMB (samme porte)
Avatar billede hilli Nybegynder
16. februar 2004 - 22:37 #5
Iøvrigt:

Skulle du have det patch i kernen er syntaxen:
iptables -A INPUT -j ACCEPT -p tcp -s 192.168.0.0/16 --dport 137:139
Avatar billede oz2kas Nybegynder
16. februar 2004 - 23:43 #6
interfaces = eth0 eth1
        bind interfaces only = Yes

ovenstående tilpasset og indsat i din smb.conf burde gøre tricket.
Avatar billede hilli Nybegynder
17. februar 2004 - 00:49 #7
Skulle den kommentar have været til et spørgsmål? :)

Jeg vil nok mene, at det er en fjollet ide at binde samba til WAN interfacet...
Avatar billede oz2kas Nybegynder
17. februar 2004 - 11:04 #8
hilli?
Avatar billede hilli Nybegynder
17. februar 2004 - 17:42 #9
Vi korrigere lige:

"
Skulle den kommentar have været til et andet spørgsmål? :)
Jeg vil nok mene, at det er en fjollet ide at binde samba til WAN interfacet...
"

Men det kommer vel også an på hvad man lægger i ordet "tilpasset".
Avatar billede mabi Nybegynder
17. februar 2004 - 17:54 #10
Tak til hilli det virker.
Lige en lille ting, ip adressen er jeg med på men /16 hvad gør de /16 godt for.
Er det 16 nummer frem eller hvad ??
Avatar billede hilli Nybegynder
17. februar 2004 - 18:18 #11
/16 er en forkortelse for subnet masken 255.255.0.0

Så det er for at holde det netværk den skal åbne for indenfor 192.168.x.x rangen.

Eks:
En ip adresse der befinder sig på netværk med 255 adresser skrives som fx 10.11.12.13/24.
Det kan også skrives som 10.11.12.13/255.255.255.0. Det skal i begge tilfælde forstås som en
bitmaske: En /24 er bitmasken 11111111111111111111111100000000 - Altså 24 1'er og 8 nuller.
Den bruges til at fortælle hvor network og broadcast adressen på et netværk befinder sig, og
altså også hvor mange adresser der er på det net man forsøger at beskrive.
Avatar billede mabi Nybegynder
17. februar 2004 - 18:29 #12
Mange tak, så lærte jeg så noget nyt idag :-))

Tak for hjælpen
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester