NAT und wie sicher?

[Hovy]

Ich habe mal eine kleine frage und zwar wenn ich masquerading per

Code: Alles auswählen

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

aktiviere und dann noch ip forward erlaube

Code: Alles auswählen

echo 1 > /proc/sys/net/ipv4/ip_forward

dann werden doch alle packete an so verändert das sie die aktuelle ip von ppp0 bekommen.
könnte dann nicht auch jemand von außen der meine Internetip(ich weißt ist irgendwie flasch ausgedrückt aber ihr wisst was ich meine) hat meinen router als gateway benutzen? wenn ich nicht nach folgenden Regeln filtere?

Code: Alles auswählen

iptables -A INPUT -i ppp0 -m state --state NEW,INVALID -j DROP
iptables -A FORWARD -i ppp0 0 -m state --state NEW,INVALID -j DROP

ich bin gerade etwas verwirrt.

Hovy

[spiffi]

könnte dann nicht auch jemand von außen der meine Internetip(ich weißt ist irgendwie flasch ausgedrückt aber ihr wisst was ich meine) hat meinen router als gateway benutzen?

Ja, das ist möglich. Gut erkannt.

wenn ich nicht nach folgenden Regeln filtere?

Code: Alles auswählen

iptables -A INPUT -i ppp0 -m state --state NEW,INVALID -j DROP
iptables -A FORWARD -i ppp0 0 -m state --state NEW,INVALID -j DROP

Also diese INPUT-Regel ist generell eine gute Idee, bringt Dir aber bei dem Masquerading-Problem nichts, da die fraglichen Pakete über die FORWARD-Chain laufen.
Die FORWARD-Regel sollte funktionieren.

Eine andere Lösung könnte etwa so aussehen:

Code: Alles auswählen

LAN=192.168.1.0/24
iptables -t nat -A POSTROUTING -o ppp0 -s $LAN -j MASQUERADE

[LittleBoy]

Um das eigentliche Problem zu lösen, kann man das Forwarding explizit für jedes Interface über
echo 0 > /proc/sys/net/ipv4/conf/ethX/forwarding
ausschalten.

[Hovy]

Danke @Spiffi habe es jetzt 2 mal limitiert einmal mit der FORWARD chain und einmal durch die definition des LANs beim masqueradeing

@LittleBoy mit forward für ppp0 finde ich nen bissel ungünstig aber an sich auch ne Idee hat mich gerde noch auf ne ganz andere Idee gebraucht

Hovy