iptables & samba - zugriff beschränken (gelöst)

[ckoepp]

Guten Tag zusammen,

ich hab ein Problem mit meinen iptables.

Was ich will:
Zugriff auf Samba vom KabelBW Netz aus. Alle andren sollen gleich schonmal abgewiesen werden.
RIPE sagt mir KabelBW hat die IP Range 217.8.48.0 - 217.8.63.255. Dadurch ergibt sich dann 217.8.48.0/20 - damit müssten nun alle IP's im Bereich von KabelBW abgedeckt sein.

Aufbauend darauf gibts dann folgende iptables:

Code: Alles auswählen

# deny Samba from all
iptables -A INPUT -p tcp --dport 135:139 -j DROP
iptables -A INPUT -p tcp --dport 445 -j DROP
iptables -A INPUT -p udp --dport 135:139 -j DROP
iptables -A INPUT -p udp --dport 445 -j DROP

# allow Samba from KabelBW Germany
iptables -A INPUT -i eth0 -d 217.8.48.0/20 -p tcp --dport 135:139 -j ACCEPT
iptables -A INPUT -i eth0 -d 217.8.48.0/20 -p tcp --dport 445 -j ACCEPT
iptables -A INPUT -i eth0 -d 217.8.48.0/20 -p udp --dport 135:139 -j ACCEPT
iptables -A INPUT -i eth0 -d 217.8.48.0/20 -p udp --dport 445 -j ACCEPT

Nun, jetzt gibbet nur ein kleines Problem: es funktioniert nicht wirklich.

Sieht jemand irgendwo meinen Fehler? Ich steh gerad total auf dem Schlauch...

[herrchen]

Sieht jemand irgendwo meinen Fehler?

wenn du *erst* alles verwirfst, ist das päckchen weg ...

herrchen

[ckoepp]

Hmm...hab leider noch nie mit iptables gearbeitet bisher. Bin daher davon ausgegangen, dass die Ausnahmen erkannt werden.
Mit der Reihenfolge hats ja nix zu tun normal...

Oder meinst du die chains selbst?

[herrchen]

Mit der Reihenfolge hats ja nix zu tun normal...

doch.

herrchen

[ckoepp]

Ahh....danke

Für alle die sich das hier durchlesen und die Regeln oben probiern:

Code: Alles auswählen

# allow Samba from KabelBW Germany
iptables -A INPUT -i eth0 -s 217.8.59.0/24 -p tcp --dport 135:139 -j ACCEPT
iptables -A INPUT -i eth0 -s 217.8.59.0/24 -p tcp --dport 445 -j ACCEPT
iptables -A INPUT -i eth0 -s 217.8.59.0/24 -p udp --dport 135:139 -j ACCEPT
iptables -A INPUT -i eth0 -s 217.8.59.0/24 -p udp --dport 445 -j ACCEPT

# deny Samba from all
iptables -A INPUT -p tcp --dport 135:139 -j REJECT
iptables -A INPUT -p tcp --dport 445 -j REJECT
iptables -A INPUT -p udp --dport 135:139 -j REJECT
iptables -A INPUT -p udp --dport 445 -j REJECT

Es war ein Fehler in den Regeln für die ankommenden Verbindungen. Muss natürlich -s und nicht -d heißen.

[nepos]

Un die Reihenfolge is sehr wohl wichtig. Iptables rennt nur von Regel 1 bis Regel X stur durch und wenn eine passt, hat sichs...
Drum immer die spezielleren Faelle weiter oben reinpacken und die grosse Tonne erst am Ende