[solved] iptables und IP Adresse

[Gunah]

moin allerseits,

ich beschäftige mich gerade mit iptables in einer testumgebung, um lernen damit umzugehen und habe dazu eine frage.

und zwar habe die Testumgebung ähnlich aufgebaut, wie später mal der Server sein sollte...

er hat 2 IPs, in meinem Fall bespiel sind dieses Netzwerk Adressen
eth0 = 192.168.5.20 (export INET_ADR_1="192.168.5.20")
eth0:1 = 192.168.5.40 (export INET_ADR_2="192.168.5.40")

wenn ich eine regel anlege, sieht dieses momentan so aus:

Code: Alles auswählen

iptables -A tcp_inbound -p TCP -s 0/0 --destination-port 22 -j ACCEPT

nun möchte ich aber das, dieser Port (22 SSH) nur über die IP/Adresse von eth0 ($INET_ADR_1) erreichbar ist und nicht über beide...
welchen parameter muss ich dann hinzufügen oder abändern? ( -s ist der falsche )

EDIT:// muss ich dazu die parameter -i INTERFACE (in) und -o INTERFACE (out) mit angeben? um dieses dann genau dem Interface zuzu weisen?

Gruß
Gunah

[Duff]

Es fehlen aber auch noch ein paar iptables-Regeln.
Wie sieht denn das Gesamtkonstrukt aus?

[Danielx]

( -s ist der falsche )

Code: Alles auswählen

-s 192.168.5.20

Gruß,
Daniel

[Gunah]

hier mal komplett:

http://nopaste.debianforum.de/25084

"-s" hat bei mir nich geklappt. dann kam ich nicht mehr auf den Port des "Servers" drauf.

[nepos]

( -s ist der falsche )

Code: Alles auswählen

-s 192.168.5.20

Gruß,
Daniel

Code: Alles auswählen

-s 192.168.5.0/24

Damit wird als Source das Netz genommen. Das von Danielx war nur die eine Adresse.

[Gunah]

wenn ich das richtig verstehe ist -s für source also quelle, sprich externe adresse...

ich will aber, dass man den dienst bspw SSH (port 22) nur von der IP 192.168.5.20 öffnen kann und nicht aus dem Bereich nur geöffnet werden darf.

sprich wenn ich "ssh root@192.168.5.20" am client rechner angebe, kann ich mich verbinden...
gebe ich aber "ssh root@192.168.5.40" soll ich mich an melden können.

die beiden IPs sind die IPs des Server-Rechners...
gebe ich auch den Befehl: mit "-s 192.168.5.0/24" an, kann ich aus keinem Bereich auf über den port auf den server zugreifen


EDIT: // Gelöst

es ist "-d IP"
-i oder -o geht nicht, da keine virtuellen IFs unterstützt werden!


Gruß
Gunah

[Duff]

Die Option -d steht doch für destination, also Ziel-IP.