Исходное сообщение
"Автоматическое изменение правил IPTABLES для IP адресов из записей DynDNS" Отправлено chodorenko, 18-Сен-09 00:06
а теперь представим ситуацию, я легитимный пользователь получаю IP, регистрирую зону , создаю там запись в автоматическом режиме , пользуюсь интернетом всё хорошо. выключаюсь , и вдруг мой IP выдаётся другому клиенту, скрипт лезет по файлам, находит что IP принадлежит мне(я не удалял запись и не менял её мне инет в данный момент не нужен) и пускает нелегитимного пользователя как меня теперь рассмотрим скрипт $IPTABLES -F $CHAIN те этой строкой мы очищаем таблицу правил для того чтобы создать новую таблицу но !!!!! 1.время формирования новой таблицы не равно 0 и соответственно мы прерываем все соединения от всех динамических клиентов 2. если использовать крон то данное действие мы будем производить с определённой периодичностью(чем актуальнее для нас скорость обновления тем чаще будут обрываться соединения) исправление разрывов можно избежать добавив первым(для уменьшения нагрузки) правилом $IPTABLES -I INPUT 1 -m state --state RELATED,ESTABLISHED -j ACCEPT $IPTABLES -I INPUT 2 -j $CHAIN REM вот не помню но !! по моему инзерт (-I) сдвигает правила, а не заменяет текущую позицию(-R), посмотрите после N запусков содержимое таблицы INPUT и не удивляйтесь потом почему это у меня такая большая загрузка системы в пространстве ядра производить формирование таблицы правил в отдельный файл echo #/bin/bash > temp_rules.sh chmod 700 temp_rules.sh for file in $FILES ...Skip... echo "$IPTABLES -A $CHAIN -s $IP/32 -j ACCEPT" >> temp_rules.sh ...Skip... done и очистку таблицы $CHAIN производить после обработки всех данных сразу же перед внесением новых правил $IPTABLES -F $CHAIN temp_rules.sh rm -f temp_rules.sh ну гдето так :) PS: господа если пишем в новости  "а мы всего лишь доработаем этот скрипт" так давайте дорабатывать

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> а теперь представим ситуацию, я легитимный пользователь получаю IP, регистрирую зону , > создаю там запись в автоматическом режиме , пользуюсь интернетом всё хорошо. > выключаюсь , и вдруг мой IP выдаётся другому клиенту, скрипт лезет > по файлам, находит что IP принадлежит мне(я не удалял запись и > не менял её мне инет в данный момент не нужен) и > пускает нелегитимного пользователя как меня > теперь рассмотрим скрипт > $IPTABLES -F $CHAIN > те этой строкой мы очищаем таблицу правил для того чтобы создать новую > таблицу но !!!!! > 1.время формирования новой таблицы не равно 0 и соответственно мы прерываем все > соединения от всех динамических клиентов > 2. если использовать крон то данное действие мы будем производить с определённой > периодичностью(чем актуальнее для нас скорость обновления тем чаще будут обрываться соединения) > исправление разрывов можно избежать добавив первым(для уменьшения нагрузки) правилом > $IPTABLES -I INPUT 1 -m state --state RELATED,ESTABLISHED -j ACCEPT > $IPTABLES -I INPUT 2 -j $CHAIN > REM вот не помню но !! по моему инзерт (-I) сдвигает правила, > а не заменяет текущую позицию(-R), посмотрите после N запусков содержимое таблицы > INPUT и не удивляйтесь потом почему это у меня такая большая > загрузка системы в пространстве ядра > производить формирование таблицы правил в отдельный файл > echo #/bin/bash > temp_rules.sh > chmod 700 temp_rules.sh > for file in $FILES > ...Skip... > echo "$IPTABLES -A $CHAIN -s $IP/32 -j ACCEPT" >> temp_rules.sh > ...Skip... > done > и очистку таблицы $CHAIN производить после обработки всех данных сразу же перед > внесением новых правил > $IPTABLES -F $CHAIN > temp_rules.sh > rm -f temp_rules.sh > ну гдето так :) > PS: господа если пишем в новости "а мы всего лишь доработаем > этот скрипт" так давайте дорабатывать
	Введите код, изображенный на картинке: