[Comm] iptables: покритикуйте правила

[Eugene Prokopiev]

Alexey Morsov пишет:

> 
> Eugene Prokopiev wrote:
> 
>> Alexey Morsov пишет:
>>
>>>
>>> Eugene Prokopiev wrote:
>>>
>>>> # Перенаправляем всех, кого надо, на squid
>>>> for i in `/opt/scripts/make_ldap_filter.pl forceProxy`
>>>> do
>>>>     $IPTABLES -t nat -A PREROUTING -s $i -p TCP --dport 80 -j 
>>>> REDIRECT --to-port 3128
>>>> done
>>>
>>>
>>>
>>> http only, т.е. все ftp, https, icq, irc_шки и потоковое мультимедиа 
>>> идут мимо прокси...
>>> Если устраивает - тады ой...
>>
>>
>>
>> буду добавлять
> 
> Чего? transparent proxy у squid-а только для http протокола... но может 
> icq и загонишь, а вот ftp однозначно нет...
> А что - так много машинок в офисе?

А чего тогда дразнишься? http only, http only ... :)
Машинок не много, около 30, так что обойдемся transparent proxy для 
http, раз остальные принудительно не загнать. Хотя поэкспериментировать 
можно.

>>>>
>>>> Нет ли каких-нибудь глупых ошибок?
>>>>
>>>
>>> Глупых не вижу --- но от LOG в глазах темнеет... чем будете рулить 
>>> статистику?
>>
>>
>>
>> для ULOG собрал ulog-acctd - аналог сизифовского ulogd, который умеет 
>> делать только одно дело, но лучше чем ulogd
>>
>> LOG - скорее всего обрежу потом еще сильнее, может когда загляну в 
>> /var/log/messages да почитаю.
>>
> ИМХО все эти LOG нужны (хороши и обязательны) в целях отладки - а в 
> эксплуатации они ИМХО не оч. удобны... я лично просто сделал набор 
> цепочек типа TCP_IN, TCP_OUT и загоняю соответствующие пакеты туда... а 
> с них данных потом закидываю в mysql (ежеминутно)... очень симпатишно 
> получаеться и точно... а прогулки юзеров по логам прокси наблюдаем...

Ты случаем LOG и ULOG не путаешь? Последний именно для учета трафика в 
первую очередь и предназначен. Его основное преимущество перед 
счетчиками на цепочках iptables (для меня) - возможность разделить мух 
(правила firewall) и котлеты (биллинг). Ну и как следствие упростить 
написание и сопровождение скриптов и т.д.

Я вплоть до недавнего времени использовал твой подход, но уже достало. 
Есть, например, в одном офисе еще необходимость учета не только по 
пользователям, но и по сервисам (мыло, веб, dns) - стартовый скрипт 
iptables выглядит жутко, правила учета и разрешения/запрещения друг на 
друга накладываются. Меняя одно, приходиться перепроверять, не сломал ли 
ты другое.

Решил начать новую жизнь :) Вот и написал сюда, может я и в firewall по 
привычке неправильно правила пишу :)

-- 
С уважением, Прокопьев Евгений