[devel] mode = host в alterator-net-iptables

[Georgy Bystrenin]

В процессе обдумывания реализации групповой политики для решения
кейса: Применение групповой политики по открытию ip-порта; наткнулись
на проблему описанную в баге -
https://bugzilla.altlinux.org/show_bug.cgi?id=38505
(через модуль alterator-net-iptables  невозможно для всех интерфейсов
открыть или закрыть порт, в случае если из список не передать
параметром альтератору).

Было придумано такое решение: добавляем новый режим Хост (mode = host).
В этом режиме внешними ($external_ifaces или параметр -e)
автоматически выбираются все интерфейсы, кроме lo и специальных
исключений (virbr *, docker *).

Значит мы теперь можем просто:
$ sudo alterator-cmdline /net-iptables ipv 4 status '#t' commit on
action write mode host opened_tcp_ports 15001 opened_udp_ports 15002
opened_services ssh

Прочитаем наши настройки:
$ sudo alterator-cmdline /net-iptables ipv 4 action read

ipv:4
commit_mode:#t
status:#t
external_ifaces:eth0;wlan0; <--- авто выбрались ethernet и wereless
интерфейсы ноутбука
opened_services:ssh
opened_tcp_ports:15001
opened_udp_ports:15002
mode:host

А также iptabless теперь выглядит так:
$ sudo iptables -L INPUT -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
DROP       all  -f  0.0.0.0/0            0.0.0.0/0
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate
RELATED,ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:15001
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:15002
DROP       all  --  0.0.0.0/0            0.0.0.0/0

Таска (карман) с изменениями 251975
для теста надо обновить пакеты
# apt-get install alterator-net-iptables alterator-l10n

В фротенд acc и web-версию изменения тоже внесены (раздел Брандмауер -
Внешние сети)
Код http://git.altlinux.org/people/gkot/packages/alterator-net-iptables.git

P.s.: Прошу апрув на таску 251975 если замечаний.
----
С Уважением, Georgy gkot Bystrenin