אני עובד על אובונטו, התקנתי את השרת והכל, עכשיו אני רוצה לפתוח אותו החוצה שיהיה אפשר לגשת לפי כתובת IP.
אני יודע שזה לא בידיוק ההפצה המתאימה לשרת, המצב הזה זמני.

חשוב לציין שהמחשב נמצא מאחורי ראוטר, אבל הגדרתי אצלו Port fowording.

הנה הפלט של Iptables -L:

קוד:

# Generated by iptables-save v1.3.5 on Wed Feb 13 18:16:06 2008
*filter
:INPUT ACCEPT [4162:3753670]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [2548:277138]
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --rsource 
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 8 --rttl --name SSH --rsource -j DROP 
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT 
COMMIT
# Completed on Wed Feb 13 18:16:06 2008

ה default policy שלך הוא allow ולכן ממילא כל התעבורה יכולה לעבור...

יש לך שתי אפשרויות - או להפוך את החיבורים הנכנסים לחסומים בברירת מחדל ושדברים ייפתחו רק על פי חוק מפורש, או לחלופין, לעשות חוקים מפורשים עבור פורט 80 נכנס שמאפשרים לתעבורה לעבור על פי כתובת מקור של החיבור ולאחר כל החוקים האלה, לעשות חוק שחוסם - ואז כל כתובת מקור שלא התאימה לאף חוק תגיע לחוק הכללי שיגיד "תחסום".

הגישה הראשונה עדיפה לדעתי, אבל כמובן מסובכת יותר לקונפיגורציה, כי אתה קובע -בדיוק- מה יעבור - ולעתים זה מסובך, בייחוד אם המחשב הוא גם מחשב ביתי... אם אתה רוצה, אני יכול להרחיב עליה.

האפשרות השנייה, הולכת כך:

קודם כל, החוק האחרון שלך בכלל מדבר על תעבורה יוצאת מהמחשב שלך לשרתי HTTP אחרים (כנראה לא מה שחשבת...) - שוב - אם כאמור - ברירת המחדל היא ACCEPT לכל החיבורים היוצאים, החוק הזה מיותר. נעיף אותו:

קוד:

iptables -D OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT

אותו דבר נעשה לחוק שמרשה לכל חיבור בפורט 80 להיכנס...

קוד:

iptables -D INPUT -p tcp -m tcp --dport 80 -j ACCEPT

ועכשיו, נעבוד בשיטה של "דחוף חוקים למטה" - כלומר - דחוף במקום הראשון חוק בכל פעם. ראשון נכניס את החוק שאוסר גישה לפורט 80:

קוד:

iptables -I INPUT -i eth0 -p tcp --dport 80 -j DROP

לאחר מכן נדחוף חוקים לפני החוק הזה עבור כל כתובת IP שאנחנו רוצים לאשר:

קוד:

iptables -I INPUT -i eth0 -p tcp --dport 80 -s <source-ip-address> -j ACCEPT

זהו...

נמאס לכם לזכור סיסמאות? לחצו כאן!

כן.. בסוף מסתבר שהבעיה כן הייתה בראוטר, בכל מקרה, תודה רבה.

זה בעייתי לאשר רק לכתובת IP מסוימת, או שלא הבנתי?

אני אמרתי שזה בעייתי? רק הסברתי את הקונספטים האפשריים...

נמאס לכם לזכור סיסמאות? לחצו כאן!

לא, אני אמרתי שזה בעייתי, כי מספר המשתמשים שיכנסו לשרת דינאמי, וצריך להתחשב בזה שכתובת ה- IP מתחלפת.

או שלא הבנתי מה צריך לשים ב- source-ip-address

שמע, לכל דבר יש יתרונות וחסרונות.

גם לכתובת דינאמית יש פתרונות, בתנאי שמי שמשתמש במערכת המדובר ישתף איתך פעולה (כלומר, יכריז על כתובת ה IP הנוכחית שלו, ואתה תפתח אותה באופן דינאמי...)

נמאס לכם לזכור סיסמאות? לחצו כאן!