nixp.ru v3.0

28 мая 2017,
воскресенье,
00:28:28 MSK

DevOps с компанией «Флант»
Longobard написал 27 сентября 2004 года в 18:04 (290 просмотров) Ведет себя как мужчина; открыл 291 тему в форуме, оставил 2499 комментариев на сайте.

Я предоставляю хостингъ. Не хочу шоб мой траф кушали. Ситуация такая: есть локалка, в которую могут лезть все. А в инет — только избранные :)

Вот код

iptables -P OUTPUT DROP
iptables -A OUTPUT -m owner  --uid-owner $MY_UID -j ACCEPT
iptables -A OUTPUT -m owner  --uid-owner 207 -j ACCEPT #проксик - ему тоже нужен инет %)
iptables -A OUTPUT -m owner  --uid-owner 1002 -j ACCEPT
# хотите локалки - да пожалусста
iptables -A OUTPUT  -d 10.1.0.0/16 -j ACCEPT
iptables -A OUTPUT  -d 10.4.0.0/16 -j ACCEPT
iptables -A OUTPUT  -d 80.70.228.0/24 -j ACCEPT
iptables -A OUTPUT  -d 10.100.0.0/16 -j ACCEPT
iptables -A OUTPUT  -d 80.70.229.0/24 -j ACCEPT
iptables -A OUTPUT  -d 80.70.232.0/24 -j ACCEPT
iptables -A OUTPUT  -d 80.70.233.0/24 -j ACCEPT
iptables -A OUTPUT  -d 80.70.234.0/24 -j ACCEPT
iptables -A OUTPUT  -d 80.70.224.0/24 -j ACCEPT
iptables -A OUTPUT  -d 80.70.224.5 -j ACCEPT
iptables -A OUTPUT  -d 80.70.224.8 -j ACCEPT
iptables -A OUTPUT  -d  80.70.225.0/24 -j ACCEPT
iptables -A OUTPUT -d 127.0.0.1 -j ACCEPT

Это работает как надо. Но скорость сети резко упала — есть жалобы на тормоза сайтов, которые у меня на хостинге, да и я замечаю что упала скорость локалки (теперь макс. 20 Мбит). Отрубаю эти правила — все становится хорошо. Вопрос: как еще можно зарубить выход в локалку всем, кроме себя, проксика и еще пары юзерей, но чтобы это не сильно тормозило сеть?

Genie

воткнуть в начало списка разрешений:

iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT

Genie

кроме того…..

iptables -A OUTPUT -d 80.70.228.0/24 -j ACCEPT

iptables -A OUTPUT -d 80.70.229.0/24 -j ACCEPT

прямо таки напрашивается на замену

iptables -A OUTPUT -d 80.70.228.0/23 -j ACCEPT

ну и

iptables -A OUTPUT -d 80.70.232.0/24 -j ACCEPT

iptables -A OUTPUT -d 80.70.233.0/24 -j ACCEPT

аналогично на

iptables -A OUTPUT -d 80.70.232.0/23 -j ACCEPT

к тому же не совсем понятно отдельное выделение

iptables -A OUTPUT -d 80.70.224.0/24 -j ACCEPT

iptables -A OUTPUT -d 80.70.224.5 -j ACCEPT

iptables -A OUTPUT -d 80.70.224.8 -j ACCEPT

iptables -A OUTPUT -d 80.70.225.0/24 -j ACCEPT

что естественно заменяется на

iptables -A OUTPUT -d 80.70.224.0/23 -j ACCEPT

Longobard

Спасибо! Действительно тупил :)

/me пошел перечитывать Стивенса касательно адресации в IP протоколе :)