Ich habe mehrere Benutzer (ca. 800 Benutzer) und entwickle eine IPTABLES-Firewall für MAC-Adress-basiertes Filtern. Meine Frage ist: WIE VIELE REGELN KANN ICH IN EINER EINZELNEN KETTE HINZUFÜGEN UND WIE VIELE REGELN KÖNNEN MIT DEM IPTABLES-Filter VERSION 1.3.5 VERARBEITET WERDEN?
Mein Szenario ist folgendes: Linux Centos Gateway-Proxy-Maschine mit 2 Netzwerkkarten (1 LAN, 1 WAN) (Proxy verarbeitet nur Port 80. iptables Version 1.3.5, meine iptables-Filterregeln sehen folgendermaßen aus.
INPUT (Drop) Mehrere Regeln zum Akzeptieren nützlicher Port-Eingaben vom/für das Internet und vom/für das LAN.
WEITERLEITEN (Abweisen) Mehrere einfache Regeln zum vorrangigen WEITERLEITEN von IPs statischer Benutzer (Benutzer1, Benutzer2, Benutzer3) vom LAN zum Internet. Mehrere einfache Regeln zum vorrangigen WEITERLEITEN von IPs statischer Benutzer (Benutzer1, Benutzer2, Benutzer3) vom Internet zum LAN. IP-Anfragen aller anderen Benutzer (Benutzer4, Benutzer5, Benutzer6 …) für das Internet gehen zur Prüfung der IP-/MAC-Adressbindung an die ALLMAC-Kette. Antworten aller anderen Benutzer (Benutzer4, Benutzer5, Benutzer6 …) für IP-Anfragen aus dem Internet gehen zur Prüfung der IP-Adresse an die ALLMAC-Kette.
ALLMAC-Kettenquelle ist die Benutzer4-IP mit der folgenden Mac-Adresse ACCEPT (iptables -t filter ALLMAC -s 192.168.1.1 -m mac --mac-source 00:01:02:03:04:05:06 -j ACCEPT) Zielbenutzer4-IP -j ACCEPT (iptables -t filter ALLMAC -d 192.168.1.1 -j ACCEPT)
Quelle ist die IP von Benutzer 5 mit der folgenden Mac-Adresse: ACCEPT (iptables -t filter ALLMAC -s 192.168.1.2 -m mac --mac-source 00:01:02:03:04:05:06 -j ACCEPT). Ziel: IP von Benutzer 5: -j ACCEPT (iptables -t filter ALLMAC -d 192.168.1.2 -j ACCEPT).
Quelle ist die IP von Benutzer6 mit der folgenden Mac-Adresse: ACCEPT (iptables -t filter ALLMAC -s 192.168.1.3 -m mac --mac-source 00:01:02:03:04:05:06 -j ACCEPT). Ziel: IP von Benutzer6 -j ACCEPT (iptables -t filter ALLMAC -d 192.168.1.3 -j ACCEPT).
(möchte ungefähr 800 Benutzer wie oben in ALLMAC-Ketten hinzufügen) alle anderen nicht aufgelisteten DROP (Ende der ALLMAC-Kette)
OUTPUT (Drop) – mehrere Regeln zum Akzeptieren nützlicher Ports – Ausgabe vom/für das Internet und vom/für das LAN. ?
Bitte helfen Sie mir in diesem einfachen Szenario und zeigen Sie mir, wie ich Benutzer auf ihre IPs beschränken und nicht registrierte Benutzer blockieren kann.
Vielen Dank im Voraus. Rizwan.