| |
| |
| |
|
Page: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20
<Rushmoom> cilly: Nein, das stimmt so nicht
<cilly> also Postrouting schickt an die Kette, meine ich
<Rushmoom> cilly: Ja, so stimmts :)
<Rushmoom> cilly: POSTROUTING ist ja selbst eine Kette..
<cilly> Und Postrouting schickt nur vom Interface -o an die Kette.
<Rushmoom> cilly: nein
<Rushmoom> cilly: Nur dann, wenn *ausgehender* Traffic auf $DEV p***iert
<cilly> also, wenn Traffik auf -o p***iert, dann schickt Postrouting das an die new-chain und nur dann?
<bekks> moin
<Rushmoom> cilly: Nochmals, wenn AUSGEHENDER Traffic auf $DEV p***iert, NUR dann...
<cilly> oki, das habe ich verstanden.
<Rushmoom> cilly: -o bedeutet Outgoing, -i bedeutet Incoming...
<bekks> Rushmoom: hast du ein paar minuten zeit?
<cilly> ja klar
<Rushmoom> bekks: Mhh, ok, aber wirklich nur ein paar :)
<Rushmoom> bekks: Aber schiess los...
<Rushmoom> cilly: Jep
<cilly> Rushmoom, okay, der erste Schritt ist geschafft.
<Rushmoom> cilly: Ja
<crazy_jack> hi
<bekks> Rushmoom: ist aber nicht so dringend ;)
<crazy_jack> leute ich hab ein riesen problem mit isdn dialin und routing
<crazy_jack> kennt sich da jemand von euch aus?
<Rushmoom> bekks: Wenn es 15min Zeit hat bin ich dir nachher gerne behilflich :)
<Rushmoom> cilly: Weil, der Traffic der new-chain erreicht, ist sowieso nur der der auf $DEV _raus_geht
<bekks> Rushmoom: hat es, hat es
<tessarakt> bringt eigentlich -O3 was?
<Rushmoom> bekks: Ja, wenn die Kette noch von anderswo angesprungen wird, aber sonst nicht
<Rushmoom> cilly: Genau
<cilly> Rushmoom, demnach greift die Option -A zuerst, gell?
<Rushmoom> cilly: Ich empfehle dir *dringend* http://www.netfilter.org/documentation/
<cilly> Rushmoom, okay, das ist ja mal ein Start!
<cilly> Ich meinte nicht nur -A sondern -A new_chain...
<cilly> Rushmoom, okay noch einmal zur Kontrolle, d*** ich es richtig verstanden habe:
<tessarakt> hmmm
<Rushmoom> s/bekks/cilly
<cilly> Rushmoom, mir war die Logik einfach nicht kalr...
<Rushmoom> cilly: Mhh, man kann's noch viel allgemeiner formulieren:
<mpoz2> Jemand von euch morgen auf der berlinux?
<cilly> Rushmoom, ja?
<SiO2> ich war heute
<cilly> Okay
<Rushmoom> cilly: Also eingehende Pakete gehen immer durch INPUT, ausgehende immer durch OUTPUT, Pakete die geroutet werden durch [PRE|POST]ROUTING, usw...
<cilly> Und die IPTABLES sofern nicht anders definiert sind erst mal nur in der Umgebung der Kette wirksam...
<cilly> Klar
<cilly> :-)
<cilly> Ich hab's kapiert...
<Rushmoom> cilly: Und wenn du in irgend einer Kette (nicht nur POSTROUTING, auch eigenen) eben noch z.B. -o $DEV hinzunimmst,
<apoca> hm, wieso kann ich mit SHIFT + Bild up in der Konsole nicht nach oben scrollen?
<cilly> ups
<cilly> wrong past
<cilly> http://rafb.net/paste/results/lGycfO21.html
<Rushmoom> cilly: Ah, das ist besser :)
<tessarakt> Spaces?
<tessarakt> umm: http://dev.gentoo.org/~plasmaroo/devmanual/general-concepts/linguas/
<cilly> Rushmoom, danke, das hab ich jetzt kapiert...
<cilly> Rushmoom, ist es nicht besser, OUTPUT zu verwenden?
<Rushmoom> cilly: POSTROUTING wird durchlaufen, nachdem ein Paket geroutet wurde
<cilly> ah so.
<cilly> alles klar
<Rushmoom> cilly: OUTPUT ist was ganz anderes
<cilly> d.h. da werden alle Pakete erf***t, die des LAN und die des Gateways selbst...
<cilly> ahm ich meinte nicht OUTPUT sondern OUTGOING
<Rushmoom> cilly: Jetzt bringst du was durcheinander, eine Kette namens OUTGOING gibt's nicht :)
<cilly> ah so!
<cilly> ja
<cilly> das kenne ich schon
<cilly> ist bei BSD auch so
<Rushmoom> cilly: INPUT durchlaufen Pakete, die von extern AN den Gateway geschickt werden (aber nicht ins LAN!)
<cilly> okay
<cilly> okay
<Rushmoom> cilly: Pakete AUS dem Lan, oder IN das LAN durchlaufen FORWARD
<cilly> okay
<cilly> Und was ist POSTROUTING?
<cilly> alles drei?
<Anarcho> das was es sagt
<Rushmoom> cilly: Bevor sie FORWARD durchlaufen, gehen sie durch PREROUTING, und danach noch durch POSTROUTING
<Anarcho> erst wird geroutet und dann wird die regel von dort angewandt
<cilly> ah so
<Rushmoom> cilly: Jep: PREROUTING->FORWARD->POSTROUTING
<cilly> also: 1. PREROUTING -> OUTPUT -> Postrouting
<cilly> Danke!
<cilly> Jetzt habe ich keine Fragen mehr!
<Rushmoom> nix OUTPUT :-)
<Rushmoom> cilly: Wieso glaube ich dir das bloss nicht? ;-)
<SiO2> cilly, warts ab. die naechsten fragen kommen bestimmt ;)
<cilly> oki, abm
<cilly> Wieso nix Output, was ist da schon wieder falsch?
<Rushmoom> cilly: OUTPUT wird *niemals* von Paketen aus dem LAN durchlaufen, nur von solchen die *direkt* vom Gateway gesendet werden
<Rushmoom> cilly: Sieh http://www.netfilter.org/documentation/HOWTO/de/packet-filtering-HOWTO-6.html
<cilly> ich dachte, ob OUTPUT, FORWARD, INPUT, sie laufen alle zwischen Prerouting und Postrouting?
<Rushmoom> cilly: Nein, Pakete die geroutet werden durchlaufen nur PREROUTING -> FORWARD -> POSTROUTING
<cilly> Rushmoom, ja, was ist mir schon klar, aber alle 3 Typen (OUTPUT, INPUT, FORWARD) sind zwischen PREROUTING und POSTROUTING...
<cilly> oh
<cilly> das ist schlecht
<cilly> Weil das Gateway ist auch noch server!
<Rushmoom> cilly: Nein, das ist logisch :-)
<Anarcho> Bist du dir da ganz sicher?
<Rushmoom> cilly: DAS ist schlecht :)
<cilly> weil in POSTROUTING die OUTGOING nicht erf***t sind, richtig?
<Rushmoom> Anarcho: AFAIK erkennt iptables d*** der Traffic geNATtet ist...
<Anarcho> Rushmoom: OK, das dachte ich mir
<cilly> D.h. apache2, postfix, etc...
<Rushmoom> cilly: Auf einem Gateway haben keine Dienste zu laufen...
<cilly> Allerdings horcht davon nix auf der WAN-IP.
<Rushmoom> cilly: Aber ich kann dir das wohl kaum ausreden...
<Anarcho> Rushmoom: wenn es mangels Hardware zuhause nicht anders geht? ;)
<Rushmoom> cilly: Ok, dann ist's nicht wirklich schlimm...
<cilly> d.h. das Gatway routet ja alle Pakete auf die LAN IP, wo die Services horchen, gell?
Return to gentoo.de
or
Go to some related
logs:
beginner
chatzone
|
|