用iptables做网关和IP过滤的问题

tingxx

这两天,将实验室里的网关从win+winroute改成用redhat9 +iptables.功能是带着实验室里的其它电脑上网,然后将收费IP过滤掉!
我写的脚本如下:

1. 
   
2. #!/bin/sh
   
3. PATH=$PATH:/usr/sbin:/sbin
   
4. #
   
5. #eth0 ->outside
   
6. #eth1 ->inside
   
7. # define var
   
8. intra="192.168.0.0/24"
   
9. myip="202.118.247.106"
   
10. 
    
11. #download the web file
    
12. wget -O tmp.htm http://hitsun.hit.edu.cn/zxiplist.htm
    
13. 
    
14. #open ip_forward
    
15. echo "open ip_forward..."
    
16. echo 1 > /proc/sys/net/ipv4/ip_forward
    
17. 
    
18. #clear rules and init
    
19. echo "set iptables rules..."
    
20. iptables -F INPUT
    
21. iptables -F OUTPUT
    
22. iptables -F FORWARD
    
23. iptables -F POSTROUTING -t nat
    
24. iptables -F POSTROUTING -t mangle
    
25. iptables -P INPUT DROP
    
26. iptables -P OUTPUT DROP
    
27. iptables -P FORWARD DROP
    
28. 
    
29. iptables -A INPUT -i eth0 -s $intra -j DROP
    
30. iptables -A FORWARD -i eth0 -s $intra -j DROP
    
31. 
    
32. #以下为过滤收费ip
    
33. cat tmp.htm |grep -o '[0-9]\{1,3\}[.][0-9]\{1,3\}[.][0-9]\{1,3\}[.][0-9]\{1,3\}' >ip.txt
    
34. fip=`awk -f awkfile ip.txt`
    
35. for x in $fip
    
36.     do
    
37.         iptables -A INPUT -i eth0 -s $x -j ACCEPT
    
38.         iptables -A OUTPUT -o eth0 -s $myip -d $x -j ACCEPT
    
39.         iptables -A FORWARD -i eth0 -s $x -m state --state ESTABLISHED,RELATED -j ACCEPT
    
40.         iptables -A FORWARD -i eth1 -s $intra -d $x -j ACCEPT
    
41.     done
    
42. # iptables -A FORWARD -j DROP
    
43. iptables -A INPUT -i eth1 -s $intra -j ACCEPT
    
44. iptables -A OUTPUT -o eth1 -d $intra -j ACCEPT
    
45. 
    
46. #以下为ip转发
    
47. iptables -t nat -A POSTROUTING -s $intra -o eth0 -j SNAT --to $myip
    
48. #日志记录
    
49. #iptables -t mangle -A POSTROUTING -j LOG --log-level debug --log-prefix "MANGLE OUT:"
    
50. 
    
51. echo "bak and save ..."
    
52. mv /etc/sysconfig/iptables ./iptables.bak
    
53. iptables-save > /etc/sysconfig/iptables
    

复制代码

awkfile如下

1. 
   
2. {
   
3. if(NR % 3 ==1)
   
4.         network=$0
   
5. else if(NR %3 ==0)
   
6.         {
   
7.         netmask= $0
   
8.         OFS="/"
   
9.         print network,netmask
   
10.         }
    
11. }
    

复制代码

先用wget将那个免费列表的IP获取下来,然后用grep和gawk生成所要的格式.最后用iptables加入规则.

但是使用这个脚本之后,每天总还有十多K的收费流量(通过学校的帐号查出来).而且时间也很怪
15:00 15:10 15:20或是18:00之后,很整的时间,而且每天都不一样.

不知道问题出在什么地方了,一定思路也没有 哪位大哥能给我点tip呢?

wildfire

会不会是同步时间服务器（只有十几k）？猜的，呵呵

tingxx

好像不是这个问题

一来那个时间同步服务ntp我在/etc/rc.d/init.d/中没有找到
二来,如果我的iptables能够将所有收费的ip过滤掉的话,就算有ntp服务,它也不会连接上收费的ip的呀

就是不知道这个iptable的规则问题出在什么地方

springwind426

我用你的脚本试了

网页上的IP是451个，可是你的脚本获取的IP只有447个


我得出的IP与你的脚本获取的IP的差异：
6,8c6,7
< 58.60.8.0/255.255.248.0
< 58.61.32.0/255.255.255.128
< 58.61.32.128/255.255.255.255
---
> 58.60.8.0/58.61.32.0
> 255.255.255.128/255.255.255.255
19,28c18,25
< 59.61.128.0/255.255.224.0
< 59.64.0.0/255.240.0.0
< 59.151.0.0/255.255.128.0
< 60.0.0.0/255.224.0.0
< 60.63.0.0/255.255.0.0
< 60.190.28.0/255.255.255.240
< 60.190.28.96/255.255.255.224
< 60.190.28.128/255.255.255.240
< 60.190.28.144/255.255.255.252
< 60.191.2.0/255.255.255.0
---
> 59.61.128.0/59.64.0.0
> 0.15.255.255/59.151.0.0
> 0.0.127.255/60.0.0.0
> 0.31.255.255/60.63.0.0
> 0.0.255.255/60.190.28.0
> 255.255.255.240/255.255.255.224
> 60.190.28.128/60.190.28.144
> 255.255.255.252/255.255.255.0
30,34c27,30
< 61.28.0.0/255.255.240.0
< 61.48.0.0/255.248.0.0
< 61.128.0.0/255.192.0.0
< 61.200.81.134/255.255.255.254
< 61.200.81.136/255.255.255.254
---
> 61.28.0.0/61.48.0.0
> 0.7.255.255/61.128.0.0
> 0.63.255.255/61.200.81.134
> 255.255.255.254/255.255.255.254

可以看出，脚本运行后获取的IP有一些错误

springwind426

fip=$(lynx -dump http://hitsun.hit.edu.cn/zxiplist.htm | grep "^[ ]\{0,\}[0-9]" freeip |awk '{ print $1"/"$3 }')

与如下代码等效但更正确
wget -O tmp.htm http://hitsun.hit.edu.cn/zxiplist.htm
cat tmp.htm |grep -o '[0-9]\{1,3\}[.][0-9]\{1,3\}[.][0-9]\{1,3\}[.][0-9]\{1,3\}' >ip.txt
fip=`awk -f awkfile ip.txt`