Freetz mit iptables; Zugriff einer IP im Netz A auf Rechner im Netz B erllauben

[MicJasper]

Hallo,

ich habe folgendes Problem:

Rechner im Netz B sollen nur auf das Internet Zugriff haben.
Rechner im Netz A sollen nur auf das Internet Zugriff; Ausnahme: Rechner in Netz A (192.168.0.10) soll auf Rechner (192.168.1.15) in Netz B Zugreifen können.

Die Beschränkungen das die Rechner in Netz B nur aufs Internet zugreifen können hab ich mit folgenden Regeln in iptables hinbekommen.

iptables -A FORWARD -i eth1 -o dsl -j ACCEPT
iptables -A FORWARD -i eth1 -j DROP

iptables -A INPUT -i eth1 -p tcp -j DROP
iptables -A INPUT -i eth1 -p udp -j DROP

iptables -I INPUT -i eth1 -p tcp --dport 53 -j ACCEPT
iptables -I INPUT -i eth1 -p udp --dport 53 -j ACCEPT

Wie, mit welcher Regel erreiche ich nun das nur der Rechner aus Netz A mit der IP(192.168.0.10) auf nur den Rechner in Netz B mit der IP(192.168.1.15) zugreifen kann?

FritzBox 7050 mit Freetz-1.1.4
LAN A 192.168.0.5
LAN B 192.168.1.1

Vielen Dank

 

[sf3978]

Wenn Du eine Regel mit I (insert) erstellst, musst Du da nicht auche eine Position angeben? In einer Regel kannst Du auch das Negieren (!) verwenden.

 

[MicJasper]

Wenn ich keine Position angebe, wird die neue Regel ganz an den Anfang gestellt

 

[sf3978]

..., wird die neue Regel ganz an den Anfang gestellt

Und genau das, kann unerwünschte Folgen haben.

 

[MicJasper]

Wie gesagt, mit og. Regeln hab ich erreicht das Netz B nur auf das Internet zugreifen kann, nicht aber auf Netz A was ja auch korrekt ist. Mit welcher Regel, an welcher Stelle könnte ich den nun erreichen das der eine Rechner aus Netz A auf den einen Rechner in Netz B zugreifen kann?

 

[sf3978]

iptables -A FORWARD -i eth1 -o dsl -j ACCEPT
iptables -A FORWARD -i eth1 -j DROP

Ist die default policy deiner Forward chain, auf DROP oder auf ACCEPT eingestellt?

 

[MicJasper]

Die ist auf DROP eingestellt

 

[sf3978]

Wenn die auf DROP eingestellt ist, wird dann diese Regel

iptables -A FORWARD -i eth1 -j DROP

überhaupt benötigt?

 

[MicJasper]

Problem halbwegs gelöst durch

iptables -I FORWARD -s 192.168.0.10 -d 192.168.1.15 -j ACCEPT
iptables -I FORWARD -s 192.168.1.15 -d 192.168.0.10 -j ACCEPT

Allerdings kann nun nicht nur der Rechner aus Netz A auf B Zugreifen sondern auch umgekehrt.

 

[RalfFriedl]

Bei jeder Kommunikation müssen Pakete in beide Richtungen durchkommen.
Wenn Dir das zuviel ist, musst Du die Regeln genauer eingrenzen.

Du kannst für die Rückrichtung die Optionen "-m state --state RELATED -j ACCEPT" verwenden.