virtuelles Device + Firewall

[Tim23]

Hallo Zusammen,

habe unter Suse 9.1 folgendes Chaos ;-)

ich muß 3 IP-Adressen bedienen, habe allerdings nur 1 Netzwerkkarte.
So habe ich eth0:0 und eth0:1 erstellt für apache, ftp usw. geht das auch gut.

Jetzt bin ich dabei SuSEfirewall2 einzurichten und da gehts schwer in die Hose ;-( denn scheinbar unterscheidet er nicht zwischen eth0 und den virtuellen Devices.
Wollte sowas wie:
FW_DEV_INT="eth0"
FW_DEV_EXT="eth0:0 eth0:1"
FW_SERVICES_EXT_TCP="www ftp"
FW_SERVICES_INT_TCP="www ftp ssh"

Trotzdem sind alle drei auch unter Extern offen?!?!?!

Ich habe das gesamte Internet durchwühlt, konnte aber leider nichts finden.
Vielleicht habt Ihr ja eine Idee oder einen kleinen Link für mich....

Vielen Dank im Vorraus!

Gruß,
Tim

[mdkuser]

Soweit ich weiss musst du das über die IPs regeln, weil iptables nur mit realen Devices arbeiten kann. Dein FW-Eintrag müsste dann etwa so aussehen (keine Ahnung wie das mit dem Suse Konfig-Ding geht, aber per Konsole gehts so):

IPTABLES -A INPUT -i eth0 -d 192.168.0.10 -p tcp --dport 80 -j ACCEPT
IPTABLES -A INPUT -i eth0 -d 192.168.0.20 -p tcp --dport 80 -j DROP

Wobei 192.168.0.10 eth0:0 und 192.168.0.20 eth0:1 entsprechen (IPs musst du natürlich entsprechend anpassen).

Obiges Beispiel würde bewirken, dass eingehende http-Requests (tcp auf port 80) nur dann zugelassen werden, wenn sie sich auf die IP von eth0:0 verbinden, bei Verbindung auf eth0:1 würde port 80 geblockt.

[Dellerium]

Also ich hab das Zuhause auch eine Zeit machen müssen weil der Rechner nicht mehr Karten aufnehmen konnte - IPTables scheint Probleme mit Virtuellen Interfacen zu haben. Mit den IP Adressen der Interface ging es allerdings Problemlos - so hab ich das dann gelöst ...

[Tim23]

Klasse!!!
Vielen Dank für Eure schnelle Hilfe!
werde mich gleich mal drangeben....

[mdkuser]

Habe gerade das FW Script etwas abgeändert, jetzt ist es richtig! ;)

@Dellerium
Wenn das auch mit virtuellen Devices geht, ohne über die Ip die Einstellungen. Dann würde ich das ganz gehne auch mal wissen wie dann das IPT-Script aussehen muss.