staging.inyokaproject.org

Hallo!

Kann ich die UFW Firewall so setzen, das für das Netz: 10.11.0.0/16 folgendes gilt?

1. jeder Client darf nur mit IP 10.11.0.1 kommunizieren

2. außer Clients 10.11.0.2 und 10.11.0.6 dürfen mit allen kommunizieren

Falls das möglich ist, wie erreiche ich das?

Danke!

Was genau meinst Du mit:

Fohnbit schrieb:

2. außer Clients 10.11.0.2 und 10.11.0.6 dürfen mit allen kommunizieren

?

hmmm .. das scheint zu passen?

[23] 10.11.0.1                  ALLOW IN    10.11.0.0/16              
[24] Anywhere                   ALLOW IN    10.11.0.1                 
[25] Anywhere                   DENY IN     10.11.0.0/16

23: zuerst jedem vom Netz 10.11.0./16 nach 10.11.0.1 zulassen

24: dann 10.11.0.1 nach überall zulassen (die 2 Clients müssen dann da auch noch rein)

25: danach jeden von 10.11.0.0/16 blocken

lubux schrieb:

Was genau meinst Du mit:

Fohnbit schrieb:

2. außer Clients 10.11.0.2 und 10.11.0.6 dürfen mit allen kommunizieren

?

Diese 2 Clients dürfen mit jedem in Netz kommunizieren. Genauso wie der Server auf 10.11.0.1

Fohnbit schrieb:

Diese 2 Clients dürfen mit jedem in Netz kommunizieren.

Fungiert dein Server auch als Router? ... weil Du Netz schreibst. Geht der gesamte Traffic zwischen den Clients im Netz, über deinen Server?

Der Server hat einen HAProxy. Der HAProxy hat demnach auch 10.11.0.1, oder nicht?

Das 10.11.0.0/16 ist ein Wireguard VPN Netz. Verbindungsaufbau kommt ausschließlich vom HAProxy ins 10.11.0.0/16.

Dachte das klappt, aber 10.11.0.2 kann 10.11.0.6 pingen:

23] 10.11.0.1                  ALLOW IN    10.11.0.0/16              
[24] Anywhere                   ALLOW IN    10.11.0.1                 
[25] 10.11.0.0/16               ALLOW IN    10.11.0.5                 
[26] 10.11.0.0/16               ALLOW IN    10.11.0.4                 
[27] Anywhere                   DENY IN     10.11.0.0/16 

Sollte ^[27] nicht jeglichen Traffic der noch "übrig" bleibt, blocken?

Fohnbit schrieb:

Der Server hat einen HAProxy.

Mit HAProxy kenne ich mich nicht aus bzw. habe ich nie benutzt.

lubux schrieb:

Fohnbit schrieb:

Der Server hat einen HAProxy.

Mit HAProxy kenne ich mich nicht aus bzw. habe ich nie benutzt.

Kein Problem. Es geht hier eh um die UFW. Aber meine Konfig passt noch nicht

Fohnbit schrieb:

Dachte das klappt, aber 10.11.0.2 kann 10.11.0.6 pingen:

Wenn der Traffic zwischen .2 und .6 über den Server geht, dann musst Du den in der FORWARD chain blocken.
Teste mal mit:

sudo iptables -I FORWARD 1 -p icmp -s 19.11.0.2 -d 10.11.0.6 -j REJECT 

danach den Ping machen und nach dem Ping:

sudo iptables -nvx -L FORWARD

anschauen.
Die Regel löschen mit:

sudo iptables -D FORWARD 1