@MYPABEU2 фев 2010 в 22:10

Ограничение доступа в интернет для приложений в Linux

2 мин

32K

Настройка Linux *

+69

Комментарии 34

НЛО прилетело и опубликовало эту надпись здесь

@miver 2 фев 2010 в 22:27

Спасибо!

@Mzybin 2 фев 2010 в 22:50

хаха) впечатляет. Спасибо!!!

НЛО прилетело и опубликовало эту надпись здесь

@el777 2 фев 2010 в 23:16

Меняете правило фаервола наоборот — чтобы оно разрешало доступ, а по умолчанию ставите запрет.

@iiihyp 2 фев 2010 в 23:17

man iptables

@AVI 2 фев 2010 в 23:26

Модифицировать описанный метод, сделать правило ACCEPT для группы welcome2inet, все остальное DROP'ать.

@urandom 2 фев 2010 в 23:23

Какое то убожество. man selinux, срочно.

@AgaFonOff 3 фев 2010 в 01:59

apparmor?

@igorp1024 4 фев 2010 в 11:33

Вопрос (не наезд): apparmor сумеет применять разные правила для одного бинарника? Например, есть несколько приложений на VM (например, на той же java). Бинарник — один. Получится ли как-то контролировать разные приложения? Можно, в принципе, насоздавать симлинков на бинарник виртуальной машины (по одному для каждого приложения), но, имхо, неудобно.

@AgaFonOff 4 фев 2010 в 11:43

Вообще не в курсе. Я только понимаю, что это две разные реализации примерно одного и того-же.
Но в моей жизни использовать осознанно не приходилось. Более того, selinux мне местами попортил настроение.
Наверное, всё это где-то надо и важно, но мои linux use cases не затрагивают…

@otaqsun 3 фев 2010 в 07:53

Selinux не лучший вариант.
Из-за особенностей работы, бывают проблемы с принтерами и сканерами например. В общем много подводных камней.

@mdevils 2 фев 2010 в 23:27

Для рестарта сети лучше использовать "/etc/init.d/networking restart".

@salvator 3 фев 2010 в 00:26

вещь хорошая конечно, а вот как сделать policy based routing по группам? на сколько я помню, метки ставить и одновременно проверять группу не получается в iptables. а очень хочется торренты завернуть мимо vpn соединения

@egorinsk 3 фев 2010 в 02:35

Фу, а зачем извращаться с группами и юзерами, нельзя просто по дефолту всем запретить выход в сеть, а избранным приложениям разрешить? А, это же Линукс :) тут нет простых путей)

@rdolgov 3 фев 2010 в 02:58

во фряшном ipfw возможно сделать правила для опеделенных uid, gid, думаю что iptables не уступает ему в функциональности, т.ч. гляньте в эту сторону в man iptables.

@GreyCat 3 фев 2010 в 03:25

Он вообще-то ровно это и предлагает — это правило для iptables по определенному gid:

iptables -A OUTPUT -m owner --gid-owner noinet -j DROP

@rdolgov 3 фев 2010 в 16:11

млин, втупил, извиняюсь ;)

@medvedy 3 фев 2010 в 05:52

Спасибо!!! возьму на заметку!

НЛО прилетело и опубликовало эту надпись здесь

@CTpaHHoe 3 фев 2010 в 07:02

браво, самый простой способ для десктопа.
однако «не так» начинается, когда ваша машина стоит где-то очень далеко от вас

@NastyIII 3 фев 2010 в 08:01

Вообще-то играть с itables на удаленной машине чревато. Достаточно одного неверного символа и приходиться сделать так, чтобы машина стала от вас близко. (если некому перегрузить). Сам наступил на эти грабли. Выход нашел в сбросе всех правил на дофолтовые по крону каждые 15 мин.

@NastyIII 3 фев 2010 в 08:03

И не забыть убрать или не удивляться

@el777 3 фев 2010 в 13:41

Я думаю любой админ через это проходит :)
Это нормально.
Я обычно делаю первым правилом разрешение себе на доступ по ssh — так безопаснее играться. Ну и проверить, чтобы в случае сброса была возможность продолжить работу.

Так же рекомендуется использовать stateful фаервол. Можно разрешить любой пакет для уже устанолвенного соединения, а фильтровать только новые. См. ESTABLISHED.

@StrangeAttractor 4 июл 2010 в 02:19

> Выход нашел в сбросе всех правил на дофолтовые по крону каждые 15 мин.

Просто и гениально! Спасибо за решение. А я заморачивался супервниательным прочитыванием и продумыванием написанного.

@CaptainFlint 3 фев 2010 в 07:51

После чего с чертыханием вспоминаете, что именно в этот момент как раз докачивался громадный файл с рапиды, и его теперь придётся тянуть по новой.

@1024 3 фев 2010 в 06:59

Добавьте пожалуйста в топик обратную операцию — как потом вытащить из этой группы приложение?

Или доступ приложения в сеть при использовании этого метода будет запрещён разово?

@onix74 3 фев 2010 в 07:24

Здесь использеутся sg, а sg — выполняет команду с правами другой группы
Таким образом, чтобы запустить приложение с правами доступа в интернет, надо его просто запустить без использования этого скрипта: вместо noinet firefox, просто firefox.