Nachfolgend die IPTABLES Befehle, die in /etc/sysconfi/scripts/SuSEfirewall2-custom nach fw_custom_before_denyall()eingegeben werden muessen. Ausserdem ist bei SuSEfirewall2 die Zeile mit FW_CUSTOMRULES zu aktivierten (# am Anfang entfernen). Technisch wird der gewuenschte Effekt erzielt. Ich wuerde aber trotzdem moeglichst bald andere Moeglichkeiten (squid, dansguardian, ...) nutzen und aktivieren. Dort gibt es wesentlich elegantere Filtermoeglichkeiten. Auch sind die Rules sehr restriktiv, d.h. je nach Anzahl von erlaubten IP Adressen kann die Liste sehr lang werden ... Sollten Weiterleitungen auf den Rechnern aktiv sein wird die Sache noch komplizierter. D.h. es ist so wirklich nur praktikabel in einem sehr engen Rahmen.
Uebrigens gibt es www.linuxbu.ch wo alles recht gut in Deutsch erklaert ist (Kapitel 14) 8)
Annahmen:
1) NAT wird benutzt und ist enabled (FW_MASQUERADE=yes)
# 1) erlaube verbindungsaufbau von [tochterip] mit [erlaubteip] mit http port 80
# Es kann auch --dport weggelassen werden. Dann koennen alle Ports von [erlaubteip] genutzt werden
iptables -A FORWARD -i eth0 -p tcp -s [tochterip] -o ppp0 -d [erlaubteip] --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT;
# 2) dns zulassen
iptables -A FORWARD -i eth0 -p tcp -s [tochterip] -o ppp0 -d [erlaubteip] --dport 53 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT;
# 3) alle anderen verbindungsaufbauten von [tochterip] verbieten
iptables -A FORWARD -i eth0 -p tcp -s [tochterip] -o ppp0 -j REJECT;
Step 1 ist fuer jede erlaubte IP zu wiederholen. Wenn die IP allerdings einen anderen Port benutzt muss --dport entsprechend angepasst werden (z.B. 8080)
Diese Befehle wurden von mir nicht getestet - also bitte erst testen bevor den Rules vertraut wird!
