A, B, C 3대의 컴퓨터가 있습니다.
A 컴퓨터는 랜카드가 2개입니다
ㄱ랜카드는 인터넷에 연결되어있고,
ㄴ랜카드는 인터넷에 연결안된 스위치에 연결되어 있습니다.
B, C 컴퓨터는 랜카드가 1개이며, 인터넷에 연결안된 스위치에 연결되어 있습니다.
A컴퓨터는 NTP 서버로 사용합니다.
인터넷 타임서버로부터 시간을 받아와서 인터넷이 연결안된 스위치로 시간을 뿌려줍니다.
인터넷이 연결되지 않은 스위치는 오직 시간 동기화 용으로만 사용합니다.
A컴퓨터의 인터넷이 연결된 랜카드에서
시간을 받아오는 것을 제외한 모든 통신을 차단하고 싶습니다.
ufw 방화벽 정책을 어떻게 구성하면 되겠습니까?
데비안10입니다.
hi
서버에 ntp 신호를 줄 것으로 예상되는 IP 주소에 대해서만 포트 123을 입력으로 활성화하는 것입니다.
ntp 구성 파일 /etc/ntp.conf에는 서버가 가리키는 여러 ntp 서버의 주소가 있습니다. lookup 명령을 사용하여 각 주소에 해당하는 ip를 찾을 수 있습니다.
host -t a 0.debian.pool.ntp.org
그런 다음 서버 방화벽에 규칙을 추가 할 수 있습니다
iptables -I INPUT -p udp -s 94.177.187.22 -j ACCEPT
A-2 192.168.133.195/24
B-1 192.168.133.196/24 - gw 192.168.133.195
C-1 192.168.133.197/24 - gw 192.168.133.195
--------------------------
A
# UDP트래픽도 일단 conntrack에 저장되어있다
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -i eth1 -o eth0 -s 192.168.133.0/24 -d 203.248.240.0/24 --dport 123 -j MASQURADE
iptables -A FORWARD -i eth1 -s 192.168.133.0/24 -d 203.248.240.0/24 -p udp --sport 123 --dport 123
iptables -A FORWARD -i eth1 -s 192.168.133.0/24 -d 203.248.240.0/24 -p udp --sport 1024:65535 --dport 123
A-1은 외부ip를 바로 받아오는 것이 아닌, iptime공유기에 연결되어 있습니다. 이럴 때에는 어떻게 해야 하는지요?
다만 203.248.240. 쪽은 time.bora.net 아이피라서 ntp설정을 저서버로 (dns동작을안할테니 ip로)설정해주셔얗ㄹ거고
FORWARD output 은 기보적으로 accept해야ㅚㄹ거가태요
리눅스커널 ip forwardㅎ ㅓ용시켜야할거같네요
그냥떠오르는대로 작성한거라 어떨진 모르겠네요
iptables -A FORWARD -i eth1 -s 192.168.133.0/24 -d 203.248.240.0/24 -p udp --sport 123 --dport 123 -j ACCEPT
iptables -A FORWARD -i eth1 -s 192.168.133.0/24 -d 203.248.240.0/24 -p udp --sport 1024:65535 --dport 123 -j ACCEPT