Iptables - Permitir que una pc salga a sólo a una ip

[DEBSDaniel03]

Hola a tod@s. Espero puedan ayudarme.

Tengo un server CentOs con iptables + squid. Todo anda bien, con el squid permito la salida a internet por ip.

Ahora me piden que una pc que no tiene acceso a internet, lo tenga, pero no full, sino que sólo pueda llegar a una ip fija.

¿Qué tengo que hacer (en el iptables o squid) para permitir eso? Espero se entienda, la idea es tener usuarios con acceso full a internet, pero una pc (serán más, pero estoy probando con una) sólo puedan conectarse a una ip externa (puede ser un sitio web, pero lo estamos definiendo vía ip).

Gracias de ante mano por su ayuda.

[matt_1985]

haz un iptables -nvL para ver tus reglas y poder ayudarte .

saludos

[DEBSDaniel03]

Iniciado por matt_1985

haz un iptables -nvL para ver tus reglas y poder ayudarte .

saludos

Código PHP:

  [@ns ~]# iptables -nvL 
Chain INPUT (policy ACCEPT 456 packets, 641K bytes) 
 pkts bytes target     prot opt in     out     source               destination 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:443 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:53 
   13   987 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:53 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:953 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:1080 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:50555 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:4244 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:4242 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:50555 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            165.98.145.152      tcp dpt:50555 
    0     0 ACCEPT     tcp  --  *      *       127.0.0.1            0.0.0.0/0           tcp dpt:143 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:4949 
18684   26M ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:25 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:110 
   28  1900 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 
    9  1955 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:3128 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:161 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:23 
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0 
   13  2111 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x10/0x10 
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state ESTABLISHED 
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED 
    4   283 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-port-unreachable 
 
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) 
 pkts bytes target     prot opt in     out     source               destination 
   31  2135 ACCEPT     all  --  eth0   *       0.0.0.0/0            0.0.0.0/0 
 
Chain OUTPUT (policy ACCEPT 9610 packets, 393K bytes) 
 pkts bytes target     prot opt in     out     source               destination 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:50555 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:50555 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:4242 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:4244 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            165.98.145.152      tcp dpt:50555  
   

Estoy probando poniendo estas reglas:

Código PHP:

  iptables -t nat -A POSTROUTING -s 192.168.0.8 -d 190.98.219.24 -j MASQUERADE 
iptables -t nat -A PREROUTING -s 192.168.0.8 -i eth0 -j DNAT --to 190.98.219.24  
   

donde 192.168.0.8 es la ip interna y 190.98.219.24 es la ip donde quiero llegar, nada más a esa ip quiero que tenga conexión, el resto de equipos que siga igual. Algunos con navegación full (dado por el squid) y otros (que no están especificados en el squid) bloqueo total.

Gracias por responder

[matt_1985]

en el squid podrias crear una acl donde la ip le denegas con ciertas excepciones .

[DEBSDaniel03]

Iniciado por matt_1985

en el squid podrias crear una acl donde la ip le denegas con ciertas excepciones .

¿Cómo se podría hacer eso? ¿Podrías ayudarme? o decirme un lugar donde leer al respecto?

[DEBSDaniel03]

Listo, ya lo resolví con algo parecido a esto:

Código PHP:

  # Listas que definen conjuntos de grupos 
acl contabilidad src "/etc/squid/contabilidad" 
acl RRHH src "/etc/squid/RRHH" 
acl secretarias src "/etc/squid/secretarias" 
 
# Listas que definen palabras contenidas en un URL 
acl contapermitidas url_regex "/etc/squid/contapermitidas" (aqui metes las paginas que deseen ver) 
acl rhpermitidas url_regex "/etc/squid/permitidasconta" 
acl secrepermitidas url_regex "/etc/squid/secrepermitidas" 
 
 
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS 
 
 
http_access allow contabilidad contapermitidas password 
http_access allow RRHH rhpermitidaspassword 
http_access allow secretarias secrepermitidas password  
   

Tomado de: [URL="http://www.alcancelibre.org/forum/viewtopic.php?showtopic=5571"]esta web[/URL]