iptables kérdés

[Sinkó Gábor Zoltán]

Faragó Zsolt írta:
> Üdv mindenkinek!
> Kliens szg.-ek hálózati hozzáféréseit kezelem MAC+IP párossal.
> Az lenne a kérdésem, hogy lehet-e a felsorolt párokat valahogy 
> csoportosan kezelni az IPTABLES-ben?
> Arra gondolok, hogy legtöbbször azonos beállításokat kell eszközölni az 
> összes gépen. (pl. azonos portokat kell engedélyezni, stb...)
> 
> Gondolom script-el megoldható lenne egy fájlból olvasva a MAC+IP 
> párosokat, de esetleg van ilyesmi lehetőség az iptables-ben is?
> 
> 
nem tudom hogy jól értem-e de gyakszilag azt jelenti hogy csak a regisztrált mac+ip enged ki
ha jó a gondolat akkor:
először egy lánc megnézi hogy van-e illeszkedés (ha van akkor jó ha akkor nem dob)

utánna meg a ip cimek helyes csoportosításával megoldható a csoportos kezelés:
pl:						ip		vlan
safe (iskola belső hálózati gépei)	10.1.0.0/16
secret (védett gépek)			10.1.0.0/18
rg					10.1.1.0/26		5
gazdasagi				10.1.2.0/26		2
nyomtatok				10.1.3.0/26		3
nyomtathat				10.1.16.0/20	
termek					10.1.16.0/21
terem 1 				10.1.16.0/26		61
terem 2					10.1.17.0/26		62
terem 3					10.1.18.0/26		63
védett					10.1.24.0/21	
igazgatas				10.1.24.0/26		30
tanar					10.1.25.0/26		31
szertar					10.1.26.0/26		32
konyvtar				10.1.27.0/26		33
korlatos				10.1.32.0/20		
wifi					10.1.32.0/24		50
diak					10.1.33.0/24		51
projektor 				10.1.34.0/24		52
tiltott					10.1.96.0/19
voip					10.1.96.0/26		98
router					10.1.99.0/26		99
firewall				10.1.100.0/26		100

dmz					192.168.255.0/24	255
....

igy az hogy a belső hálózatot igazgassam (mikrotik alatt de bogarázható) forditás szrintem nem nagy 
kunst de időm most nincs rá:

add action=jump chain=ss  disabled=no jump-target=icmp-acc \
     out-interface=Rvoip src-address=10.1.1.10
add action=drop chain=ss  disabled=no out-interface=Rvoip \
     src-address=10.1.1.0/26
add action=add-src-to-address-list address-list=ideig address-list-timeout=30m \
     chain=ss  connection-state=new disabled=no dst-address=10.1.3.33 \
     dst-port=33 protocol=tcp
add action=drop chain=ss  connection-state=new disabled=no \
     dst-address=10.1.3.33 dst-port=33 protocol=tcp
add action=accept chain=ss comment="rg gp elrse" disabled=no \
     src-address-list=ideig
add action=accept chain=ss  disabled=yes src-address=10.1.1.0/24
add action=jump chain=ss  disabled=no dst-address=10.1.255.0/24 \
     jump-target=allowed src-address=10.1.0.0/18
add action=jump chain=ss  disabled=no dst-address=10.1.0.0/18 \
     jump-target=allowed src-address=10.1.255.0/24
add action=jump chain=ss  disabled=no dst-address=10.1.3.0/26 \
     jump-target=allowed src-address=10.1.0.0/19
add action=jump chain=ss  disabled=no dst-address=10.1.255.0/26 \
     jump-target=allowed src-address=10.1.96.0/19
add action=drop chain=ss  connection-state=new disabled=no \
     dst-address=10.1.1.10 src-address=10.1.24.4
add action=drop chain=ss  disabled=no