Tenho vários usuários (aproximadamente 800 usuários), estou desenvolvendo o firewall IPTABLES para filtragem baseada em endereço MAC. Minha pergunta é QUANTAS REGRAS PODEM ADICIONAR EM UMA ÚNICA CADEIA E QUANTAS REGRAS PODEM MANIPULAR O FILTRO DA IPTABLES VERSÃO 1.3.5?
Meu senário é assim, Máquina Proxy Linux Centos Gateway com 2 NICs (1LAN 1WAN) (o proxy lida apenas com a porta 80. iptables versão 1.3.5 minhas regras de filtro do iptables parecem com o seguinte.
ENTRADA (queda) várias regras para aceitar portas úteis Entrada de / para Internet e de / para LAN.
FORWARD (Drop) Múltiplas regras simples para encaminhar usuários estáticos (user1, user2, user3) IPs em prioridade de LAN para Internet. Múltiplas regras simples para encaminhar usuários estáticos (user1, user2, user3) IPs em prioridade da Internet para a LAN. todos os outros usuários (user4, user5, user6 .....) solicitações de IPs para a Internet vão para a cadeia ALLMAC para verificação de ligação de endereço IP / MAC. todos os outros usuários (user4, user5, user6 .....) solicitações de IPs de resposta da Internet vão para a cadeia ALLMAC para verificar o endereço IP.
Cadeia ALLMAC a fonte é user4 IP com o seguinte endereço MAC ACCEPT (iptables -t filtro ALLMAC -s 192.168.1.1 -m mac --mac-source 00: 01: 02: 03: 04: 05: 06 -j ACCEPT) destino user4 IP -j ACCEPT (iptables -t filtro ALLMAC -d 192.168.1.1 -j ACCEPT)
a fonte é user5 IP com o seguinte endereço MAC ACCEPT (iptables -t filtro ALLMAC -s 192.168.1.2 -m mac --mac-source 00: 01: 02: 03: 04: 05: 06 -j ACCEPT) destino user5 IP -j ACCEPT (iptables -t filtro ALLMAC -d 192.168.1.2 -j ACCEPT)
a origem é user6 IP com o seguinte endereço MAC ACCEPT (iptables -t filtro ALLMAC -s 192.168.1.3 -m mac --mac-source 00: 01: 02: 03: 04: 05: 06 -j ACCEPT) destino user6 IP -j ACCEPT (iptables -t filtro ALLMAC -d 192.168.1.3 -j ACCEPT)
(quer adicionar aproximadamente 800 usuários como acima em cadeias ALLMAC) todos os outros DROP não listados (fim da cadeia ALLMAC)
OUTPUT (Drop) • várias regras para aceitar portas úteis Saída de / para Internet e de / para LAN. ?
Por favor me ajude neste cenário simples. e me guiar é essa boa abordagem para restringir os usuários em seus IPs e bloquear usuários não registrados.
Obrigado antecipadamente. Rizwan.