Iptables

Linux-kezdő

Iptables

  • 1202 megtekintés

( qzy | 2003. 05. 07., sze – 10:05 )

Szia,

a szabályaid jónak tűnnek, érdemes megnézni, hogy engedélyezve van-e a csomagok forwardolása:

cat /proc/sys/net/ipv4/ip_forward

Ha ez 0, akkor nincs, ha 1, akkor igen.

Ha nincs, akkor kapcsold be az alábbi paranccsal:

echo "1" > /proc/sys/net/ipv4/ip_forward

Üdv: Bálint

( sifterg | 2003. 01. 31., p – 17:54 )

Szevasztok.

Segítégre lenne szükségem. Abszolut kezdő vagyok linuxban.
Van egy RedHat 8 szerver, ami adsl-en megy ki az internetre.
Fájl,- mail,- és internet szerverként használja a belső háló.
A problémáim a következőek:
1. A szerverről tudok pinggelni bármit, belülről viszont már nem.(A kérésre nem érkezett válasz.)

2. Semmilyen ftp szervert nem érek el, határidő túllépéssel leáll a böngésző.

3. A 1723 és a 1701-es portokat szeretném megnyitni mindkét irányban. VPN-es hálózat miatt kellene.

4. A kazaa letöltő progi nem tud kapcsolódi.1214-es tcp portnak kifelé kellene nyitva lenni.Ez win2000 szerver alatt simán ment.Linux alatt nem tudta összehozni.

Nem tudom hogy a proxy-t(squid) vagy a tűzfalat(iptables) módosítsam és hogyan.

Elküldöm a tűzfal szabályokat, ezeket nem én csináltam.Nézzétek át hátha ebben van a hiba.

Ha valaki tud bármelyik kérdésemre válaszolni, azt szívesen fogadom.

Előre is köszi.

*nat
REROUTING ACCEPT [1094:218017]
OSTROUTING ACCEPT [51:3170]
UTPUT ACCEPT [51:3170]
-A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
*mangle
REROUTING ACCEPT [6078:952050]
UTPUT ACCEPT [693:91949]
COMMIT
*filter
:INPUT ACCEPT [5553:883008]
:FORWARD ACCEPT [0:0]
UTPUT ACCEPT [693:91949]
:block - [0:0]
-A INPUT -p udp -m udp -s 0/0 --sport 67:68 -d 0/0 --dport 67:68 -j ACCEPT
-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 110 -j ACCEPT
# Szamlazo program
-A INPUT -s 194.169.15.207/24 -p tcp -m tcp --dport 22 -j ACCEPT
# ping kifele
-A INPUT -s 192.168.1.0/24 -p icmp -m icmp -j ACCEPT
# ssh bejelentkezes enged‚lyezese mindenhova
-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -j block
# KAZAA letoltoprogi portjanak tovabbitasa
-A FORWARD -s 192.168.1.0/24 -p tcp -m tcp --dport 1214 -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -p udp -m udp --dport 1214 -j ACCEPT
# l2tp port tovabbitasa
-A FORWARD -s 192.168.1.0/24 -p tcp -m tcp --dport 1701 -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -p udp -m udp --dport 1701 -j ACCEPT
# pptp port tovabbitasa
-A FORWARD -s 192.168.1.0/24 -p tcp -m tcp --dport 1723 -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -p udp -m udp --dport 1723 -j ACCEPT
-A FORWARD -j block
# tiltasok
-A block -i lo -j ACCEPT
-A block -m state --state RELATED,ESTABLISHED -j ACCEPT
-A block -i ! ppp0 -m state --state NEW -j ACCEPT
# syn-flood vedelem:
-A block -m limit --limit 1/sec -j LOG --log-level 6
-A block -p tcp -m tcp --syn -j REJECT
-A block -p udp -m udp -j REJECT
-A block -j DROP
COMMIT


( trey | 2003. 02. 01., szo – 11:13 )

Quote:

On 2003-01-31 17:54, sifterg wrote:
Szevasztok.

Segítégre lenne szükségem. Abszolut kezdő vagyok linuxban.
Van egy RedHat 8 szerver, ami adsl-en megy ki az internetre.
Fájl,- mail,- és internet szerverként használja a belső háló.
A problémáim a következőek:
1. A szerverről tudok pinggelni bármit, belülről viszont már nem.(A kérésre nem érkezett válasz.)

2. Semmilyen ftp szervert nem érek el, határidő túllépéssel leáll a böngésző.

3. A 1723 és a 1701-es portokat szeretném megnyitni mindkét irányban. VPN-es hálózat miatt kellene.

4. A kazaa letöltő progi nem tud kapcsolódi.1214-es tcp portnak kifelé kellene nyitva lenni.Ez win2000 szerver alatt simán ment.Linux alatt nem tudta összehozni.

Nem tudom hogy a proxy-t(squid) vagy a tűzfalat(iptables) módosítsam és hogyan.

Elküldöm a tűzfal szabályokat, ezeket nem én csináltam.Nézzétek át hátha ebben van a hiba.

Ha valaki tud bármelyik kérdésemre válaszolni, azt szívesen fogadom.

Előre is köszi.

*nat
REROUTING ACCEPT [1094:218017]
OSTROUTING ACCEPT [51:3170]
UTPUT ACCEPT [51:3170]
-A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
*mangle
REROUTING ACCEPT [6078:952050]
UTPUT ACCEPT [693:91949]
COMMIT
*filter
:INPUT ACCEPT [5553:883008]
:FORWARD ACCEPT [0:0]
UTPUT ACCEPT [693:91949]
:block - [0:0]
-A INPUT -p udp -m udp -s 0/0 --sport 67:68 -d 0/0 --dport 67:68 -j ACCEPT
-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 110 -j ACCEPT
# Szamlazo program
-A INPUT -s 194.169.15.207/24 -p tcp -m tcp --dport 22 -j ACCEPT
# ping kifele
-A INPUT -s 192.168.1.0/24 -p icmp -m icmp -j ACCEPT
# ssh bejelentkezes enged‚lyezese mindenhova
-A INPUT -s 192.168.1.0/24 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -j block
# KAZAA letoltoprogi portjanak tovabbitasa
-A FORWARD -s 192.168.1.0/24 -p tcp -m tcp --dport 1214 -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -p udp -m udp --dport 1214 -j ACCEPT
# l2tp port tovabbitasa
-A FORWARD -s 192.168.1.0/24 -p tcp -m tcp --dport 1701 -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -p udp -m udp --dport 1701 -j ACCEPT
# pptp port tovabbitasa
-A FORWARD -s 192.168.1.0/24 -p tcp -m tcp --dport 1723 -j ACCEPT
-A FORWARD -s 192.168.1.0/24 -p udp -m udp --dport 1723 -j ACCEPT
-A FORWARD -j block
# tiltasok
-A block -i lo -j ACCEPT
-A block -m state --state RELATED,ESTABLISHED -j ACCEPT
-A block -i ! ppp0 -m state --state NEW -j ACCEPT
# syn-flood vedelem:
-A block -m limit --limit 1/sec -j LOG --log-level 6
-A block -p tcp -m tcp --syn -j REJECT
-A block -p udp -m udp -j REJECT
-A block -j DROP
COMMIT





A diagnosztikat ugy kene kezdeni, hogy lelovod a tuzfalat, megnezed, hogy akkor a proxy-n keresztul (squid) megy-e a http, ftp. Ha megy, akkor lassan, egyenkent el kell kezdeni (ha nem vagy biztos magadban) felepiteni a szabalyokat. Eloszor mindnet tiltunk, majd NAT-olunk a belso halora. Ott kialakitjuk ki hova mehet. Ha ez megvan akkor lehet a kulonleges csomagszuro modulokat igenylo dolgokat beallitni. Minden egyes modositas elott ellenorizni, hogy mit csinaltal. Korulbelul ennyi. Ha nem te irtad a szabalyokat, ugy nehezebb megerteni. Javaslom, hogy a te logikad szerint keszitsd el, es akkor nem lesz gond megerteni kesobb sem.

Ami neked kell:

Szerkesztés Iptables - Linux 2.4 Csomagszűrő Howto

( Fretyo | 2003. 02. 23., v – 15:24 )

Udv!

Iptables-t hasznalok En is! Megy minden frankon, de van egy ilyen lancom:
$iptables -a -dropandlog -i $extinf -j LOG --log-level info --log-prefix "Kulso interfeszrol jovo rossz csomag: "

Az erre illeszkedo csomagok nem csak a log fajlokba irodnak, hanem a kepernyore is! Mar tovirol hegyire atneztem a syslog.conf fajlt, de a consolra nincs iranyitva 1tlen uzenet sem, csak max ez szolhatna bele:
*.emerg *
szoval mit tegyek, hogy nyomjam le a kepernyorol az illeszkedo uziket?

( cstamas | 2003. 02. 23., v – 20:53 )

Quote:

On 2003-02-23 15:24, Fretyo wrote:
Udv!

Iptables-t hasznalok En is! Megy minden frankon, de van egy ilyen lancom:
$iptables -a -dropandlog -i $extinf -j LOG --log-level info --log-prefix "Kulso interfeszrol jovo rossz csomag: "

Az erre illeszkedo csomagok nem csak a log fajlokba irodnak, hanem a kepernyore is! Mar tovirol hegyire atneztem a syslog.conf fajlt, de a consolra nincs iranyitva 1tlen uzenet sem, csak max ez szolhatna bele:
*.emerg *
szoval mit tegyek, hogy nyomjam le a kepernyorol az illeszkedo uziket?



Esetleg ezzel lehet próbálkozni:
--log-level level
Level of logging (numeric or see syslog.conf(5)).
(man iptables-ből)

( Friczy v | 2003. 02. 23., v – 20:56 )

Quote:

On 2003-02-23 15:24, Fretyo wrote:
Udv!

Iptables-t hasznalok En is! Megy minden frankon, de van egy ilyen lancom:
$iptables -a -dropandlog -i $extinf -j LOG --log-level info --log-prefix "Kulso interfeszrol jovo rossz csomag: "

Az erre illeszkedo csomagok nem csak a log fajlokba irodnak, hanem a kepernyore is! Mar tovirol hegyire atneztem a syslog.conf fajlt, de a consolra nincs iranyitva 1tlen uzenet sem, csak max ez szolhatna bele:
*.emerg *
szoval mit tegyek, hogy nyomjam le a kepernyorol az illeszkedo uziket?



Konzolon add ki a dmesg -n 1 parancsot.