[MEGOLDVA]:OTP Electra vs IPTABLES

Hálózatok egyéb

Segítene valaki abban, hogy az OTP Electra alkalmazást belső hálón több gépről is elérhetővé tudjam tenni ?
Az eddigi próbálkozásaim kudarcba fulladtak.
Engedélyztem a 8003 -as portot már minden láncon oda vissza.
Telnetelni a kliensekről tudok az OTP-hez a 8003-as porton.
Az Electrába való bejelentkezéskor kapcsolódik a bank gépéhez , authentikál, 2 adatcsomagot "letölt?", majd az utolsónál belefagy....és 5 perc után elbont...

  • 2118 megtekintés

( andrej_ v | 2008. 08. 31., v – 21:50 )

Nekem az volt ezzel a tapasztalatom, hogy a szimmetrikus nat-ot szereti. Ha nem olyan, akkor kell egy portfw neki. Az electra-nak az IP címe elég fix és talán csak egy van.

( Vudumen | 2008. 09. 01., h – 10:25 )

Esetleg logoltasd le a dropped/rejected packeteket. Hatha.

Eldobott csomag nincs.
A kommunikáció létrejön látszólag, authetikál, csomagot letölt majd megszakad.
Telnetelni tudok a bank gépére a 8003-as porton.
Iptraf -fal látom is a kommunikációt amíg meg nem szakad.
A windows-os kliens gépen wireshark-kal monitorozom és látom, hogy a kpacsolat felépül adatforgalom van egy ideig, majd a nagy semmi.

A bank-nál azt a választ kaptam, hogy LINUX-szal nem fog működni....

EMBER AZ ILYEN?

IPTABLES -A FORWARD -p tcp --dport 8003 -j ACCEPT
IPTABLES -t nat -A POSTROUTING -p tcp -o ppp0 -s 192.168.100.24 -d 195.228.112.9 -j SNAT --to-source $NETIP --dport 8003
IPTABLES -t nat -A PREROUTING -p tcp -i ppp0 -d $NETIP --dport 8003 -j DNAT --to 192.168.100.24:8003

$NETIP - értelem szerűen a külső ipd

Nekem ez így müxik. Ha több gépre kell, akkor szerintem engedd az egész belső hálóra 192.168.100.0/24 vagy csak azokra a gépekre amelyekre kell.

Köszönöm rjani80 !

De még most sem jó... illetve változatlanul ua.
Jó lenne, ha beszélhetnénk szóban....

Nos az alkalmazott szabályokkal aa bankkal a kapcsolat létrejön, authentikál, csomagot letölt, majd az utolsó csomagnál csak áll, majd 5 perc után a kapcsolat lebont.

Telepítve a belső hálón a 192.168.1.3 -as gép osztott munkakönyvtárában van az elektra.

Én a belső hálón az egyik kliensről szeretném elérni, ami mondjuk legyen a 192.168.1.30-as.

Azt nem tudom , hogy a bankkal az 192.168.1.3-as részt vesz e a kommunikációban, de arra is engedtem és akkor sem változik semmi......

ADSL kapcsolat létezik hogy bejátszhat?

# Generated by iptables-save v1.4.0 on Mon Sep 1 12:40:13 2008
*raw
:PREROUTING ACCEPT [318:21583]
:OUTPUT ACCEPT [243:28637]
COMMIT
# Completed on Mon Sep 1 12:40:13 2008
# Generated by iptables-save v1.4.0 on Mon Sep 1 12:40:13 2008
*nat
:PREROUTING ACCEPT [81:4682]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A PREROUTING -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080
-A PREROUTING -d 81.182.xxx.xxx/32 -i ppp+ -p tcp -m tcp --dport 8003 -j DNAT --to-destination 192.168.1.3:8003
-A PREROUTING -d 81.182.xxx.xxx/32 -i ppp+ -p tcp -m tcp --dport 8003 -j DNAT --to-destination 192.168.1.45:8003
-A POSTROUTING -o ppp+ -j SNAT --to-source 81.182.xxx.xxx
-A POSTROUTING -o eth1 -j SNAT --to-source 81.182.xxx.xxx
-A POSTROUTING -s 192.168.1.0/24 -d 195.228.112.9/32 -o ppp+ -p tcp -m tcp --dport 8003 -j SNAT --to-source 81.182.xxx.xxx
COMMIT
# Completed on Mon Sep 1 12:40:13 2008
# Generated by iptables-save v1.4.0 on Mon Sep 1 12:40:13 2008
*mangle
:PREROUTING ACCEPT [318:21583]
:INPUT ACCEPT [306:20386]
:FORWARD ACCEPT [12:1197]
:OUTPUT ACCEPT [243:28637]
:POSTROUTING ACCEPT [255:29834]
-A OUTPUT -o ppp+ -j TTL --ttl-set 128
COMMIT
# Completed on Mon Sep 1 12:40:13 2008
# Generated by iptables-save v1.4.0 on Mon Sep 1 12:40:13 2008
*filter
:INPUT DROP [2:128]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:bad_packets - [0:0]
:bad_tcp_packets - [0:0]
:icmp_packets - [0:0]
:tcp_inbound - [0:0]
:tcp_outbound - [0:0]
:udp_inbound - [0:0]
:udp_outbound - [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -j bad_packets
-A INPUT -d 224.0.0.1/32 -j DROP
-A INPUT -s 192.168.1.0/24 -i eth1 -j ACCEPT
-A INPUT -d 192.168.1.255/32 -i eth1 -j ACCEPT
-A INPUT -i eth1 -p udp -m udp --sport 68 --dport 67 -j ACCEPT
-A INPUT -i ppp+ -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp+ -p tcp -j tcp_inbound
-A INPUT -i ppp+ -p udp -j udp_inbound
-A INPUT -i ppp+ -p icmp -j icmp_packets
-A INPUT -m pkttype --pkt-type broadcast -j DROP
-A INPUT -j LOG --log-prefix "fp=INPUT:99 a=DROP "
-A FORWARD -j bad_packets
-A FORWARD -i eth1 -p tcp -j tcp_outbound
-A FORWARD -i eth1 -p udp -j udp_outbound
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -i ppp+ -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -d 192.168.1.45/32 -i ppp+ -p udp -m udp --dport 8003 -j ACCEPT
-A FORWARD -d 192.168.1.45/32 -i ppp+ -p tcp -m tcp --dport 8003 -j ACCEPT
-A FORWARD -j LOG --log-prefix "fp=FORWARD:99 a=DROP "
-A OUTPUT -p icmp -m state --state INVALID -j DROP
-A OUTPUT -s 127.0.0.1/32 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -s 192.168.1.1/32 -j ACCEPT
-A OUTPUT -o eth1 -j ACCEPT
-A OUTPUT -o ppp+ -j ACCEPT
-A OUTPUT -j LOG --log-prefix "fp=OUTPUT:99 a=DROP "
-A bad_packets -s 192.168.1.0/24 -i ppp+ -j LOG --log-prefix "fp=bad_packets:2 a=DROP "
-A bad_packets -s 192.168.1.0/24 -i ppp+ -j DROP
-A bad_packets -m state --state INVALID -j LOG --log-prefix "fp=bad_packets:1 a=DROP "
-A bad_packets -m state --state INVALID -j DROP
-A bad_packets -p tcp -j bad_tcp_packets
-A bad_packets -j RETURN
-A bad_tcp_packets -i eth1 -p tcp -j RETURN
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j LOG --log-prefix "fp=bad_tcp_packets:1 a=DROP "
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j LOG --log-prefix "fp=bad_tcp_packets:2 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j LOG --log-prefix "fp=bad_tcp_packets:3 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j LOG --log-prefix "fp=bad_tcp_packets:4 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j LOG --log-prefix "fp=bad_tcp_packets:5 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j LOG --log-prefix "fp=bad_tcp_packets:6 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j LOG --log-prefix "fp=bad_tcp_packets:7 a=DROP "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A bad_tcp_packets -p tcp -j RETURN
-A icmp_packets -p icmp -f -j LOG --log-prefix "fp=icmp_packets:1 a=DROP "
-A icmp_packets -p icmp -f -j DROP
-A icmp_packets -p icmp -m icmp --icmp-type 8 -j DROP
-A icmp_packets -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A icmp_packets -p icmp -j RETURN
-A tcp_inbound -p tcp -m tcp --dport 25 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 110 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 143 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 995 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 993 -j ACCEPT
-A tcp_inbound -p tcp -j RETURN
-A tcp_outbound -p tcp -j ACCEPT
-A udp_inbound -p udp -m udp --dport 137 -j DROP
-A udp_inbound -p udp -m udp --dport 138 -j DROP
-A udp_inbound -p udp -m udp --dport 123 -j ACCEPT
-A udp_inbound -p udp -j RETURN
-A udp_outbound -p udp -j ACCEPT
COMMIT
# Completed on Mon Sep 1 12:40:13 2008

Ez itt meg egy KHB bankos hozzáférés:

IPTABLES -A FORWARD -d 195.228.221.3 -s 192.168.100.21 -p tcp --dport 5540 -j ACCEPT
IPTTALES -A FORWARD -d 192.168.100.21 -s 195.228.221.3 -p tcp --dport 5540 -j ACCEPT

IPTABLES -A POSTROUTING -t nat -p tcp -o $NET -s 192.168.100.21 -d 195.228.221.3 -j SNAT --to-source $NETIP --dport 5540

Engedélyezem a FORWARDOT mind a két irányba, utána meg nattolok. Nem igazán látom a hibát nálad, próbált meg az enyémhez hasonlóan begépelni a promtba ezeket (illetve a Te ipcímeidet) hátha jó lesz.
Az elektrához a másikat, amit már írtam. Esetleg próbálj az -A kapcsoló helyett -I kapcsolót használni.

Nálam az egyik cég ADSL-es, de nem panaszkodtak még rá.