AIX vs ipfilter

UNIX kezdő

Hello,

AIX-re az IBM nemreg (1-2 eve) elerhetove tette az ipfilter-t 'ipfl' neven.
Ha valakit erdekel, a cucc az AIX Expansion Pack-ben talalhato. A vezerles a /usr/lib/methods/cfg_ipf segitsegevel tortenik:

/usr/lib/methods/cfg_ipf -l # load
/usr/lib/methods/cfg_ipf -u # unload
/usr/lib/methods/cfg_ipf -q # query; ERROR eseten a tuzfal nem aktiv ;-)

Ami viszont erdekes, hogy a 'kis' gepemen (AIX 5.3 TL10) a kovetkezo, az ipfilter-rel egyertelmuen tarsithato problemakat tapasztaltam:

- 'ping' furcsa viselkedes (kb minden masodik pingre a 'sendto: The file access permissions...' hibat kaptam)
- nevfeloldas totalis osszeomlasa egyik naprol a masikra: http://hup.hu/node/63458#comment-792616
- 22-es port 'eltunese' (nmap-pel nezve minden port zarva)

Ugyanakkor a gep korabban honapokig futott a nevfeloldasi problema nelkul, bekapcsolt tuzfallal, sot meg a TL10 upgrade-del sem lehet osszefuggesbe hozni a dolgot, kb 2 napja jott elo a dolog.

Szoval legalabbis ovatosan, ha valaki hasznalna az ipfilter-t. En inkabb leszedtem, amugy is csak kivancsisagbol tettem fel, nem volt mit szurnie.

A szabalyok (/etc/ipf.rules):


block in all
block in quick all with ipopts
pass out on en0 from any to any keep state
pass in on en0 proto tcp from any to any port = 22 flags S/SA keep state
pass in on en0 proto icmp from any to any icmp-type echo
pass in on en0 proto icmp from any to any icmp-type echorep

  • 963 megtekintés

( lewus | 2009. 06. 19., p – 12:34 )

Erdekes, mert nekem a TL10 upgrade utan hasonlo szimptomak voltak (ssh daemon crashelt, jfs2 filerendszerek nem mountolodtak bootkor).
ipfilter-t nem hasznalok :)
--
As above, so below

Nalam semmifele crash nem volt, pedig 32 biten hasznalok jfs2-t ;-)

Az ssh kostabil (5.2p1 sajat build), csak egyszeruen eltunt a port; 21:15-kor meg bent voltam (raadasul lan-rol), 22:30-kor mar nem ment, kivulrol sem. Konzolrol belepve minden rendben volt az sshd-vel, eloszor megprobaltam egy sshd restartot teljesen celtalanul, aztan lelottem a tuzfalat, es minden visszatert.

Mondanom sem kell, error logokban semmi sem volt.

ps. Ezek szerint megtartottad a B50-est? ;-)