Forum Debian Users Gang

maq · 2009-09-16 17:24:52

Witam.
Zastanawiam sie czy to normalne ze przy takim konfigu iptables jak ponizej polaczenie z ssh (łączę sie do niego przez wifi do ath0) pomimo tego ze jest ono lokalne i powinno nastepowac praktycznie natychmiastowo wymaga tego ze trzeba czekac okolo 10-15 sekund az serwer ssh odpowie.
Przy "czystym " configu wszystko działa błyskawicznie.
Przedstawiam skrypt iptables z serwera.

Kod:

#!/bin/sh

#zmienne
LAN_IFACE="eth0"
WLAN_IFACE="ath0"
WAN_IFACE="ppp0"

ipt="/sbin/iptables"
mod="/sbin/modprobe"

#ladowanie modulow

$mod ip_tables
$mod ip_conntrack
$mod iptable_filter
$mod iptable_nat
$mod iptable_mangle
$mod ipt_LOG
$mod ipt_limit
$mod ipt_state
$mod ipt_MASQUERADE

#czyszczenie

$ipt -F
$ipt -t nat -F
$ipt -t mangle -F
$ipt -X
$ipt -t nat -X
$ipt -t mangle -X

#domyslna polityka

$ipt -P INPUT DROP
$ipt -P FORWARD DROP
$ipt -P OUTPUT ACCEPT
$ipt -t nat -P OUTPUT ACCEPT
$ipt -t nat -P PREROUTING ACCEPT
$ipt -t nat -P POSTROUTING ACCEPT
$ipt -t mangle -P PREROUTING ACCEPT
$ipt -t mangle -P POSTROUTING ACCEPT

$ipt -A INPUT -i lo -j ACCEPT

#maskarada

$ipt -t nat -A POSTROUTING -o $WAN_IFACE -j MASQUERADE

#regulki

$ipt -A INPUT -p tcp -i $WLAN_IFACE --dport 22  -m state --state NEW -j ACCEPT
$ipt -A INPUT -i $WLAN_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT

$ipt -A INPUT -i $LAN_IFACE -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT



$ipt -A FORWARD -i $WAN_IFACE -o $LAN_IFACE -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

$ipt -A FORWARD -i $WAN_IFACE -o $WLAN_IFACE -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


$ipt -A FORWARD -i $LAN_IFACE -o $WAN_IFACE -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


$ipt -A FORWARD -i $WLAN_IFACE -o $WAN_IFACE -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

$ipt -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
$ipt -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
$ipt -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT

Ostatnio edytowany przez maq (2009-09-16 20:21:42)

Nicram · 2009-09-16 21:26:05

[quote=maq]Witam.
Zastanawiam sie czy to normalne ze przy takim konfigu iptables jak ponizej polaczenie z ssh (łączę sie do niego przez wifi do ath0) pomimo tego ze jest ono lokalne i powinno nastepowac praktycznie natychmiastowo wymaga tego ze trzeba czekac okolo 10-15 sekund az serwer ssh odpowie.
Przy "czystym " configu wszystko działa błyskawicznie.
Przedstawiam skrypt iptables z serwera.

Kod:

$ipt -A INPUT -p tcp -i $WLAN_IFACE --dport 22  -m state --state NEW -j ACCEPT
$ipt -A INPUT -i $WLAN_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT

[/quote]

Kod:

grep ssh /etc/services 
ssh        22/tcp                # SSH Remote Login Protocol
ssh        22/udp

to chyba powinno troche rozjasnic sytuacje.
jesli robisz w ten sposob ze akceptujesz tylko i wylacznie nowe pakiety na 22 to na twoim miejscu bym zamienil miejscami te regolki. napewno wiecej pakietow bedziesz mial established niz new

zlyZwierz · 2009-09-16 21:43:57

Hint: wpuść DNS ;) tzn wypuść na zewnątrz.

kayo · 2009-09-17 07:16:47

Dodaj do /etc/ssh/sshd_config to:

Kod:

UseDNS no

zlyZwierz · 2009-09-17 11:07:32

To też zadziała, ale następnym postem będzie "mc włącza się bardzo długo ;D"

maq · 2009-09-17 15:38:29

[quote=zlyZwierz]To też zadziała, ale następnym postem będzie "mc włącza się bardzo długo ;D"[/quote]
Dzięki za pomoc , faktycznie to przez dns ;)
Nie wpadłbym na to nigdy bo przecież do łączenia używałem zwykłego adresu ip.

kayo · 2009-09-17 18:08:07

[quote=maq]Dzięki za pomoc , faktycznie to przez dns ;)
Nie wpadłbym na to nigdy bo przecież do łączenia używałem zwykłego adresu ip.[/quote]
ssh szuka w DNS nazwy komputera

Time (s)	Query
0.00010	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00103	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='13.59.198.150' WHERE u.id=1
0.00084	UPDATE punbb_online SET logged=1732492186 WHERE ident='13.59.198.150'
0.00046	SELECT * FROM punbb_online WHERE logged<1732491886
0.00086	DELETE FROM punbb_online WHERE ident='3.145.78.117'
0.00046	SELECT topic_id FROM punbb_posts WHERE id=128361
0.00102	SELECT id FROM punbb_posts WHERE topic_id=15016 ORDER BY posted
0.00055	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=15016 AND t.moved_to IS NULL
0.00005	SELECT search_for, replace_with FROM punbb_censoring
0.00078	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=15016 ORDER BY p.id LIMIT 0,25
0.00083	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=15016
Total query time: 0.00702 s

Forum Debian Users Gang

Ogłoszenie

#1 2009-09-16 17:24:52

maq - Użytkownik

reguły iptables - wolne łączenie z ssh

Kod:

#2 2009-09-16 21:26:05

Nicram - Użytkownik

Re: reguły iptables - wolne łączenie z ssh

Kod:

Kod:

#3 2009-09-16 21:43:57

zlyZwierz - Moderator

Re: reguły iptables - wolne łączenie z ssh

#4 2009-09-17 07:16:47

kayo - Członek DUG

Re: reguły iptables - wolne łączenie z ssh

Kod:

#5 2009-09-17 11:07:32

zlyZwierz - Moderator

Re: reguły iptables - wolne łączenie z ssh

#6 2009-09-17 15:38:29

maq - Użytkownik

Re: reguły iptables - wolne łączenie z ssh

#7 2009-09-17 18:08:07

kayo - Członek DUG

Re: reguły iptables - wolne łączenie z ssh

Stopka forum

Informacje debugowania