Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.

Strony: 1

 

#1  2010-05-09 10:24:09

  life - Użytkownik

life
Użytkownik
Zarejestrowany: 2009-10-30

problem z iptables na VPS

Mam taki problem. Stoi sobie VPS (parawirtualizacja)

Stawiam tam firewalla ale się okazuje że np takie reguły

Kod:

iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT

nie działają. Zapewne dlatego że jądro nie jest normalne tylko przygotowane jako gość w wirtualnym systemie.

generalnie inne reguły są ok tzn domyślnie DROP dla przychodzących ACCEPT dla wychodzących.

Problem tylko w tym że np wget nie działa, apt-get też bo jak z wyjściem nie ma problemu to potem z wejściem jest (bo portów nie mam otwartych) a z automatu się nie otworzą bo

--state ESTABLISHED, RELATED[/quote]
nie działa.

ktoś ma jakiś pomysł ?

w tej chwili jak chcę sprawdzić aktualizacje albo pobrać coś wget-em muszę wyłączyć firewalla a potem go ponownie włączyć.

Offline

 

#2  2010-05-09 11:04:23

  kamikaze - Administrator

kamikaze
Administrator
Zarejestrowany: 2004-04-16

Re: problem z iptables na VPS

Może pokaż całość tego firewalla, może gdzieś jest błąd.

Offline

 

#3  2010-05-09 12:22:38

  life - Użytkownik

life
Użytkownik
Zarejestrowany: 2009-10-30

Re: problem z iptables na VPS

proszę bardzo:

#!/bin/bash

SERWER="x.x.x.x"
INET_IF=venet0

iptables -F
iptables -X

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT


echo "Otwarcie portow"
# Odblokowujemy uslugi na serwerze dla innych przychodzacych z zewnatrz
iptables -A INPUT -p tcp -s 0/0 --dport 20:22 -d $SERWER -j ACCEPT
iptables -A INPUT -p udp -s 0/0 --dport 20:22 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 113 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 25 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 993 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 995 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 143 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 465 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 2000 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 110 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 111 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 587 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 80 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 0/0 --dport 443 -d $SERWER -j ACCEPT

iptables -A INPUT -p all -s 72.233.69.3 -d $SERWER -j ACCEPT
iptables -A INPUT -p all -s 72.233.69.2 -d $SERWER -j ACCEPT
iptables -A INPUT -p all -s 66.135.58.62 -d $SERWER -j ACCEPT
iptables -A INPUT -p all -s 66.135.58.61 -d $SERWER -j ACCEPT


# Utrzymanie nawiazanych
#iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT

# dostep do DNS (google)
iptables -A INPUT -p tcp -s 8.8.8.4 --sport 53 -d $SERWER  -j ACCEPT
iptables -A INPUT -p udp -s 8.8.8.4 --sport 53 -d $SERWER -j ACCEPT
iptables -A INPUT -p tcp -s 8.8.8.8 --sport 53 -d $SERWER  -j ACCEPT
iptables -A INPUT -p udp -s 8.8.8.8 --sport 53 -d $SERWER -j ACCEPT


# nieuzywane klasy adresowych
iptables -A INPUT -s 10.0.0.0/8 -j DROP            #class A
iptables -A INPUT -s 172.16.0.0/12 -j DROP         #class B
iptables -A INPUT -s 224.0.0.0/4 -j DROP           #multicast
iptables -A INPUT -s 240.0.0.0/5 -j DROP           #reserved[/quote]
jak od komentuje linijkę

Kod:

iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT

to dostaję:

iptables v1.4.2: Bad state `'
Try `iptables -h' or 'iptables --help' for more information.[/quote]
samo:

Kod:

iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

daje:

iptables: No chain/target/match by that name[/quote]

Ostatnio edytowany przez life (2010-05-09 12:26:12)

Offline

 

#4  2010-05-09 12:52:34

  kamikaze - Administrator

kamikaze
Administrator
Zarejestrowany: 2004-04-16

Re: problem z iptables na VPS

O nawet napisałeś co nie działa. Było tak od razu. "ESTABLISHED, RELATED" nie powinno być spacji po przecinku, popraw i sprawdź.

Offline

 

#5  2010-05-09 19:44:58

  life - Użytkownik

life
Użytkownik
Zarejestrowany: 2009-10-30

Re: problem z iptables na VPS

[quote=kamikaze]O nawet napisałeś co nie działa. Było tak od razu. "ESTABLISHED, RELATED" nie powinno być spacji po przecinku, popraw i sprawdź.[/quote]
Dalej to samo czyli:

iptables: No chain/target/match by that name[/quote]
Z tego co mi wiadomo to żeby działało "ESTABLISHED, RELATED" w jądrze powinno być zaznaczone:

Connection state match support[/quote]
VPS jest na OpenVZ tak więc parawortualizacja kompilować swojego kernela chyba się nie da no chyba że jest inna opcja żeby to włączyć.

Offline

 

#6  2010-05-09 21:22:09

  kamikaze - Administrator

kamikaze
Administrator
Zarejestrowany: 2004-04-16

Re: problem z iptables na VPS

[quote=life][quote=kamikaze]O nawet napisałeś co nie działa. Było tak od razu. "ESTABLISHED, RELATED" nie powinno być spacji po przecinku, popraw i sprawdź.[/quote]
Dalej to samo czyli:

iptables: No chain/target/match by that name[/quote]
[/quote]
No jak to samo jak wcześniej był inny komunikat i usunięcie spacji pomogło. Może dla ciebie to bez różnicy bo dalej nie działa, ale jest lepiej niż było. Wyszedł kolejny problem, nie masz obsługi stanów dla iptables, dodaj do jądra. A może masz moduł ładujące obsługę tego, poszukaj.

Offline

 

#7  2012-03-01 22:25:01

  g0rn - #! Where there is a shell, there is a way

g0rn
#! Where there is a shell, there is a way
Skąd: ~/.linux/dug
Zarejestrowany: 2011-06-15

Re: problem z iptables na VPS

[quote=life][quote=kamikaze]O nawet napisałeś co nie działa. Było tak od razu. "ESTABLISHED, RELATED" nie powinno być spacji po przecinku, popraw i sprawdź.[/quote]
Dalej to samo czyli:

iptables: No chain/target/match by that name[/quote]
Z tego co mi wiadomo to żeby działało "ESTABLISHED, RELATED" w jądrze powinno być zaznaczone:

Connection state match support[/quote]
VPS jest na OpenVZ tak więc parawortualizacja kompilować swojego kernela chyba się nie da no chyba że jest inna opcja żeby to włączyć.[/quote]
Dla potomnych :)  OpenVZ

/etc/sysconfig/iptables-config

IPTABLES_MODULES="ipt_REJECT ipt_tos ipt_TOS ipt_LOG ip_conntrack ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length ipt_state iptable_nat ip_nat_ftp"[/quote]
/etc/sysconfig/vz

IPTABLES="ipt_REJECT
ipt_tos ipt_TOS ipt_LOG ip_conntrack ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length ipt_state iptable_nat ip_nat_ftp"[/quote]
service vz restart

pozdro
[i]g0rn[/i]

Ostatnio edytowany przez g0rn (2012-03-01 22:26:38)

[img]http://i56.tinypic.com/s1os3k.gif[/img]

Offline

 

#8  2012-03-01 22:47:03

  thomsson - Dyskutant

thomsson
Dyskutant
Zarejestrowany: 2011-10-26

Re: problem z iptables na VPS

g0rn ty żyjesz ;)

ilin napisał
[i]"DUG to tez moja mała ojczyzna"[/i]

Offline

 

#9  2012-03-01 23:24:39

  g0rn - #! Where there is a shell, there is a way

g0rn
#! Where there is a shell, there is a way
Skąd: ~/.linux/dug
Zarejestrowany: 2011-06-15

Re: problem z iptables na VPS

na pół gwizdka ale żyje :)

[img]http://i56.tinypic.com/s1os3k.gif[/img]

Offline

 

 

Strony: 1

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
To nie jest tylko forum, to nasza mała ojczyzna ;-)

[ Generated in 0.008 seconds, 11 queries executed ]

Informacje debugowania

Time (s) Query
0.00009 SET CHARSET latin2
0.00004 SET NAMES latin2
0.00091 SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.225.175.230' WHERE u.id=1
0.00086 REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '18.225.175.230', 1732237733)
0.00053 SELECT * FROM punbb_online WHERE logged<1732237433
0.00067 SELECT topic_id FROM punbb_posts WHERE id=196356
0.00099 SELECT id FROM punbb_posts WHERE topic_id=16794 ORDER BY posted
0.00053 SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=16794 AND t.moved_to IS NULL
0.00005 SELECT search_for, replace_with FROM punbb_censoring
0.00080 SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=16794 ORDER BY p.id LIMIT 0,25
0.00107 UPDATE punbb_topics SET num_views=num_views+1 WHERE id=16794
Total query time: 0.00654 s