Forum Debian Users Gang

bryn1u · 2014-09-03 21:39:56

Witam,

Zaczalem uzywac virsh bardzo ladnie dziala, automatycznie laduje regulki iptables, ktore chce namierzyc dodac do swojego configa i dzialac. Jedynie co mam to wycinek z iptables-save, ale nie moge ich namierzyc. Czy ktos pomoze ?

Kod:

root@h0st:/etc# iptables-save
# Generated by iptables-save v1.4.14 on Wed Sep  3 21:37:57 2014
*raw
:PREROUTING ACCEPT [3005:7977673]
:OUTPUT ACCEPT [1494:272743]
COMMIT
# Completed on Wed Sep  3 21:37:57 2014
# Generated by iptables-save v1.4.14 on Wed Sep  3 21:37:57 2014
*nat
:PREROUTING ACCEPT [271:10727]
:INPUT ACCEPT [114:4748]
:OUTPUT ACCEPT [287:40991]
:POSTROUTING ACCEPT [429:45802]
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
COMMIT
# Completed on Wed Sep  3 21:37:57 2014
# Generated by iptables-save v1.4.14 on Wed Sep  3 21:37:57 2014
*mangle
:PREROUTING ACCEPT [2991:7976847]
:INPUT ACCEPT [1824:195174]
:FORWARD ACCEPT [1166:7781345]
:OUTPUT ACCEPT [1477:272639]
:POSTROUTING ACCEPT [2643:8053984]
-A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
# Completed on Wed Sep  3 21:37:57 2014
# Generated by iptables-save v1.4.14 on Wed Sep  3 21:37:57 2014
*filter
:INPUT ACCEPT [1817:193950]
:FORWARD ACCEPT [157:5575]
:OUTPUT ACCEPT [1479:273295]
-A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
-A FORWARD -i virbr0 -o virbr0 -j ACCEPT
-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Wed Sep  3 21:37:57 2014

Dziekuje,

Jacekalex · 2014-09-03 22:06:29

Dla każdego łańcucha z osobna, ale mniej więcej tak:
filter:

Kod:

iptables -t filter -S | while read line; do echo "iptables -t filter $line" ; done;

mangle:

Kod:

iptables -t mangle -S | while read line; do echo "iptables -t mangle $line" ; done;

nat:

Kod:

iptables -t nat -S | while read line; do echo "iptables -t nat  $line" ; done;

raw:

Kod:

iptables -t raw -S | while read line; do echo "iptables -t raw $line" ; done;

Tak zrzucisz całego fw do skrypta.

bryn1u · 2014-09-03 22:24:28

A jak tu jest z kolejnoscia ? Ktory skrypt sie 1 zaladuje ten co jest ladowany prze virsh;a czy ten ktory ja odpale w init.d np init.d/firewall ? Drugie pytanie czy patrzac na ta regule trzeba cos wiecej niz regulka do przekierowania i otwarcia portu dla 192.168.122.139 bo takie jest ip lxc. Z poziomu lxc normalnie moge robic aktualizacja za pomoca apt-get update etc.... instalowac paczki etc.... zainstalowalem ssh-server na porcie 31330 i nie dam rady go przekierowac gdyz nie moge nawiazac polaczenia. Wychodzace dziala, ale z przychodzacymi jest kaplic :(

Jacekalex · 2014-09-03 22:26:42

Virshem się dawno nie bawiłem, ja całego FW wolę pakować do skrypta, dzięki temu wiem, co w nim jest.

Virt-manager i Virsh tak mieszają w regułach FW, że cholery z nimi można dostać.

morfik · 2014-09-04 10:34:36

Jak chcesz sobie przekierować coś do lxc to z dnata korzystaj:

Kod:

iptables -t nat -A PREROUTING -i bond0 -p tcp --dport 22 -j DNAT --to 192.168.10.20:22

I wszystko co będzie szło na maszynę hosta na port 22 zostanie przekierowane na port 22 pod adres vhosta lxc.

Time (s)	Query
0.00013	SET CHARSET latin2
0.00008	SET NAMES latin2
0.00147	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.17.29.43' WHERE u.id=1
0.00119	UPDATE punbb_online SET logged=1716875818 WHERE ident='3.17.29.43'
0.00068	SELECT * FROM punbb_online WHERE logged<1716875518
0.00469	DELETE FROM punbb_online WHERE ident='85.208.96.208'
0.00083	SELECT topic_id FROM punbb_posts WHERE id=274686
0.00132	SELECT id FROM punbb_posts WHERE topic_id=26357 ORDER BY posted
0.00064	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=26357 AND t.moved_to IS NULL
0.00085	SELECT search_for, replace_with FROM punbb_censoring
0.00088	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=26357 ORDER BY p.id LIMIT 0,25
0.00121	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=26357
Total query time: 0.01397 s

Forum Debian Users Gang

Ogłoszenie

#1 2014-09-03 21:39:56

bryn1u - Użytkownik

Czy na podstawie iptables-save znajde regulki w Debianie ?

Kod:

#2 2014-09-03 22:06:29

Jacekalex - Podobno człowiek...;)

Re: Czy na podstawie iptables-save znajde regulki w Debianie ?

Kod:

Kod:

Kod:

Kod:

#3 2014-09-03 22:24:28

bryn1u - Użytkownik

Re: Czy na podstawie iptables-save znajde regulki w Debianie ?

#4 2014-09-03 22:26:42

Jacekalex - Podobno człowiek...;)

Re: Czy na podstawie iptables-save znajde regulki w Debianie ?

#5 2014-09-04 10:34:36

morfik - Cenzor wirtualnego świata

Re: Czy na podstawie iptables-save znajde regulki w Debianie ?

Kod:

Stopka forum

Informacje debugowania