Dotaz: problem s oteviranim portu

[petka1980]

Zdravim , pokousim se presmerovat a otevirat porty na mem serveru , ale narazil jsem asi mozna na anomalii . Na predchozim serveru x86 vse bezelo bez problemu , ale na arm64 mam problem otevrit nektere porty cca +10000 , nebo port 1222 neni mozne otevrit , port 1100 ano .Uz si nevim rady . Vse nastavuju pres iptables , na WAN mam eth0 a LAN v bridge br0 eth1 a wlan0 .

Odpovědi

[petka1980]

Jeste bych mel dotaz co pouzit na nahozeni site . a) vlastni script ip , ifconfig b) dhcp b) NetworkManager Abych se priznal tak jsem dost zmateny , protoze pro par letech co se vracim k linuxu a nastaveni noveho serveru je vsechno jinak . Uz jen init s moznosti postupneho zapinani sluzeb v poradi ktere si urcim mi chybi . Jde mi o to ze nemuzu nahodit dhcpd nebo hostapd bez toho nez nahodim sitova rozhrani.Tzv ty scipty co jsem mel napsane muzu tak akorat smazat a psat znovu .

[X]

Zavislosti spousteni sluzeb za tebe resi systemd to bych nevidel jako problem. To ze nemuzes otevrit port uz je divne. Takova klsika je, ze uz na tom portu neco bezi. Nicnene jsou to vsechno veci ktere snadno overis pomocu netstat/tcpdump/telnet/nmap etc. takze budes muset zjistit nejake podrobnosti.

[Jendа]

d) Hotový mechanismus co ti nabízí distribuce. Například na Debianu je to v soubor /etc/network/interfaces. To má současně správně nastavené závislosti, aby se služby vyžadující síť spouštěly až potom, co se síť nastaví, a řeší to tedy tvůj druhý problém (já jsem ještě do síťových závislostí nemusel nikdy sahat, takže pokud nemáš nějaké fakt extrémní nastavení, tak nejspíš taky nebudeš muset).

a) vlastni script ip , ifconfig

ifconfig určitě ne, ten už na Linuxu 23 let(!) není podporovaný. Vlastní skript s ip zní lákavě, ale musíš ošetřit různé divné stavy typu že device zmizí protože upadl ze sběrnice (to je teda hlavně issue USB síťovek) a pak je potřeba ho znova nakonfigurovat.

b) dhcp

To přece záleží jestli máš síť nastavenou tak, že potřebuješ DHCP.

b) NetworkManager

K tomu mám osobně odpor, protože mi přijde strašně složité nastavit tam správně věci, které „starým“ způsobem mám hned. Osobně žádné démony týkající se sítě (NetworkManager, systemd-networkd, ale i třeba resolvconf) nepoužívám.

Dále bych ti doporučil zadat parametry jádra net.ifnames=0 biosdevname=0, aby se síťovky jmenovaly „hloupě“ eth0, a pokud máš drátových/wifi síťovek víc, tak do souboru /etc/udev/rules.d/70-persistent-net.rules napsat:

SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", ATTR{address}=="2c:94:64:00:00:61", ATTR{type}=="1", KERNEL=="eth*", NAME="em1"
SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", ATTR{address}=="2c:94:64:00:00:60", ATTR{type}=="1", KERNEL=="eth*", NAME="em0"

pro jednoznačné pojmenování podle mac adresy.

[Jendа]

Jak „otevíráš port“ a jak se projevuje že nejde otevřít? Paket přijde (vidíš v tcpdumpu) ale nedorazí aplikaci? Když na těch dvou portech spustíš třeba netcat, tak to taky nic nevidí? Když dočasně povolíš všechny porty (iptables -P INPUT ACCEPT, a případně zrušit defaultní REJECT pravidlo pokud ho máš na konci) tak to taky nefunguje?

Většinou se snažím mít na konci chainu REJECT pravidlo, aby mě to aktivně odmítlo, protože když mám DROP nebo policy DROP tak žádná odpověď nepřijde a nejde poznat, jestli se to ztratilo po cestě nebo to dropnul cílový počítač.

[ehmmm]

netstat

[petka80]

Díky za nasměrování, dnes se na to podívám a dám sem vědět. To otevírání portu budu sledovat.

[Max]

netstat je už docela dlouho out of date. Místo něj se používá "ss".
Takže např.:

ss -tulopwn

Zdar Max

[Jendа]

ss měl dlouho chybu, která je opravena teprve nedávno, například v Debianu stable je pořád vadný.

[petka1980]

Tak jsem sel na to cestou nejmensiho odporu a sice /etc/network/interfaces

auto br0 eth0 lo
iface lo inet loopback
iface eth0 inet dhcp

iface eth1 inet manual
iface wlan0 inet manual

# Bridge setup
iface br0 inet static
        bridge_ports wlan0 eth1
        address 192.168.0.1
        broadcast 192.168.0.255
        netmask 255.255.255.0
        gateway 192.168.0.1

Funguje dobre jen wlan0 se na prvni pokus neprida do bridge , musim provest restar site a uz bezi jak ma . Ma nekdo nejaky napad ?

[Max]

eth0 vs eth1?
Tj. všude máš eth0 a pak v bridge ports máš eth1.
Zdar Max

[Jendа]

Já tam teda vidím eth0 samostatné rozhraní s DHCP klientem, nejspíš „WAN“, a eth1+wlan0 v br0, nejspíš „LAN“.

[Max]

Máš pravdu, jsem slepej, měl bych se nejdříve vyležet.
Zdar Max