Administrace komentářů

je potřeba sem dát kompletní výpis pravidel iptables, jak jsou v tabulkách jádra.

Ten je pomerne dlhý a váham či to uverejňovať. Security, by obscurity . Aj tak mi ide mi skôr o princíp. Pravidlo pre ESTABLISHED je v INPUT chain-e takmer hneď na začiatku - ako vidno nižšie. Čo iné môže mať vplyv?

Taky je dobré popsat, jak vypadá spojení, které zkoumáte – protokol, odkud je spojení navázané atd.

ADSL pripojenie, kde ADSL modem je v bridge-mode. Linux robi PPP spojenie. Problém mávam pri pokuse o prenos väčšieho (rádovo niekoľko GB) súboru cez rsync/ssh z LAN na stroj vonku. Časť sa prenesie, ale potom to odvisne - dáta sa neprenášajú a v logu mi začnú pribúdať záznamy o paketoch, ktoré sa mali podľa mňa matchnúť cez ESTABLISHED ale sa nematchli. Hláška z logu konkrétne hovorí:

Jun 22 07:08:30 amctn INPUT chain DROP IN=ppp0 OUT= MAC=... SRC=62.153.129.46 DST=212.5.197.56 LEN=52 TOS=08 PREC=0x00 TTL=58 ID=50699 DF PROTO=TCP SPT=22 DPT=61056 SEQ=999827174 ACK=1561835762 WINDOW=1002 ACK URGP=0 MARK=0

SPT a DPT sedí. Čo iné sa dá sledovať? Odchytiť cez tcpdump/wireshark kompletnú komunikáciu a zistiť či sedí aj SEQ a ACK?

Ešte jednu zaujímavú vec som si všimol. Mám:

iptables -L INPUT  -xv
Chain INPUT (policy DROP 1992 packets, 510309 bytes)
    pkts      bytes target     prot opt in     out     source         destination
   46940    4683356  icmp_pk    icmp --  any    any     anywhere         anywhere
    8325        632664  ACCEPT     udp  --  ppp0   any     anywhere         anywhere            udp dpt:ntp
  877161 11691158  ACCEPT     all  --  ppp0   any     anywhere         anywhere            state RELATED,ESTABLISHED
...
   51024 17494080 NFLOG      all  --  any    any     anywhere         anywhere            nflog-prefix "INPUT chain DROP"

iptables -L FORWARD  -xv
Chain FORWARD (policy DROP 12 packets, 1032 bytes)
    pkts      bytes target     prot opt in     out     source             destination
   27495  2573807 icmp_pk    icmp --  any    any     anywhere             anywhere
...
# iptables -L icmp_pk -xvn
Chain icmp_pk (2 references)
    pkts      bytes target     prot opt in     out     source             destination
   11324   950536  ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 0
   11140  3516175 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 3
       0        0              ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 5
     780    44234      ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 11
       0        0              ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 3 code 4
   51336  2752928 NFLOG      icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 8 nflog-prefix "accepted"
   51336  2752928 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 8

icmp type 3 code 4 je "icmp fragmentation-needed". Je normálne, že tam neprišiel ani jeden paket?