Dotaz: iptables s defaultním -P DROP, jak povolit lokální loopback

[testik]

Chtěl bych vědět, kde seženu nějaký návod nebo nebo tak něco na zprovoznění následujícího: mám firewall, vše funguje, maškaráda běží, ale jakmile chci stahovat něco z lokálního serveru, na kterém firewall běží, nejde to.

Odpovědi

[Petr Šobáň]

Co takhle zapojit mozek a pohledat ?

Je tady toho tak málo ?

Jinak loopback jde povolit:

# local
/sbin/iptables -A OUTPUT -o lo -j ACCEPT
/sbin/iptables -A INPUT -i lo -j ACCEPT

Ale to asi nebude váš případ protože kdyby byl zakázaný tak nepoběží 90% věcí na linuxu.

Spíše se chcete dostat na server z jiného PC tak musíte povolit v chainu INPUT příchozí provoz z té určité IP.

Pokud se chcete dostat s tím PC na internet povolit to v FORWARD.

PS. Co se třeba inspirovat firewall

[testik]

JJ, asi jsem špatně položil otázku, loopback mám povolený, ale ven mi to nejde, už jsem to sice taky vyřešil, ale řešení mám dosti dlouhé asi na 20 řádků. Nešlo by to jednodušeji?

iptables -A INPUT -s 127.0.0.1/8 -p ALL -j ACCEPT
iptables -A OUTPUT -d 127.0.0.1/8 -p ALL -j ACCEPT
iptables -A INPUT -s 192.168.1.1 -p ALL -j ACCEPT
iptables -A OUTPUT -d 192.168.1.1 -p ALL -j ACCEPT

iptables -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# Allow all on loopback
# 
iptables -A INPUT -i lo  -s 200.200.200.200 -j ACCEPT 
iptables -A INPUT -i lo  -s 127.0.0.1 -j ACCEPT 
iptables -A OUTPUT -o lo  -d 200.200.200.200 -j ACCEPT 
iptables -A OUTPUT -o lo  -d 127.0.0.1 -j ACCEPT 
# 
# Rule 0(global)
# 
# Allow all outgoing connections
# 
iptables -A INPUT -s 200.200.200.200 -m state --state NEW -j ACCEPT 
iptables -A INPUT -s 192.168.1.1 -m state --state NEW -j ACCEPT 
iptables -A OUTPUT -s 127.0.0.1 -m state --state NEW -j ACCEPT 
iptables -A OUTPUT -s 192.168.1.1 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -s 200.200.200.200 -m state --state NEW -j ACCEPT
iptables -A INPUT -i lo  -s 127.0.0.1 -j ACCEPT 
iptables -A OUTPUT -o lo  -d 200.200.200.200 -j ACCEPT 
iptables -A OUTPUT -o lo  -d 127.0.0.1 -j ACCEPT 
# 
# Rule 0(global)
# 
# Allow all outgoing connections
# 
iptables -A INPUT -i lo -s 200.200.200.200 -m state --state NEW -j ACCEPT 
iptables -A INPUT -i lo -s 192.168.1.1 -m state --state NEW -j ACCEPT 
iptables -A OUTPUT -o lo -m state --state NEW -j ACCEPT 
iptables -A FORWARD -i lo -s 192.168.1.1 -m state --state NEW -j ACCEPT

-místo 200.200.200.200 je tam moje veřejná IP adresa do internetu

[testik]

Z toho firewallu v tom vašem odkazu jsem vytáhl 4 řádky a funguje dík.

[Petr Šobáň]

Je tu hromada nesmyslů:

-nesmysl zrušit iptables -A INPUT -s 127.0.0.1/8 -p ALL -j ACCEPT
-nesmysl zrušit iptables -A OUTPUT -d 127.0.0.1/8 -p ALL -j ACCEPT

127.0.0.1 nemá co dělat na veřejném rozhraní
a na lo je to povolené jinde

iptables -A INPUT -s 192.168.1.1 -p ALL -j ACCEPT
iptables -A OUTPUT -d 192.168.1.1 -p ALL -j ACCEPT

iptables -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# Allow all on loopback
# 
-nesmysl iptables -A INPUT -i lo  -s 200.200.200.200 -j ACCEPT 
iptables -A INPUT -i lo -j ACCEPT 
-nesmysl iptables -A OUTPUT -o lo  -d 200.200.200.200 -j ACCEPT 
iptables -A OUTPUT -o lo -j ACCEPT 

Na lo se nevyskytuje jiná IP jak 127.0.0.1
takže povolovat tam jinou je nesmysl

# 
# Rule 0(global)
# 
# Allow all outgoing connections
# 
iptables -A INPUT -s 200.200.200.200 -m state --state NEW -j ACCEPT 
iptables -A INPUT -s 192.168.1.1 -m state --state NEW -j ACCEPT 
-nesmysl iptables -A OUTPUT -s 127.0.0.1 -m state --state NEW -j ACCEPT 
iptables -A OUTPUT -s 192.168.1.1 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -s 200.200.200.200 -m state --state NEW -j ACCEPT
-nesmysl povolene jinde iptables -A INPUT -i lo  -s 127.0.0.1 -j ACCEPT 
-nesmysl iptables -A OUTPUT -o lo  -d 200.200.200.200 -j ACCEPT 
-nesmysl iptables -A OUTPUT -o lo  -d 127.0.0.1 -j ACCEPT
# 
# Rule 0(global)
# 
# Allow all outgoing connections
# 
-nesmysl iptables -A INPUT -i lo -s 200.200.200.200 -m state --state NEW -j ACCEPT 
-nesmysl iptables -A INPUT -i lo -s 192.168.1.1 -m state --state NEW -j ACCEPT 
-nesmysl iptables -A OUTPUT -o lo -m state --state NEW -j ACCEPT 
-nesmysl iptables -A FORWARD -i lo -s 192.168.1.1 -m state --state NEW -j ACCEPT