Dotaz: chyba iptables na novějším kernelu

[Milan Dobeš]

Ahoj, mám problém s iptables. CentOS 4.4 bez grafického prostředí, kompilovaný kernel 2.6.18.2 je bez problémů, po update na kernel 2.6.22.x nebo 2.6.24.x (.config z původního pomocí "make oldconfig") při startu iptables padá chyba "iptables-restore: line 19 failed". V /etc/sysconfig/iptables je řádka 19 první prázdná za "COMMIT", ke konfiguraci používám standardní "setup" v CentOSu. Nenapadá Vás prosím někoho něco? Ve světě se to občas vyskytlo ale mé znalosti na pochopení nestačí.

Díky moc za radu!

Odpovědi

[michich]

V 2.6.20 byla sjednocena implementace Netfilteru pro IPv4 a IPv6 (nf_conntrack). Zmenily se pritom nazvy konfiguracnich voleb, a proto je asi make oldconfig nezachoval.

[Milan Dobeš]

Díky za odpověď, skusím to zítra najít.

[Milan Dobeš]

Příloha:

• I:\out4\priloha (106769 bytů)

Ahoj, tak jsem bohužel zatím neuspěl a už fakt nevím . Začínám si myslet že musí být problém někde jinde protože dle mého názoru mi v kernelu nic nechybí. V příloze je config od funkčního kernelu 2.6.18.2 , nefunkčního kernelu 2.6.22.14, dále /etc/sysconfig/iptables-config a /etc/sysconfig/iptables. Obdržená hláška od "/etc/init.d/iptables start" je "iptables-restore: line 19 failed". Připomínám že se jedná o CentOS 4.4 bez grafického prostředí a pokus o novější kernel. FireWall byl konfigurovaný standardním "setup". Prosím podívejte se na to někdo skušenější jestli něco neobjevíte. Díky moc předem...

[jiri-j]

No nevím zda je to tak, ale není v tomto případě potřeba překompilovat iptables proti aktuálnímu jádru? Jestli je to blbosta tak ať mě prosím někdo opraví.

[Milan Dobeš]

To stojí za vyzkoušení, zkusím to zase zítra! Díky za nápad...

[Petr Šobáň]

Není to třeba pokud nemáš iptables staré.

[Milan Dobeš]

Jsou tam distribuční iptables-1.2.11-3.1.RHEL4.i386.rpm pokud to dokážete posoudit, já ne

[Andrej Herceg]

Čo tak vyskúšať postupné ručné pridávanie tých volieb do iptables (aspoň sa ukáže, v ktorom riadku je naozaj problém)?

[Milan Dobeš]

Ahoj, díky za odpověď ale ta řádka 19 je vlastně EOF souboru /etc/sysconfig/iptables který končí COMMIT na řádce 18. Pokud tam dám další položky, posune se i číslo chybové řádky. Vždy to ukazuje za ten COMMIT.

[Andrej Herceg]

Myslel som to tak, že sa bude spúšťať program iptables a budú sa tam tie položky pridávať ručne. Teda

iptables -A INPUT -j RH-Firewall-1-INPUT
iptables -A FORWARD -j RH-Firewall-1-INPUT
iptables -A RH-Firewall-1-INPUT -i lo -j ACCEPT
...

(teda asi by som najskôr pridal položky pre RH-Firewall-1-INPUT a až potom prvé dva riadky)

Tak sa bude dať zistiť, ktorý riadok v tej konfigurácii spôsobuje problémy.

[Andrej Herceg]

Zabudol som na parameter --table filter

[Milan Dobeš]

JJJoo, došlo mi to... Díky... Zkusím...

[Petr Šobáň]

Mám dojem že musí být CONFIG_NF_CONNTRACK_ENABLED.

Prostě jak tu říkaly jsou tam změny a make oldconfig to nespracuje taky jsem se na tom zasek, tak jsem použil make menuconfig a přidal další volby.

[Milan Dobeš]

Tak v nějakou takovouto odpověď jsem doufal, mohl by jste mi moc prosím majlnout pro inspiraci Váš config??? Měl bych si svůj s čím verifikovat kdyby toho bylo více...

[Andrej Herceg]

Treba povoliť CONFIG_NF_CONNTRACK_ENABLED. Potom sa tam bude dať povoliť aj CONFIG_NETFILTER_XT_MATCH_STATE

[Petr Šobáň]

Příloha:

• config-2.6.24.3-50.fc8 (76095 bytů)

Tak je tu s F8 originál config.

[Milan Dobeš]

Díky moc, mám zase na zítra program

[Milan Dobeš]

Příloha:

• I:\out4\diff.txt (1266 bytů)

Ahoj, moc děkuji za pomoc, už to funguje. Bez Vaší pomoci bych si s konfigurací kernelu neporadil. Kdyby se někdo dostal do podobného problému, přikládám diff.txt nefunkční proti funkční konfiguraci ze které je nejlépe patrné co jsem všechno musel zapnout aby po "make oldconfig" ty iptables fungovaly. Ještě jednou díky!