Dotaz: iptables - zatuhnuti ssh

[Honza]

Ahoj, pls o pomoc, proc mi zatuhne SSH pri tomhle jednoduchem nastaveni:

iptables -P FORWARD DROP
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p ALL -i lo -j ACCEPT

iptables -A INPUT -p ICMP -i eth0 --icmp-type 0 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 3 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 8 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 11 -j ACCEPT
iptables -A INPUT -p tcp -i eth0 -m tcp --dport 20 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp -i eth0 -m tcp --dport 21 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp -i eth0 -m tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp -i eth0 -m tcp --dport 443 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp -i eth0 -m tcp --dport 22 -m state --state NEW -j ACCEPT

interface ma vice virt. IP eth0:0 apod...ale to by prece nemelo vadit.
Diky za pomoc

Odpovědi

[Jiri Strapina]

Zkus misto

-m tcp

napsat

-p tcp

Cti chybove hlasky, tak jak to mas napsane to muselo silene nadavat.

[Jiri Strapina]

Oprava - vynechat -m tcp

[Marek Pasovsky]

"nenadava" to vubec .. jen to nejspis nedela co ma

osobne bych vyhodil tu "-m state --state NEW" cast a proste pausalne povolil prichozi provoz na ty vybrane porty..

Marek

[Petr Boltík]

Takhle by to melo fungovat - bacha, zalezi na poradi - to vase ma poradi divne!

1. Nastaveni politiky
2. Vytvoreni povolovacich pravidel
3. Nastaveni chovani, co delat se zbytkem packetu, pokud k nejakemu spojeni patri - povolit
(ne na zacetku, jako u Vas - ESTABLISHED,RELATED)

Parametry jako "-p ALL" jsou bezpredmetne, pokud je nezadate, automaticky se pocita ze parametr neni konkretizovan.

# Nastavime politiku
iptables -P FORWARD DROP
iptables -P INPUT DROP
iptables -P OUTPUT ACCEP

# Povolime loop
iptables -A INPUT -i lo -j ACCEPT

# Pridame skupinky pro icmp a povolene porty pro poradek
iptables -N icmp_skupina
iptables -A INPUT -j icmp_skupina
iptables -N povolene_porty
iptables -A INPUT -j povolene_porty

# Povolime ICMP na eth0
iptables -A icmp_skupina   -i eth0 -p ICMP --icmp-type 0   -j ACCEPT
iptables -A icmp_skupina   -i eth0 -p ICMP --icmp-type 3   -j ACCEPT
iptables -A icmp_skupina   -i eth0 -p ICMP --icmp-type 8   -j ACCEPT
iptables -A icmp_skupina   -i eth0 -p ICMP --icmp-type 11  -j ACCEPT

# Povolime konkretni porty pro vstup z venku
iptables -A povolene_porty -i eth0 -p tcp  --dport     20  -j ACCEPT
iptables -A povolene_porty -i eth0 -p tcp  --dport     21  -j ACCEPT
iptables -A povolene_porty -i eth0 -p tcp  --dport     22  -j ACCEPT
iptables -A povolene_porty -i eth0 -p tcp  --dport     80  -j ACCEPT
iptables -A povolene_porty -i eth0 -p tcp  --dport     443 -j ACCEPT

# Povolime prichod packetu od navazanych spojeni
iptables -A INPUT -d "ETH0_IP" -m state --state ESTABLISHED,RELATED -j ACCEPT

[cooler]

# Pridame skupinky pro icmp a povolene porty pro poradek
iptables -N icmp_skupina
iptables -A INPUT -j icmp_skupina
iptables -N povolene_porty
iptables -A INPUT -j povolene_porty

Nema tam byt toto?
iptables -A INPUT -p ICMP -j icmp_skupina

[Petr Boltík]

neni treba, vytvaris jen obecnou skupinu a na tu skupinu pak odkazujes v hlavni sekci INPUT, definice protokolu musi byt az pak v pravidlech, ktere jsou obsazeny v te skupine, pokud se chces ovsem zabyvat optimalizaci, tak tve reseni by mohlo urychlit pruchod tabulkou, nic vic - pri tomto mnozstvi pravidel bezpredmetne

# Povolime ICMP na eth0
iptables -A icmp_skupina   -i eth0 -p ICMP --icmp-type 0   -j ACCEPT
iptables -A icmp_skupina   -i eth0 -p ICMP --icmp-type 3   -j ACCEPT
iptables -A icmp_skupina   -i eth0 -p ICMP --icmp-type 8   -j ACCEPT
iptables -A icmp_skupina   -i eth0 -p ICMP --icmp-type 11  -j ACCEPT

[macrek]

co znamena, ze ti ssh zatuhne ?

pri takomto firewalle by ti to malo fungovat (aj ked ja by som to poskladal inac).

to -m tcp je v poriadku, len sa to v praxi velmi nepouziva (nemusi tam byt)

predpokladam ze na tom pc (z ktoreho firewallu je tento vypis) prevadzkujes ftp,web a ssh sluzbu. Je to tak ?