Dotaz: Firewall a ping

[Petr Ullmann]

Zdravím,

mám malý webserver. Běží na něm jenom http a ssh. Na ssh se připojím, web i ICMP je bez problémů. Ale třeba ping ze serveru nejde, stahování aktualizací (nebo wget) taky ne. Měl jsem tam i v INPUT otevřený porty na ftp a dns, ale to nepomohlo. A přitom OUTPUT má povolený všechno. Funguje to jenom pokud je INPUT ACCEPT. Nenapadá vás někoho, co je tam za chybu? Díky moc za radu.

#chain INPUT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p ICMP -i eth0--icmp-type 0 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 3 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 8 -j ACCEPT
iptables -A INPUT -p ICMP -i eth0 --icmp-type 11 -j ACCEPT
iptables -A INPUT -p tcp -i eth0 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -i eth0 --dport 22 -j ACCEPT
iptables -P INPUT DROP

#chain OUTPUT
iptables -P OUTPUT ACCEPT

#chain FORWARD
iptables -P FORWARD DROP

Odpovědi

[Heron]

Napadá. Packety se nemají kudy vrátit. Vlož tam pravidlo:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Mimochodem, u třetího řádku ti chybí mezera za eth0

[Petr Ullmann]

Na tom třetím řádku jsem se přepsal. Díky za upozornění.

Když tam vložím pravidlo, co jsi mi radil. Skočí to s touhle chybou:

No chain/target/match by that name
 

[igor]

Aku mas verziu iptables-ov?

[Petr Ullmann]

Mám iptables 1.4.2. Distribuce je to Debian 5.

[Petr Ullmann]

Ještě doplnění Debian 5 - 64 bit.

[Heron]

Chybí ti nějaké moduly v jádře. Zkus modprobe ip_conntrack.

[Heron]

Tak já nevím, teď jsem našel přímo na fóru debian-firewallu toto

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

S takto psaným state jsem se ale nesetkal a nemám to kde otestovat. Na Ubuntu ale funguje jak -m state, tak -m conntrack. Snad poradí debianisté.

[Petr Ullmann]

Teď se k tomu stroji nedostanu, Ale pak to zkusím. Díky moc.