Dotaz: iptables

[halva-jr]

Dobrý den, snažím se nainstalovat webový server. Už mi to trvá opravdu dlouho, ale nevzdávám to I několik přeinstalování mě neodradilo. Teď jsem se však setkal s něčím, co mi až do teď fungovalo. Chci nastavit iptables, povolit port. napíšu iptables -A INPUT -p tcp -dport 80 -j ACCEPT. Vždy to fungovalo. Teď to píše Bad argument '80' Try 'iptables -h' or 'iptables --help' for more information. Nevíte co může být špatně? Použávám Debian. Děkuji

---

---

Odpovědi

[halva-jr]

dve carky --dport

[halva-jr]

mnohokrát děkuji. Nechápu, ale fakt mi to před tím fungovalo. Je to možný? A v knížce co mám je taky jenom -dport a ne --dport. Hlavně že teď to funguje. Ještě jednou díky

[T]

myslím, že to musela být nějaká změna mezi sarge a etch nebo etch a lenny v, pže mě se to na nějaký starší distribuci taky stalo a po upgardu mě to přestalo jet, byla tam zřejme nějaká změna v iptables,

neni zač, mčj se, Tomas

[maertien(not logged in)]

Je to zpusobeno ruznou verzi iptables. Taky jsem na to tenkrat dlouho koukal.

[halva-jr]

Měl bych ještě jeden problém. Taky s iptables. Už jsem se tady na něj jednou ptal. Všechno si zapíšu, nastavím jak potřebuji. Pak iptables uložím iptables-save > /etc/iptables. To je ok. Zapíšu to do /etc/network/interfaces jako post-up iptables-restore < /etc/iptables.Ok. Vše je zapsáno. I po restartu to všechno zůstane. Ale iptables se mi nenačte a opět pracuje s prázdnou. Tedy všechno povoleno. Při startu to píše Configuring network interfaces.../etc/network/interfaces:1: misplaced option ifup: couldn't read interfaces file "/etc/netowrk/interfaces". Nevíte kde může být chyba? Děkuji.

[Petr Šobáň]

Pod fedorou napíšu pravidla a uložím je "iptables-save" a pokud bude povolená služba iptables tak se pravidla samy načtou.

Jak je to u jiných distribucí nevím. Asi by chtělo uvést distribuci.

[halva-jr]

Používám Debian.

[halva-jr]

pro ulozeni: /etc/init.d/iptables save active,
pak uz do /etc/network/interfaces neni potreba nic davat.

[halva-jr]

Zrovna nejsem u pc, hned jak tam budu to zkusím a ozvu se. Díky moc.

[halva-jr]

A co si napsat svuj firewall a startovat jej pres init , myslim pravidla pro iptables. Takhle to delam ja jsem spokojeny .

[halva-jr]

Moc nerozumím, kam bych to měl napsat. Jinak jsem ale klidně pro.

[halva-jr]

/etc/init.d/iptables save active mám zadat přesně tohle? Mě to totiž nefunguje Přístup odmítnut

[halva-jr]

Tohle je asi nejlepsi rozebrani iptables . http://www.linuxhomenetworking.com/wiki/index.php/Quick_HOWTO_:_Ch14_:_Linux_Firewalls_Using_iptables Nebo staci se podivat tady po abclinuxu . http://www.abclinuxu.cz/clanky/bezpecnost/firewall-na-slackware Jinak muj firewall s dalsima moznostma vypada asi nejak takhle .

#! /bin/sh

PATH="/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin"

WAN_IP="10.222.1.17"
IPTABLES="/sbin/iptables"


LAN="eth0"
WIFI="ath0"
WAN="eth1"

set -e

case "$1" in
  start)
	echo -n "Nahravam pravidla pro iptables (firewall,masquerade)"
	
	# =============================================================
	
	# Paranoia zakladni politka
	$IPTABLES -P INPUT DROP
	$IPTABLES -P OUTPUT ACCEPT
	$IPTABLES -P FORWARD DROP
	
	# rp_filter na zamezeni IP spoofovani
	for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f; done

	# Ochrana pred Dos utokem
	echo 1 >/proc/sys/net/ipv4/tcp_syncookies
	   

	# Flush all old
	$IPTABLES -F
	$IPTABLES -t nat -F

	# =============================================================
	# Loopback a interni interface
	# =============================================================
	
	$IPTABLES -A INPUT -i lo -j ACCEPT
	$IPTABLES -A INPUT -i $LAN -j ACCEPT
	$IPTABLES -A INPUT -i $WIFI -j ACCEPT
	
	# =============================================================
        # Povoleni portu na WAN                                            
        # =============================================================    
        $IPTABLES -A INPUT -i $WAN -p UDP -s 0/0 --sport 53 -d $WAN_IP --dport 1025: -j ACCEPT          #DNS
        $IPTABLES -A INPUT -i $WAN -p TCP -s 0/0 -d $WAN_IP --dport 22000 -j ACCEPT                     #SSH
        # =============================================================                                     
        # Presmerovavani portu                                                                              
        # =============================================================                                     
        #Provede presmerovani portu 80 na port 8088
        $IPTABLES -A INPUT -i $WAN -p TCP -s 0/0 -d $WAN_IP --dport 8088 -j ACCEPT                      #WWW IPBOX
        $IPTABLES -t nat -A PREROUTING -i $WAN -p tcp --dport 8088 -j DNAT --to 192.168.0.4:80          #WWW IPBOX Nastaveni presmerovani
        $IPTABLES -A FORWARD -p tcp -i $WAN -d 192.168.0.4 --dport 80 -j ACCEPT                         #WWW IPBOX Povoleni presmerovani 
        #Provede presmerovani portu 8080 na port 8088
        $IPTABLES -A INPUT -i $WAN -p TCP -s 0/0 -d $WAN_IP --dport 8080 -j ACCEPT                      #WWW IPBOX NewCS
        $IPTABLES -t nat -A PREROUTING -i $WAN -p tcp --dport 8080 -j DNAT --to 192.168.0.4:8080        #WWW IPBOX NewCS Nastaveni presmerovani
        $IPTABLES -A FORWARD -p tcp -i $WAN -d 192.168.0.4 --dport 8080 -j ACCEPT                       #WWW IPBOX NewCS Povoleni presmerovani 
        # =============================================================
        # Konec presmerovavani portu                                   
        # =============================================================
                                                                                                                                                                                                                                                            
	# ICMP (Povoleni PINGu typ 8 echo , typ 11 time exeeded , typ 0 echo reply , typ destination unreacheble )
	$IPTABLES -A INPUT -i $WAN -p ICMP -s 0/0 ! --icmp-type 8 -j ACCEPT
	#$IPTABLES -A INPUT -i $WAN -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
	 
	# All packets that do not request a connection can pass 
	$IPTABLES -A INPUT -i $WAN -p TCP ! --syn -j ACCEPT			# tcp flags:!0x17/0x02
	
	# Extremni paranoia
	$IPTABLES -A INPUT -p TCP --dport 0 -j DROP
        $IPTABLES -A INPUT -p UDP --dport 0 -j DROP
	$IPTABLES -A INPUT -p TCP --sport 0 -j DROP
        $IPTABLES -A INPUT -p UDP --sport 0 -j DROP
	$IPTABLES -A FORWARD -p TCP --dport 0 -j DROP
	$IPTABLES -A FORWARD -p UDP --dport 0 -j DROP
	$IPTABLES -A FORWARD -p TCP --sport 0 -j DROP
	$IPTABLES -A FORWARD -p UDP --sport 0 -j DROP
	$IPTABLES -A OUTPUT -p TCP --dport 0 -j DROP
        $IPTABLES -A OUTPUT -p UDP --dport 0 -j DROP
        $IPTABLES -A OUTPUT -p TCP --sport 0 -j DROP
        $IPTABLES -A OUTPUT -p UDP --sport 0 -j DROP
				
	
	# ================================================================
	# Maskarada
	# ================================================================
	
	# Moduly pro ftp prenosy
	modprobe ip_conntrack_ftp
	modprobe ip_nat_ftp
	
	# Zavedeme moduly pro nestandardni cile
	modprobe ipt_LOG
	modprobe ipt_REJECT
	modprobe ipt_MASQUERADE
		
	# Presmerovani mezi sitovkama
	$IPTABLES -I FORWARD -i $WAN -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT # mezi inetem a siti
	$IPTABLES -I FORWARD -i $WAN -o $WIFI -m state --state ESTABLISHED,RELATED -j ACCEPT # mezi inetem a wifi
	$IPTABLES -I FORWARD -i $LAN -o $WIFI -m state --state ESTABLISHED,RELATED -j ACCEPT # mezi siti a wifi
	$IPTABLES -I FORWARD -i $LAN -o $WAN -j ACCEPT
	$IPTABLES -I FORWARD -i $WIFI -o $WAN -j ACCEPT
	$IPTABLES -I FORWARD -i $WIFI -o $LAN -j ACCEPT
	$IPTABLES -t nat -A POSTROUTING -o $WAN -j MASQUERADE

	# Forwarding on
        echo "1" > /proc/sys/net/ipv4/ip_forward

	# ================================================================
	
	echo "."
	;;

	
  stop)
	echo -n "Vyprazdneni iptables"
	
	# ================================================================

	# Forwarding off
	#echo "0" > /proc/sys/net/ipv4/ip_forward

	# Povoleni vseho
        $IPTABLES -P INPUT ACCEPT
        $IPTABLES -P OUTPUT ACCEPT
        $IPTABLES -P FORWARD ACCEPT

	# Vynulovani pravidel
	$IPTABLES -F
	$IPTABLES -t nat -F

	# ================================================================
	
	echo "."
	;;

	
esac

exit 0

To cele jako spustitelnej soubor nakopirovat do /etc/rc.d/init.d a vytvorit prislusne odkazy v init levelech . pak uz staci jen start stop . Skript slouzi jako navod , pro firewall staci i mensi pocet prikazu , ale je mozne sijej rozsirit i o jine vymozenosti . Jako je logovani atd...

[halva-jr]

Už to všechno šlape. Díky za rady!