Dotaz: Problém s IPtables a pacmanem.

[Cze.Honza]

Zdravím, mám takový problém s iptables a pacmanem. Když spustím iptables, tak pacman nic nestáhne. Mám povolené porty 20, 21, i 80, ale nic nepomohlo. Zatím to mám vyřešené tak, že mám povolenu veškerou komunikaci z IP adresy cvut.cz, což ale asi nebude nejlepší.

Odpovědi

[Bedňa]

Ja som našiel len toto, ale neviem či to pomôže

[Filip Jirsák]

Nepoužívá Pacman HTTPS? Taky bude asi potřebovat DNS, divím se, že vám s tím nastavením firewallu vůbec něco funguje. A není mi moc jasné, k čemu je dobré na nějakém domácím počítači blokovat odchozí provoz.

[Cze.Honza]

Jsem s Firewallem začátečník a jedná se o pokusný server v cvičení do školy.

[Cze.Honza]

Můžu se zeptat, jaktože blokuju odchozí provoz? Povolil jsem je v INPUT.

[Filip Jirsák]

V tom případě nerozumím, co myslíte tím „povolené porty“. Můžete sem dát výpis

iptables --line-numbers -nvL

?

[Cze.Honza]

Takhle to mám ted a funguje:

[root@Server ~]# iptables --lin -nvL
Chain INPUT (policy DROP 4 packets, 930 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        5   681 ACCEPT     all  --  *      *       192.168.1.1          0.0.0.0/0           
2      246 23794 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 
3        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
4        0     0 ACCEPT     all  --  *      *       147.32.127.222       0.0.0.0/0           
5        4   304 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:123 
6       14  1064 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp spt:123 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 180 packets, 20714 bytes)
num   pkts bytes target     prot opt in     out     source               destination

Ale ani takhle to nefunguje:

[root@Server ~]# iptables --lin -nvL
Chain INPUT (policy DROP 24 packets, 2475 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1       19  1941 ACCEPT     all  --  *      *       192.168.1.1          0.0.0.0/0           
2     1110 93226 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22 
3        0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
4        4   304 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:123 
5       15  1140 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp spt:123 
6        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:20 
7        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:21 
8        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
9        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:80 
10       0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:20 
11     137 13247 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:21 

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 1353 packets, 128K bytes)
num   pkts bytes target     prot opt in     out     source               destination 

[pht]

Bych to viděl na tu DNS.

Vykašlete se na to, a dejte si tam pouze:

iptables -A INPUT -j DROP -m state --state=NEW
iptables -P INPUT ACCEPT

[pht]

Sorry, dejte si tam pouze:

iptables -A INPUT -j ACCEPT -i lo
iptables -A INPUT -j DROP -m state --state=NEW
iptables -P INPUT ACCEPT

[Cze.Honza]

Díky Vašemu komentáři jsem přišel ještě na 2 další řešení, u kterých to funguje, jen bych potřeboval, jestli byste mi nemohl říct, které z nich je nejbezpečnější?

iptables -A INPUT -s 147.32.127.222 -j ACCEPT
iptables -A INPUT -p tcp --dport 49152:65535 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

Myslím, že asi ta poslední, je to tak?

[Filip Jirsák]

Pokud chcete mít výchozí politiku INPUT nastavenou na DROP, Rozhodně bych INPUT začal pravidlem

iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT

[Cze.Honza]

Díky Vám oběma:)

[pht]

no a já bych k tomu ACCEPT přidal i INVALID, takže je to ve výsledku ekvivalent toho, co jsem napsal na začátku. já osobně tam ale nedávám DROP, nýbrž reject. ve výsledku mám takovouto kostru:

-P INPUT ACCEPT
-A INPUT -i lo -j ACCEPT

[zde vše co chci povolit]

-A INPUT -j ACCEPT -m state --state NEW -p icmp --icmp-type echo-request
-A INPUT -p tcp -m state --state NEW -j REJECT --reject-with tcp-reset
-A INPUT -m state --state NEW -j REJECT --reject-with icmp-port-unreachable

nezapomeňte totéž nastavit na IPv6! a pokud chcete přes IPv6 i komunikovat, je potřeba ještě povolit ICMP6 neighbor solicitation z vlastního subnetu.