Dotaz: aspon pro me divny firewall

[fife]

Prosim vas o radu. mam linux firewall. nedavno sem menil IPcky cele site a zacal sa chovat aspon podle meho nazoru divne.

pro webovy servr mam povolene toto:

iptables -A FORWARD -p tcp -d 1.2.3.4 --dport 80 -j ACCEPT #http

iptables -A FORWARD -p tcp -d 1.2.3.4 --dport 8080 -j ACCEPT #http

iptables -A FORWARD -p tcp -d 1.2.3.4 --dport 443 -j ACCEPT #https

iptables -A FORWARD -p tcp -d 1.2.3.4 --dport 21 -j ACCEPT #ftp

iptables -A FORWARD -p tcp -d 1.2.3.4 --dport 20 -j ACCEPT #ftp

iptables -A FORWARD -p tcp -d 1.2.3.4 --dport 3306 -j ACCEPT #mysql

 

normalne mi to fungovavalo, ale ted mi absolutne nejde z toho stroju zaden url include, v podstate zadne nacteni z externych zdroju. kdyz ten firewall vypnu, vsetko funguje jak ma, no ale to samozrejme neni reseni.

 

Dekuju moc za vase rady a zkusenosti.

Odpovědi

[Petr Šobáň]

Pokud je ten firewall na tom stroji kde běží služby (httpd, ftpd atd....) tak tě pravidla v FORWARD nezajímají, ale zajímají tě INPUT pravidla.

[Petr Šobáň]

Ještě mě napadlo pokud je to jiný stroj máš přepsané názvy v DNS ? Máš přepsané názvy v konfiguraci httpd a pod.... pokud je v konfiguráku používáš ?

Ping na ty stroje funguje ? Máš nastavené správné routování zda ten požadavek není poslán jinam?

[fife]

pingy jedou spravne aj ven a na lokaly. resolv je samozrejme prepsany. web sa nacte korekne, akorat pokuto chce tahat z externiho zdroje tak nula bodu...

routovani doufam taky. odkazuje sa to na gw - router

[fife]

nene to je jiny stroj na routry mam

 

#ROUTER

iptables -A INPUT -p all -s localhost -j ACCEPT

iptables -A INPUT -p icmp -d X.X.X.X -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED --j ACCEPT

[Filip Jirsák]

Máte správně firewall pro oba směry? Pokud nepoužíváte pravidlo related/established, potřebujete povolit pro TCP spojení pakety v obou směrech, tj. pokud máte povoleno cíl 1.2.3.4:80, potřebujete povolit také zdroj 1.2.3.4:80 atd.

[fife]

TAKTO TO JE:

 

#Vymazani FRONT
iptables -F INPUT
iptables -F FORWARD
iptables -F OUTPUT

#DEFAULT POLICY
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

#ROUTER
iptables -A INPUT -p all -s localhost -j ACCEPT
iptables -A INPUT -p icmp -d X.X.X.X -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED --j ACCEPT

#smer ven
iptables -A FORWARD -p all -s X.X.X.X/aa -j ACCEPT  #primar

#ICMP to X.X.X.X/aa
iptables -A FORWARD -p icmp -d X.X.X.X/aa -j ACCEPT
iptables -A FORWARD -p icmp -s X.X.X.X/aa -j ACCEPT

#webstroj

iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  80 -j ACCEPT #http
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  8080 -j ACCEPT #http
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  443 -j ACCEPT #https
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  21 -j ACCEPT  #ftp
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  20 -j ACCEPT   #ftp
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  3306 -j ACCEPT   #mysql

[Petr Šobáň]

Chybí vám: iptables -A FORWARD -m state --state ESTABLISHED,RELATED --j ACCEPT jak jinak má projít navázaná komunikace přes FORWARD ?

Pravidlem iptables -A FORWARD -p icmp -s X.X.X.X/aa -j ACCEPT sice navážete spojení ven, ale už nic nepřijmete pokud to nepřijde na port co máte v pravidlech

iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  80 -j ACCEPT #http
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  8080 -j ACCEPT #http
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  443 -j ACCEPT #https
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  21 -j ACCEPT  #ftp
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  20 -j ACCEPT   #ftp
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  3306 -j ACCEPT   #mysql

[Petr Šobáň]

Grrr chybička se vloudila:

Místo: iptables -A FORWARD -p icmp -s X.X.X.X/aa -j ACCEPT

Má být: iptables -A FORWARD -p all -s X.X.X.X/aa -j ACCEPT #primar

[fife]

to tak to prve jelo, ale kdyz sem teda udelal toto:

"Grrr chybička se vloudila:

Místo: iptables -A FORWARD -p icmp -s X.X.X.X/aa -j ACCEPT

Má být: iptables -A FORWARD -p all -s X.X.X.X/aa -j ACCEPT #primar"

tak to zase nejelo

[Petr Šobáň]

Asi jsi mě nepochopil přesně ta chybička byla v mém příspěvku, takže správně by to mělo vypadat takhle:

#Vymazani FRONT
iptables -F INPUT
iptables -F FORWARD
iptables -F OUTPUT

#DEFAULT POLICY
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

#ROUTER
iptables -A INPUT -p all -s localhost -j ACCEPT
iptables -A INPUT -p icmp -d X.X.X.X -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED --j ACCEPT

#smer ven
iptables -A FORWARD -p all -s X.X.X.X/aa -j ACCEPT  #primar

#ICMP to X.X.X.X/aa
iptables -A FORWARD -p icmp -d X.X.X.X/aa -j ACCEPT
iptables -A FORWARD -p icmp -s X.X.X.X/aa -j ACCEPT

#webstroj

iptables -A FORWARD -m state --state ESTABLISHED,RELATED --j ACCEPT
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  80 -j ACCEPT #http
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  8080 -j ACCEPT #http
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  443 -j ACCEPT #https
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  21 -j ACCEPT  #ftp
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  20 -j ACCEPT   #ftp
iptables -A FORWARD -p tcp -d 1.2.3.4 --dport  3306 -j ACCEPT   #mysql

[Michal Kubeček]

IMHO by bylo jednodušší (a čistší) místo

  iptables -A INPUT -p all -s localhost -j ACCEPT

použít raději

  iptables -A INPUT -i lo -j ACCEPT

U pravidel v řetězci FORWARD bych také doporučil doplnit podmínky -i a -o, kdyby nikde jinde, tak určitě u

  iptables -A FORWARD -p all -s X.X.X.X/aa -j ACCEPT  #primar