Dotaz: Problém s argumentem --sport

[Petr]

Ahoj,

potřeboval bych poradit... v linuxu se v podstatě nevyznám, ale potřebuji vyřešit jeden problém... otevřít uplnou obousměrnou komunikaci pro porty 20 a 21. Na netu jsem našel co bych měl do skriptu pro iptables zadat.. několik řádků.. zde je jeden z nich...

iptables -A INPUT -p tcp -s 0/0 --sport 1024:65535 -d 202.54.1.20 --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT

ta ip adresa je dejme tomu veřejná IP.

Problém je, že když ten skript s těmito řádku chci aktivovat přes iptables-restore, tak mi iptables vyhazuje chybu že argument --sport je chybný.

Zkoušel jsem použít i --souce-port ... a je to stejné.

Nikde jsem nenašel řešení toho problému,tak to zkouším tady...

iptables mám 1.2.6a.

Díky za pomoc

Odpovědi

[rastos]

--sport 1024:65535 povolí takmer všetky source-porty. Ak je to to, čo chceš urobiť, tak ho prakticky môžeš vynechať.

Každopádne by bolo ale vhodné rozumieť tomu, čo robí príkaz, ktorý sa chystáš použiť. Ja viem, že to je komplikované. Možno by bolo vhodné použiť nejakú GUI nadstavbu obvyklú v tvojej distribúcii.

[Filip Jirsák]

Problém je, že když ten skript s těmito řádku chci aktivovat přes iptables-restore, tak mi iptables vyhazuje chybu že argument --sport je chybný.

Co tím myslíte? Ten uvedený příkaz

iptables -A INPUT -p tcp -s 0/0 --sport 1024:65535 -d 202.54.1.20 --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT

volá utilitu iptables, která přímo změní příslušné tabulky v jádru.

[miro]

A co přesně iptables-restore vypisuje? A když to pravidlo vypustíte, tak si stěžovat přestane?

[Petr Šobáň]

Nějak nechápu smysl tohoto pravidla.

Co si něco o firewallu nastudovat.

Seriál Stavíme firewall

Jinak co třeba:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT

[bambas]

Presne tak, u iptables je vhodne pouzit pravidlo Vsechno zakazat a pak postupne povolovat, nez mit vsechno povoleno a pak postupne zakazovat. Je to jednodussi na prehled i pochopeni jak iptables funguje.