Portál AbcLinuxu, 12. března 2026 01:21


Dotaz: iptables a traceroute

20.11.2003 22:58 Marek
iptables a traceroute
Přečteno: 356×
Odpovědět | Admin
mam problemek s traceroute na mem FW, ping jede normalne ale tracerout ani tuk (smerem ven je vse ok), ve fw mam:

vsechny pakety -A INPUT -i ifac -j DROP

plus povolene sluzby... a:

-A INPUT -i wlan1 -p ICMP -m icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

-A INPUT -i wlan1 -p ICMP -m icmp --icmp-type destination-unreachable -m limit --limit 1/s -j ACCEPT

-A INPUT -i wlan1 -p ICMP -m icmp --icmp-type Echo-reply -m limit --limit 1/s -j ACCEPT

-A INPUT -i wlan1 -p ICMP -m icmp --icmp-type Time-exceeded -m limit --limit 1/s -j ACCEPT

Neni potreba specialne pro "traceroute" neco povolit.. nic jsem nenasel. Akorat jsem nasel cislo portu v souboru service, ale po zadani do INPUT udp i tcp na ACCEPT to stejne nefunguje :-(
Nástroje: Začni sledovat (0) ?Zašle upozornění na váš email při vložení nového komentáře.

Odpovědi

21.11.2003 10:33 ivok
Rozbalit Rozbalit vše iptables a traceroute
Odpovědět | | Sbalit | Link | Blokovat | Admin
"Port unreachable" vám tam chybí ... Když se dostanete na ten koncový stroj, dostanete tohle - doufám :-)
21.11.2003 10:36 atrey
Rozbalit Rozbalit vše iptables a traceroute
Odpovědět | | Sbalit | Link | Blokovat | Admin
nejde ti tracenut nieco do internetu alebo z netu tvoj FW predpokladam ze to druhe. skus nastavit vsetky policy na ACCEPT ak ty to nepojde ani potom moze byt problem na FW tvojho providra napryklad ze neprepusta syn pakety?
21.11.2003 11:10 BoodOk
Rozbalit Rozbalit vše iptables a traceroute
Odpovědět | | Sbalit | Link | Blokovat | Admin
$ man traceroute
-I Use ICMP ECHO instead of UDP datagrams.

Traceroute na linuxu je standardne na UDP, na Windows ICMP. Taky uz jsem se na tom spalil.
22.11.2003 12:49 Marek
Rozbalit Rozbalit vše iptables a traceroute
koukal jsem na to i do service - je tam i UDP, ale bohuzel nevim jakym stylem mu to vnutit..(povolit) zkousel jsem misto ICMP dat UDP, ale to je samozrejme nesmysl.. take sem si to hned potvrdil: Unknown arg `--udp-type' jak by tedy melo vypadat povoleni UDP pro traceroute ? zkousel jsem: -A INPUT -i wlan1 -p udp -m udp --dport traceroute -j ACCEPT zkousel jsem i porty ktere jsem odposlechl 1050-10..neco - po kazdem pokusu je navic meni :-( ale porad nic.. :-(
22.11.2003 13:21 unchallenger | skóre: 69 | blog: unchallenger
Rozbalit Rozbalit vše iptables a traceroute
To máš nějaké divné traceroute... Standardně posílá packet na porty od 33434 výš (na každý další počítač v cestě na o jedničku vyšší, aby se mu to nepletlo). Takže musíš povolit příchozí pakety na rozsah 33434-něco. Tedy nemusíš. Stačí jen, když nebudeš všechno paranoidně zahazovat a budeš s nějakým rozumým rate-limit vracet na UDP pakety na nepovolené porty port-unrechable, pak už to bude fungovat samo... (totéž ostatně doporučuji i na TCP, jinak si člověk počeká na různé timeouty...).
25.11.2003 18:32 Jezevec
Rozbalit Rozbalit vše iptables a traceroute
Odpovědět | | Sbalit | Link | Blokovat | Admin
Testni povolit na INPUTu state RELATED,ESTABLISHED, jinak ti nebude fungovat temer nic (povolis tim prijem odpovedi na svoje pozadavky). Me kazopadne traceroute funguje (jak win, tak lin) a pro ICMP mam povoleno to co ty.
25.11.2003 19:49 Marek
Rozbalit Rozbalit vše iptables a traceroute
To samozrejme mam povoleno :-( -A INPUT -d 195.47.xxx.xx -m state --state ESTABLISHED,RELATED -j ACCEPT
25.11.2003 23:59 unchallenger | skóre: 69 | blog: unchallenger
Rozbalit Rozbalit vše iptables a traceroute
Já se nerad opakuji, ale když tvůj počítač na ten UDP paket od traceroute nevrátí destination-unereachable, tak holt traceroute fungovat nebude. Nevěříš-li, shoď fw, nahoď ethereal a podívej se...

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.