Dotaz: iptables fungují, ip6tables nefungují

[Thomas123]

Dobrý den,

mám tyto pravidla:

iptables -N SSH_CHECK
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j SSH_CHECK
iptables -A SSH_CHECK -m recent --set --name SSH
iptables -A SSH_CHECK -m recent --update --seconds 60 --hitcount 2 --name SSH -j DROP

Ovšem tyto pravidla již nejdou:

ip6tables -A SSH_CHECK -m recent --set --name SSH
ip6tables -A SSH_CHECK -m recent --update --seconds 60 --hitcount 2 --name SSH -j DROP

Hlásí to "ip6tables: No chain/target/match by that name."

Kde mám hledat problém, myslel jsem si, že pravidla pro ip6tables jsou velmi podobná iptables?

Odpovědi

[Petr Šobáň]

A nebude třeba udělat i

iptables -N SSH_CHECK
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j SSH_CHECK

Pro ipv6?

ip6tables -N SSH_CHECK
ip6tables -A INPUT -p tcp --dport 22 -m state --state NEW -j SSH_CHECK

[Thomas123]

Asi jsem se špatně vyjádřil, to jsem samozřejmě udělal a Lenny mi hází stále tu chybu výše (upgradoval jsem dokonce i iptables ze Squezziho do Lennyho).

Pokud ti to funguje a nevyhazuje to žádnou chybu, tak mi prosím pošli číslo verze iptables, jakou používáš.

[Sten]

ip6tables nemají rozšíření recent. Viz manuálová stránka.

[Thomas123]

Prosím, pokud to jde, aby byl tento komentář "odznačen" za řešení, jelikož to tak není. Přináší spíše více otázek. Nyní jsem to zkoušel na svém počítači s Ubuntu 10.04 a normálně to skrz ip6tables vše projde bez chyby, takže si nejsem nepřítomností recent v ip6tables jistý:

desktop@desktop:~$ sudo ip6tables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
desktop@desktop:~$ sudo ip6tables -N SSH_CHECK
desktop@desktop:~$ sudo ip6tables -A INPUT -p tcp --dport 22 -m state --state NEW -j SSH_CHECK
desktop@desktop:~$ sudo ip6tables -A SSH_CHECK -m recent --set --name SSH
desktop@desktop:~$ sudo ip6tables -A SSH_CHECK -m recent --update --seconds 60 --hitcount 2 --name SSH -j DROP
desktop@desktop:~$ sudo ip6tables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
SSH_CHECK  tcp      anywhere             anywhere            tcp dpt:ssh state NEW 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain SSH_CHECK (1 references)
target     prot opt source               destination         
           all      anywhere             anywhere            recent: SET name: SSH side: source 
DROP       all      anywhere             anywhere            recent: UPDATE seconds: 60 hit_count: 2 name: SSH side: source 
desktop@desktop:~$ sudo ip6tables
ip6tables v1.4.4: no command specified
Try `ip6tables -h' or 'ip6tables --help' for more information.
desktop@desktop:~$

Smím tedy vědět, pokud není rozšíření v ip6tables dostupné, proč mi to funguje na desktopu? Na serveru mi to nejede ani s touto verzí iptables ani s verzí 1.4.8 ani s výchozí Debian Lenny.

[petr_p]

Mají unifikované rozhraní pro xt_recent již dva roky. ip6tables(6) z 1.4.10 target recent popisují zcela standardně.

[Thomas123]

Takže, pomalu zjišťuji, že to zřejmě nebude verzí iptables (samozřejmě musím mít itables ze Squezzeho, protože v Lennym je s "recent" bug). Zkoušel jsem nahodit 1.4.2 (Lenny - bug), 1.4.4 (Squeeze - nefunguje), 1.4.8 (Lucid - nefunguje) a 1.4.10 (Sid - nefunguje). Přičemž na mém Ubuntu 10.04 vše funguje v pohodě. Myslíte si, že by mohl být problém v libc6? Nebo co napadá zdejší profíky?

[Thomas123]

Prosím, poraďte mi, jak to dát dokupy ...

Teď jsem zkoušel zkompilovat iptables 1.4.3.2 (první verze, kde byl xt_recent. Také to nefunguje. Problém tedy asi nebude v iptables, ale někde jinde. Co s tím? Upgradovat na Squezze se mi nechce, není to ještě stable verze ...

Případně, zda někdo nevíte, jak ty pravidla výše přepsat tak, aby fungovaly i bez recent.

[NN]

Vyres si security na SSH jinak, nez ze ho pustis ven a pak se ho snazis vsemozne omezovat..

NN

[Thomas123]

Poraď jak.

Mám nasazený fail2ban, ten ovšem nebere ipv6. Snažil jsem se tady na poradně přidat podporu pro ipv6 do fail2ban, nakonec po experimentování (jsem phpéčkář a python jsem skoro neviděl) jsem docílil mizerné funkčnosti a nikdo se zde neozval.

Prosím tedy o radu, jak vyřešit bezpečnost nejen SSH přes IPv6?

[petr_p]

Předpokládám, že řetěz SSH_CHECK máte v IPv6 tabulkách vytvořen. Protože to jinak hází přesně tuto hlášku. Dále že máte dost moderní jádro, které má (a zavedený) modul xt_recent a kde xt_recent IPv6 podporuje (podpora přidána commitem z 8. 10. 2008).