Как открыть udp port

[Leeke]

Добрый день.  У меня настроена локальная сеть (eth1 смотрит в локалку и eth0 в интерент через dsl) и раздача интернета через squid.  Все хорошо и работает.
Но нужно на Win машине настроить выход клиенту одной программы в интернет. Выходит в инет она через vpn соединение и просит открыть для этого port 1701.
Я так понял что настроить нужно iptables, чем я раньше не занимался (собсно с линуксом работаю только месяц).
Создаю файл где будут хранится настройки iptables.conf, в файле /etc/rc.local пишу iptables-restore < /etc/iptables.conf (прочитал где-то в соседней статье)(запуск настроек iptables из моего файла)
Далее настраиваю iptables и сохраняю правила. Но клиент все равно не может выйти в инет (говорит что port 1701 закрыт).

Вот iptables-save

# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*filter
:INPUT ACCEPT [31032:19428345]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [31630:18996113]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p udp -m udp --dport 1701 -j ACCEPT
COMMIT
# Completed on Mon Feb 14 19:26:32 2011
# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*nat
:PREROUTING ACCEPT [1472:389569]
:OUTPUT ACCEPT [1175:71121]
:POSTROUTING ACCEPT [1173:70866]
-A PREROUTING -i eth1 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128
-A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j SNAT --to-source 192.168.0.2
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT
# Completed on Mon Feb 14 19:26:32 2011
# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*mangle
:PREROUTING ACCEPT [32176:19791257]
:INPUT ACCEPT [31032:19428345]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [31630:18996113]
:POSTROUTING ACCEPT [31633:18996779]
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:65495 -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Mon Feb 14 19:26:32 2011


 У меня скоро крыша поедет от этого iptables     

[Unreg]

cat /etc/resolv.conf
cat /etc/network/interfaces
sudo netstat -lpan --inet
ip r
netstat -rn
ip a
/sbin/ifconfig

на самом деле как то так должно быть

sudo modprobe nf_conntrack_proto_gre

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*filter
:INPUT DROP [31032:19428345]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [31630:18996113]
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -i ! lo -m addrtype --src-type LOCAL -j DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A INPUT -i ppp0 -p icmp -j ACCEPT
-A INPUT -i eth1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED,DNAT -j ACCEPT
-A FORWARD -i eth1 -p udp -m multiport --dports 1701,53 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth1 -p tcp -m multiport --dports 443,1701 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth1 -p gre -j ACCEPT
-A FORWARD -i eth1 -p icmp -j ACCEPT
COMMIT
# Completed on Mon Feb 14 19:26:32 2011
# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*nat
:PREROUTING ACCEPT [1472:389569]
:OUTPUT ACCEPT [1175:71121]
:POSTROUTING ACCEPT [1173:70866]
-A PREROUTING -i eth1 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128
-A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
# Completed on Mon Feb 14 19:26:32 2011
# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*mangle
:PREROUTING ACCEPT [32176:19791257]
:INPUT ACCEPT [31032:19428345]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [31630:18996113]
:POSTROUTING ACCEPT [31633:18996779]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Mon Feb 14 19:26:32 2011

Пользователь решил продолжить мысль 14 Февраля 2011, 16:57:54:навсидку

[xeon_greg]

у вас какая-то чепуха в iptables, зачем вам squid вообще? раздаваййте инет средствами нат.
Пользователь решил продолжить мысль 14 Февраля 2011, 17:13:45:и поясните назначение этих правил при политиках ACCEPT в цепочках, чего вы пытались этим добиться ?

FORWARD ACCEPT [0:0]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p udp -m udp --dport 1701 -j ACCEPT

у вас вообще форвардинг включен ? потому что из того что видно по  цепочке FORWARD пакеты не проходят вообще

FORWARD ACCEPT [0:0]
-A FORWARD -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:65495 -j TCPMSS --clamp-mss-to-pmtu

из этих 2 правил уже выберетите какое-то одно

-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j SNAT --to-source 192.168.0.2

а вот назначение этого?

-A POSTROUTING -o eth1 -j MASQUERADE

[Unreg]

да и /sbin/sysctl net.ipv4.ip_forward

[Leeke]

сам понимаю что все как-то не правильно (иначе бы все работало).

squid нужен для фильтрации.
правила вводил только через консоль.  
(цетирую wikipediю)
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT # Разрешаем проходить пакетам по уже установленным соединениям

iptables -A FORWARD -p udp -m udp --dport 1701 -j ACCEPT    - ну а это уже пытался открыть порт 1701

Как включить форвардинг??

 -A POSTROUTING -o eth1 -j MASQUERADE   это  -A POSTROUTING -o eth0 -j MASQUERADE только написанный с ошибкой.. забыл поправить видимо  


Unreg, я знаю все это не очень хорошо ( я бы сказал даже очень плохо), прокоментируйте пожалуйста свои записи:
cat /etc/resolv.conf
cat /etc/network/interfaces
sudo netstat -lpan --inet
ip r
netstat -rn
ip a
/sbin/ifconfig

ввожу в консоль
sysctl net.ipv4.ip_forward
получаю ответ
net.ipv4.ip_forward = 1
насколько я понимаю forward включен

[AnrDaemon]

ввожу в консоль
sysctl net.ipv4.ip_forward
получаю ответ
net.ipv4.ip_forward = 1
насколько я понимаю forward включен

Не гадай. Копируй сюда результаты всех команд.

[Leeke]

Ну я не гадаю. (смотрю в гоогл ) Все что ввел и получил я написал.  
Вообщем читаю http://ru.wikipedia.org/wiki/Iptables#.D0.A2.D0.B0.D0.B1.D0.BB.D0.B8.D1.86.D0.B0_nat

[Unreg]

 resolv.conf - resolver configuration file
 /etc/network/interfaces  - network interface configuration for ifup and ifdown
 ip - show / manipulate routing, devices, policy routing and tunnels
 netstat  - Print network connections, routing tables, interface statistics, masquerade connections, and multicast memberships
 ifconfig - configure a network interface

[Leeke]

-A INPUT -i eth0 -p udp -m udp --sport 67 --dport 68 -j ACCEPT     объясните мне пожалуйста эту строку 

[xeon_greg]

все что ломится через интерфейс eth0 с порта 67 на порт 68 -  пропустить. дак доступно ?

[Unreg]

разрешить работу DHCP клиента на интерфейсе eth0

[Leeke]

спс за пояснения..
становися немного понятнее)))

поставил себе все настройки которые дал Unreg, но все равно клиент не соединяется

cat /etc/resolv.conf
nameserver 195.112.224.126
nameserver 195.112.224.75

cat /etc/network/interfaces
auto lo
iface lo inet loopback

#сетка
auto eth1
iface eth1 inet static
address 192.168.0.2
netmask 255.255.255.0
broadcast 192.168.0.255

#интернет
auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth0 up # line maintained by pppoeconf
provider dsl-provider

auto eth0
iface eth0 inet manual

netstat -lpan --inet

(Нажмите, чтобы показать/скрыть)

Proto Recv-Q Send-Q Local Address Foreign Address State       PID/Program name
tcp        0      0 0.0.0.0:139             0.0.0.0:*               LISTEN      805/smbd       
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN      1085/dnsmasq   
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      904/cupsd       
tcp        0      0 192.168.0.2:3128        0.0.0.0:*               LISTEN      1342/(squid)   
tcp        0      0 0.0.0.0:445             0.0.0.0:*               LISTEN      805/smbd       
tcp        0      0 95.188.84.95:41462      74.125.232.25:80        ESTABLISHED 1342/(squid)   
tcp        0      0 95.188.84.95:34896      212.76.137.250:80       ESTABLISHED 1342/(squid)   
tcp        0      0 192.168.0.2:3128        192.168.0.6:3469        ESTABLISHED 1342/(squid)   
tcp        0      0 95.188.84.95:34118      88.212.196.105:80       TIME_WAIT   -               
tcp        0      0 95.188.84.95:43840      195.216.243.33:80       ESTABLISHED 1342/(squid)   
tcp        0      0 95.188.84.95:35031      84.22.159.202:8000      ESTABLISHED 1342/(squid)   
tcp        0      0 192.168.0.2:3128        192.168.0.5:52113       ESTABLISHED 1342/(squid)   
tcp        0      0 192.168.0.2:3128        192.168.0.4:45444       CLOSE_WAIT  1342/(squid)   
tcp        0      0 192.168.0.2:3128        192.168.0.6:3493        TIME_WAIT   -               
tcp        0      0 192.168.0.2:3128        192.168.0.6:3444        ESTABLISHED 1342/(squid)   
tcp        0      0 95.188.84.95:60553      212.24.38.188:80        ESTABLISHED 1342/(squid)   
tcp        0      0 192.168.0.2:3128        192.168.0.5:52116       ESTABLISHED 1342/(squid)   
tcp        0      0 192.168.0.2:3128        192.168.0.5:52112       TIME_WAIT   -               
udp        0      0 0.0.0.0:53              0.0.0.0:*                           1085/dnsmasq   
udp        0      0 0.0.0.0:3130            0.0.0.0:*                           1342/(squid)   
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           867/avahi-daemon: r
udp        0      0 0.0.0.0:50475           0.0.0.0:*                           867/avahi-daemon: r
udp        0      0 0.0.0.0:35603           0.0.0.0:*                           1342/(squid)   

ip r
213.228.116.39 dev ppp0  proto kernel  scope link  src 95.188.84.95
192.168.0.0/24 dev eth1  proto kernel  scope link  src 192.168.0.2
169.254.0.0/16 dev eth1  scope link  metric 1000
default dev ppp0  scope link

netstat -rn
Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags MSS Window irtt Iface
213.228.116.39  0.0.0.0         255.255.255.255 UH        0 0          0 ppp0
192.168.0.0     0.0.0.0         255.255.255.0   U         0 0          0 eth1
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 eth1
0.0.0.0         0.0.0.0         0.0.0.0         U         0 0          0 ppp0

ip a

(Нажмите, чтобы показать/скрыть)

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 1000
    link/ether 00:c0:26:68:32:d1 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::2c0:26ff:fe68:32d1/64 scope link
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 1000
    link/ether 00:19:21:87:d6:c5 brd ff:ff:ff:ff:ff:ff
    inet 192.168.0.2/24 brd 192.168.0.255 scope global eth1
    inet6 fe80::219:21ff:fe87:d6c5/64 scope link
       valid_lft forever preferred_lft forever
4: ppp0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1492 qdisc pfifo_fast state UNKNOWN qlen 3
    link/ppp
    inet 95.188.84.95 peer 213.228.116.39/32 scope global ppp0

ifconfig

(Нажмите, чтобы показать/скрыть)

eth0      Link encap:Ethernet  HWaddr 00:c0:26:68:32:d1 
          inet6 addr: fe80::2c0:26ff:fe68:32d1/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:36922 errors:0 dropped:0 overruns:0 frame:0
          TX packets:37708 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:46636302 (46.6 MB)  TX bytes:4644019 (4.6 MB)
          Interrupt:18 Base address:0xe800

eth1      Link encap:Ethernet  HWaddr 00:19:21:87:d6:c5 
          inet addr:192.168.0.2  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: fe80::219:21ff:fe87:d6c5/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:30653 errors:0 dropped:0 overruns:0 frame:0
          TX packets:37451 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:3783221 (3.7 MB)  TX bytes:45996079 (45.9 MB)
          Interrupt:20 Base address:0xe400

lo        Link encap:Локальная петля (Loopback) 
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:28 errors:0 dropped:0 overruns:0 frame:0
          TX packets:28 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:1680 (1.6 KB)  TX bytes:1680 (1.6 KB)

ppp0      Link encap:Протокол PPP (Point-to-Point Protocol) 
          inet addr:95.188.84.95  P-t-P:213.228.116.39  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1492  Metric:1
          RX packets:36723 errors:0 dropped:0 overruns:0 frame:0
          TX packets:37616 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:45816376 (45.8 MB)  TX bytes:3809427 (3.8 MB)

[Unreg]

тип VPN?

[Leeke]

клиент соединяется по "минипорт wan (pptp)"
Пользователь решил продолжить мысль 16 Февраля 2011, 14:25:13:Появилась такая мысль.. если я поставлю все цепочки на ACCEPT, то и нужный мне порт тоже будет открыт???

[Unreg]

# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*filter
:INPUT DROP [31032:19428345]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [31630:18996113]
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -i ! lo -m addrtype --src-type LOCAL -j DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A INPUT -i ppp0 -p icmp -j ACCEPT
-A INPUT -i eth1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED,DNAT -j ACCEPT
-A FORWARD -i eth1 -s 192.168.0.0/24 -p udp -m multiport --dports 1701,53 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth1 -s 192.168.0.0/24 -p tcp -m multiport --dports 443,1701,1723 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth1 -s 192.168.0.0/24 -p gre -j ACCEPT
-A FORWARD -i eth1 -s 192.168.0.0/24 -p icmp -j ACCEPT
COMMIT
# Completed on Mon Feb 14 19:26:32 2011
# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*nat
:PREROUTING ACCEPT [1472:389569]
:OUTPUT ACCEPT [1175:71121]
:POSTROUTING ACCEPT [1173:70866]
-A PREROUTING -i eth1 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128
-A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE
COMMIT
# Completed on Mon Feb 14 19:26:32 2011
# Generated by iptables-save v1.4.4 on Mon Feb 14 19:26:32 2011
*mangle
:PREROUTING ACCEPT [32176:19791257]
:INPUT ACCEPT [31032:19428345]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [31630:18996113]
:POSTROUTING ACCEPT [31633:18996779]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Mon Feb 14 19:26:32 2011

пробуйте

потом sudo iptables -vnL ; sudo iptables -vnL -t nat
под спойлер после попытки соединения pptp клиента