[РЕШЕНО] iptables: действие по стуку на порт

[dimas000]

а может и не iptables? читал всякие инструкции про iptables, с закрытием всего и вся понятно, а вот есть такой вопрос: нужно чтобы по входящему соединению на заданный порт выполнялось заданное действие. допустим, идет входящее с 192.168.0.100 (с ноута на сервачок) на порт 9701 - выполняется shutdown. на 9702 - eject -s /dev/sda, ну и так далее. думаю, суть ясна. под столом шуршит сервачок, к коему кроме питания и сети ничего не подтыкнуто. объяснять маме про ssh - не лучший вариант, да и самому удобней (к примеру, можно собрать очень маленький линукс, в котором ничего толком не будет кроме elinks'а с открытой страничкой а-ля веб-интерфейс - быстренько включил ноут, грузанул сие чудо и жмакнул что надо)
под это дело сваяю хтмл-страничку со ссылками, пущай стучит браузером на порты.
надеясь, суть ясна...

[xionod]

поищи в гугле port knocking

[Karl500]

Только не ставьте эти действия на простой стук на порт - при скане портов результат будет предсказуемым ))) Используйте последовательности.

[Mam(O)n]

допустим, идет входящее с 192.168.0.100 (с ноута на сервачок) на порт 9701 - выполняется shutdown. на 9702 - eject -s /dev/sda, ну и так далее.

xinetd в помощь. Но я бы на твоём месте лучше поднял простенький, легковесный http сервер, а ля busybox_httpd, и накатил бы на него парочку нужных cgi скриптов на баше и html пагу с кнопками.

[dimas000]

поищи в гугле port knocking

почитал, ужаснулся. но убедися в правильности своей мысли: iptables пишет о событии в лог, а некий зацикленный скрипт периодически смотрит логи на предмет нужных записей.... в общем, почитав wiki.debian.org/iptables и применив фантазию, сваял себе конфигурацию. имеет место файлик с правилами для iptables /etc/ipt.watch:

Код: [Выделить]

*filter
-A INPUT -p tcp --dport 9701 --source 192.168.0.101 -j LOG
-A INPUT -p tcp --dport 9701 -j REJECT
-A INPUT -p tcp --dport 9702 --source 192.168.0.101 -j LOG
-A INPUT -p tcp --dport 9702 -j REJECT
-A INPUT -p tcp --dport 9703 --source 192.168.0.101 -j LOG
-A INPUT -p tcp --dport 9703 -j REJECT
-A INPUT -p tcp --dport 9704 --source 192.168.0.101 -j LOG
-A INPUT -p tcp --dport 9704 -j REJECT
-A INPUT -p tcp --dport 9705 --source 192.168.0.101 -j LOG
-A INPUT -p tcp --dport 9705 -j REJECT
-A INPUT -p tcp --dport 9706 --source 192.168.0.101 -j LOG
-A INPUT -p tcp --dport 9706 -j REJECT
-A INPUT -p tcp --dport 9707 --source 192.168.0.101 -j LOG
-A INPUT -p tcp --dport 9707 -j REJECT
-A INPUT -p tcp --dport 9708 --source 192.168.0.101 -j LOG
-A INPUT -p tcp --dport 9708 -j REJECT
COMMITи вот такой немыслимо сложный скрипт:

Код: [Выделить]

#!/bin/bash
iptables-restore < /etc/ipt.watch
while true; do
str="$(dmesg | grep 'DPT=970[1-9]' | tail -n 1)"
if [ -n "$str" ] ; then
sec=`echo "$str" | grep -Eo '\[\ *[0-9]*.[0-9]{6}\]' | sed 's/\[//g;s/\.[0-9]*\]//g'`
dpt=`echo "$str" | grep -o "DPT=970[1-9]" | sed 's/DPT=//g'`
up=`cat /proc/uptime | cut -d " " -f 1 | cut -d "." -f 1`
#echo "sec: $sec; up: $up; dpt: $dpt"
if [ $[${up}-${sec}] -lt 3 ] ; then
case $dpt in
9701) /sbin/poweroff ;;
9702) /sbin/reboot ;;
9703) killall -s9 screen ; umount /dev/sda1 ;;
9704) killall -s9 screen ; eject -s /dev/sda ;;
9705) echo "null" ;;
9706) echo "null" ;;
9707) echo "null"
esac # $dpt in ...
fi # less than 3 secs ago
fi # -n $str
sleep 3
done # while trueЪскрипт помещается в /etc/network/if-pre-up.d
все работает, однако! действие в iptables ставится reject, а не drop, ибо если поставить дроп, браузер будет ломиться на адрес бесконечно долго, вызывая повтор прописанных действий. если у кого есть идеи лучше - готов выслушать.

Только не ставьте эти действия на простой стук на порт - при скане портов результат будет предсказуемым ))) Используйте последовательности.

а на кой их сканить? у машинки серый ип, извне не очень-то поломишься. а мне со стола сканить порты - зачем?

[AnrDaemon]

Неправильно прочитал...
Всё это решается вообще без скриптов, чистым нетфильтром.
Только я что-то ссылку посеял...

[Mam(O)n]

Почти тоже самое, но через xinetd:

(Нажмите, чтобы показать/скрыть)

Код: (/etc/xinet.d/myservices) [Выделить]

service poweroff
{
        port                    = 9701
        protocol                = tcp
        wait                    = no
        type                    = unlisted
        user                    = root
        server                  = /sbin/poweroff
}

service reboot
{
        port                    = 9702
        protocol                = tcp
        wait                    = no
        type                    = unlisted
        user                    = root
        server                  = /sbin/reboot
}

service killscreen
{
        port                    = 9703
        protocol                = tcp
        wait                    = no
        type                    = unlisted
        user                    = root
        server                  = /usr/bin/killall
        server_args             = -s9 screen
}

service umount
{
        port                    = 9704
        protocol                = tcp
        wait                    = no
        type                    = unlisted
        user                    = root
        server                  = /bin/umount
        server_args             = /dev/sda1
}

service eject
{
        port                    = 9705
        protocol                = tcp
        wait                    = no
        type                    = unlisted
        user                    = root
        server                  = /usr/bin/eject
        server_args             = -s /dev/sr0
}




[dimas000]

Почти тоже самое, но через xinetd:

да, так уже лучше... и само работает в виде демона, а не через ж... while true..sleep
и сразу вопросы: задается ли конкретный ip источника, или это надо уже через иптаблес, и задается ли ответ на пакеты (drop/reject).
маленькая поправочка к моему варианту:

Код: [Выделить]

up=`cat /proc/uptime | cut -d " " -f 1 | cut -d "." -f 1`на

Код: [Выделить]

up=`cat /proc/uptime | cut -d "." -f 1`ибо глупо

[Mam(O)n]

и сразу вопросы: задается ли конкретный ip источника, или это надо уже через иптаблес, и задается ли ответ на пакеты (drop/reject).

Ага, фильтрация через iptables.

и задается ли ответ на пакеты (drop/reject).

Соединяется stdin/stdout процесса с сокетом.
Пользователь решил продолжить мысль 12 Мая 2010, 13:38:57:Еще есть небольшое неудобство в xinetd, с которым я столкнулся. Не возможно задать единый аргумент в значении которого есть пробелы. Т.е не сработает такой финт:

        server  = /bin/bash
        server_args = -c "ping -c1 ya.ru >/dev/null 2>&1 && echo OK || echo FAIL"

Если проще говоря, кавычки там в любом виде не прокатывают. Нужно выносить данные выражения в отдельный скрипт..

[xionod]

зачем через xinetd, есть же knockd

[Mam(O)n]

зачем через xinetd, есть же knockd

Тоже хороший вариант, только что результат выполнения команды не приплывёт в ответ.