проблема с IPTABLES

[shaulyn]

создаю файл iptables_start с таким набором правил

Код: [Выделить]

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp -d 192.168.17.145 --dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --sport 80 -j ACCEPT

по идеее закрыты все порты кроме 80 ...но интернета нет...страницы не открываюца..и так с любым портои...куда копать не знаю(

[Mam(O)n]

dns забыл.
Пользователь решил продолжить мысль 02 Декабря 2009, 12:23:10:Также не помешает разрешить icmp. И всё для интерфейса lo.

[shaulyn]

tcp 53 порт? а как к все к lo открыть?

Код: [Выделить]

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp -d 192.168.17.145 --dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --sport 80 -j ACCEPT

iptables -A INPUT -p tcp -d 192.168.17.145 --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --sport 53 -j ACCEPT

также не помогает..странички не открываются

[Mam(O)n]

Днс еще и udp любит. И с направлениями sport и dport попутался. Вот работает:

Код: [Выделить]

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp -d 172.16.1.3 --sport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -s 172.16.1.3 --dport 80 -j ACCEPT

iptables -A INPUT -p tcp -d 172.16.1.3 --sport 53 -j ACCEPT
iptables -A INPUT -p udp -d 172.16.1.3 --sport 53 -j ACCEPT
iptables -A OUTPUT -p tcp -s 172.16.1.3 --dport 53 -j ACCEPT
iptables -A OUTPUT -p udp -s 172.16.1.3 --dport 53 -j ACCEPT

iptables -A INPUT -i lo -o lo -j ACCEPT
iptables -A OUTPUT -i lo -o lo -j ACCEPT


[shaulyn]

Днс еще и udp любит. И с направлениями sport и dport попутался. Вот работает:

Код: [Выделить]

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp -d 172.16.1.3 --sport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -s 172.16.1.3 --dport 80 -j ACCEPT

iptables -A INPUT -p tcp -d 172.16.1.3 --sport 53 -j ACCEPT
iptables -A INPUT -p udp -d 172.16.1.3 --sport 53 -j ACCEPT
iptables -A OUTPUT -p tcp -s 172.16.1.3 --dport 53 -j ACCEPT
iptables -A OUTPUT -p udp -s 172.16.1.3 --dport 53 -j ACCEPT

iptables -A INPUT -i lo -o lo -j ACCEPT
iptables -A OUTPUT -i lo -o lo -j ACCEPT


спасибо, да 80 порт заработал странички открываются, но сделал по подобию 110 порт и 25, но почта не бегает ни локально ни другие пользователи в сети не могут не забрать почту не отправить

Код: [Выделить]

iptables -A INPUT -p tcp -d 172.16.1.3 --sport 25 -j ACCEPT
iptables -A OUTPUT -p tcp -s 172.16.1.3 --dport 25 -j ACCEPT

iptables -A INPUT -p tcp -d 172.16.1.3 --sport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -s 172.16.1.3 --dport 110 -j ACCEPT


[Mam(O)n]

iptables -A INPUT -p tcp -d 172.16.1.3 --sport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -s 172.16.1.3 --dport 110 -j ACCEPT

IP на свой не забыл поменять?

другие пользователи в сети

Это шлюз? Для транзитного трафика - цепочка FORWARD. Цепочки INPUT и OUTPUT только для локалхоста и транзит не затрагивают.

[shaulyn]

нет он не шлюз, айпи на свой поменял...он почтовый сервер просто..

[Mam(O)n]

Тогда нужно разрешить во всех направлениях:

iptables -A INPUT -p tcp -d 192.168.17.145 --dport 110 -j ACCEPT
iptables -A INPUT -p tcp -d 192.168.17.145 --sport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --dport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --sport 110 -j ACCEPT

и еще я немного с lo накололся:
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

[shaulyn]

че то я риал не понимаю смысл всего
 -s это адрес отправителя
-d это адрес получателя
--sport порт отправителя
--dport порт получателя

следовательно следуя логике

Код: [Выделить]

iptables -A INPUT -p tcp -d 192,168,17,145 --sport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192,168,17,145 --dport 80 -j ACCEPT

т.е добавляем правило в цепочку ВХОДЯЩИЕ порт tcp адрес получателя 192,168,17,145 порт отправителя 80 ПРИНЯТЬ ...как то нее логично должен и порт отправителя стоять и аналогично в цепочке исходящих, НО так почему то инет не пашет

Код: [Выделить]

iptables -A INPUT -p tcp -d 192,168,17,145 --dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192,168,17,145 --sport 80 -j ACCEPT

и еще вопрос почему открывая 110 порт так много правил в отличие от 80 порта

Код: [Выделить]

iptables -A INPUT -p tcp -d 192.168.17.145 --dport 110 -j ACCEPT
iptables -A INPUT -p tcp -d 192.168.17.145 --sport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --dport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --sport 110 -j ACCEPT

[Mam(O)n]

iptables -A OUTPUT -p tcp -s 192,168,17,145 --sport 80 -j ACCEPT
iptables -A INPUT -p tcp -d 192,168,17,145 --dport 80 -j ACCEPT

Ну дык порт 80 то на удалённом хосте, а исходящий порт, с которого идет подключение - любой свободный > 1024. Поэтому и не работает.

и еще вопрос почему открывая 110 порт так много правил в отличие от 80 порта

Код: [Выделить]

iptables -A INPUT -p tcp -d 192.168.17.145 --dport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --sport 110 -j ACCEPT
Для того, чтоб пускало на 110 порт сервера других.

Код: [Выделить]

iptables -A INPUT -p tcp -d 192.168.17.145 --sport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -s 192.168.17.145 --dport 110 -j ACCEPT
Для того, чтоб сервер сам мог коннектиться с кем-нить на 110 порт.

[shaulyn]

а какой порт отвечает за передачу файлов.....поднято samba надо чтобы с виндовых машин можно загружать и скачивать файлы....подскажите порт!

[Mam(O)n]

http://en.wikipedia.org/wiki/NetBIOS

Session service 139/TCP
Datagram distribution service 138/UDP
Name service 137/UDP, в редких случаях 137/TCP