iptables тормозит

[lega911]

вот такие правила

#!/bin/sh
iptables -F # remove rules

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -s 172.16.36.2 -j ACCEPT

# enables ports
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

iptables -A INPUT -p tcp -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -p tcp -s 172.16.111.2 -j ACCEPT
iptables -A INPUT -p tcp -s 172.16.36.0/24 -j ACCEPT
iptables -A INPUT -p tcp -s 172.16.35.0/24 -j ACCEPT
iptables -A INPUT -p tcp -s 172.16.253.0/24 -j ACCEPT

iptables -A INPUT -j DROP

после этого при обращении к порту 8090, страница открывается но очень медленно( целую минуту), а 80 порт открывается мгновенно, как и должен.
в чем проблема?
Пользователь решил продолжить мысль 26 Июля 2010, 06:31:57:кстати я обращаюсь к хосту с 172,16,36,2
т.е. должно выполняться 2-е правило: iptables -A INPUT -s 172.16.36.2 -j ACCEPT

вот iptables-save

$ sudo iptables-save
# Generated by iptables-save v1.4.4 on Mon Jul 26 08:32:12 2010
*filter
:INPUT ACCEPT [36010594:9246502211]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [38934742:9723823295]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 172.16.36.2/32 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -p tcp -j ACCEPT
-A INPUT -s 172.16.111.2/32 -p tcp -j ACCEPT
-A INPUT -s 172.16.36.0/24 -p tcp -j ACCEPT
-A INPUT -s 172.16.35.0/24 -p tcp -j ACCEPT
-A INPUT -s 172.16.253.0/24 -p tcp -j ACCEPT
-A INPUT -j DROP
COMMIT
# Completed on Mon Jul 26 08:32:12 2010

Пользователь решил продолжить мысль 26 Июля 2010, 06:39:14:методом исключения выявил что тормоза из-за: iptables -A INPUT -j DROP
хотя мои пакеты не должны до этого правила доходить

[W03L]

попробуй заменить

Код: [Выделить]

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
на

Код: [Выделить]

iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state RELATED -j ACCEPT


[lega911]

не помогло
Пользователь решил продолжить мысль 26 Июля 2010, 06:53:53:ппц. глюки
выполнил команду: iptables -F
что-б очистить правила, и хост заблокировался, терь к нему вообще доступа нет

[W03L]

попробуй тогда всем всё пока резрешить
INPUT, FORWARD, OUTPUT - все ACCEPT (без параметров)

[lega911]

восстановил доступ,
убил все правила. пока норм. но нужно как-то защищать комп...

[W03L]

восстановил доступ,
убил все правила. пока норм. но нужно как-то защищать комп...

добавляй правила по одному и смотри, на каком будет глючить

[lega911]

на данный момент так:

$ sudo iptables-save
# Generated by iptables-save v1.4.4 on Mon Jul 26 09:42:42 2010
*filter
:INPUT ACCEPT [16292:3568769]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8098 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 172.16.36.2/32 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -p tcp -j ACCEPT
-A INPUT -s 172.16.111.2/32 -p tcp -j ACCEPT
-A INPUT -j DROP
-A OUTPUT -j ACCEPT
COMMIT
# Completed on Mon Jul 26 09:42:42 2010

глюк сохраняется
Пользователь решил продолжить мысль 26 Июля 2010, 07:57:53:

восстановил доступ,
убил все правила. пока норм. но нужно как-то защищать комп...

добавляй правила по одному и смотри, на каком будет глючить

тормоза появляются из-за этого правила:  iptables -A INPUT -j DROP
Пользователь решил продолжить мысль 26 Июля 2010, 08:01:04:кстате на прошлой неделе все нормально работало с этими правилами
Пользователь решил продолжить мысль 26 Июля 2010, 08:13:39:решил проблему, дописал

-A INPUT -p udp -m udp --sport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT

Пользователь решил продолжить мысль 26 Июля 2010, 08:17:07:вот , это правило: iptables -A INPUT -p udp -m udp --dport 53 -j ACCEPT

получается хост не мог сам к себе к dnsобратится

[Mam(O)n]

В INPUT нужно обязательно разрешать:

Код: [Выделить]

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
iptables -A INPUT -p icmp --icmp-type parameter-problem -j ACCEPT


[lega911]

В INPUT нужно обязательно разрешать:

Код: [Выделить]

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
iptables -A INPUT -p icmp --icmp-type parameter-problem -j ACCEPT


это для того что-б: локальная прога получала сразу сообщение об ошибке вместо ожидания таймаута?
iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT
iptables -A INPUT -p icmp --icmp-type parameter-problem -j ACCEPT

[Mam(O)n]

Да. И еще, если пакет не пролезает на одном из промежуточных роутеров, то c destination-unreachable приходит максимально допустимый размер окна (mtu).

[madaxus]

на данный момент так:

$ -A INPUT -s 127.0.0.1/32 -p tcp -j ACCEPT

...
вот , это правило: iptables -A INPUT -p udp -m udp --dport 53 -j ACCEPT
получается хост не мог сам к себе к dnsобратится

Смотри внимательно:

Код: [Выделить]

$ -A INPUT -s 127.0.0.1/32 -p tcp -j ACCEPT Зачем -tcp ? Конечно он не мог.
Сделай хотя бы так:

Код: [Выделить]

$ -A INPUT -s 127.0.0.1/32 -j ACCEPT

[Mam(O)n]

Сделай хотя бы так:

Код: [Выделить]

$ -A INPUT -s 127.0.0.1/32 -j ACCEPT

А лучше так: iptables -A INPUT -i lo -j ACCEPT

[lega911]

Зачем -tcp ? Конечно он не мог.
Сделай хотя бы так:

так и сделал сразу после своего сообщения, сейчас переправил как посоветовал Mam(O)n

[madaxus]

Вот молодец
P.S.: что-то я сегодня нервный... что же мне от ангины то вкапали...
нет, пожалуй, сама ангина нервирует.