Форум русскоязычного сообщества Ubuntu


Хотите сделать посильный вклад в развитие Ubuntu и русскоязычного сообщества?
Помогите нам с документацией!

Автор Тема: iptables - проблема со скриптом.  (Прочитано 1200 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Sergius`

  • Автор темы
  • Новичок
  • *
  • Сообщений: 11
  • Ubuntu 10.04.4 LTS
    • Просмотр профиля
    • SmolCity.net
iptables - проблема со скриптом.
« : 05 Октябрь 2011, 14:00:50 »
Всем привет!

Имеется скрипт:
(Нажмите, чтобы показать/скрыть)

Проблема заключается в том что, при использовании данного скрипта, ftp сервер не доступен никому кроме меня. Также не доступен ретрекер который висит на 2710 порту. Также не доступен игровой сервер hlds который использует 27015 порт. аналогично сервер srcds тоже не доступен висит на 27025 порту

еще перестал работать поиск и скачивание файлов при помощи DC++ клиента.
Может что-то еще дописать или поправить нужно?
« Последнее редактирование: 06 Октябрь 2011, 09:57:00 от Sergius` »

Оффлайн xeon_greg

  • Активист
  • *
  • Сообщений: 981
    • Просмотр профиля
Re: iptables - проблема со скриптом.
« Ответ #1 : 05 Октябрь 2011, 14:52:04 »
ну если не работает то конечно нужно. и показывать надо не скрипт, а то что у тебя сейчас в ядре те
sudo iptables-save -c

Оффлайн drako

  • Старожил
  • *
  • Сообщений: 1422
    • Просмотр профиля
Re: iptables - проблема со скриптом.
« Ответ #2 : 05 Октябрь 2011, 15:40:15 »
Вы никак слили чей-то скрипт без попытки осмысления того что в нем написано. Собственно одна из Ваших проблем в этом скрипте блокирование цепочки OUTPUT.

Оффлайн Sergius`

  • Автор темы
  • Новичок
  • *
  • Сообщений: 11
  • Ubuntu 10.04.4 LTS
    • Просмотр профиля
    • SmolCity.net
Re: iptables - проблема со скриптом.
« Ответ #3 : 05 Октябрь 2011, 15:52:18 »
сам скрипт, и все работает!
и не сливал я его. и он мне действительно нужен.

конкретней можно, как исправить что-бы все работало :)
p.s хаб, и сайт доступен, остальное нет

Оффлайн drako

  • Старожил
  • *
  • Сообщений: 1422
    • Просмотр профиля
Re: iptables - проблема со скриптом.
« Ответ #4 : 05 Октябрь 2011, 16:08:54 »
Так-с, в простыне проглядел что у Вас вообще чудные правила для OUTPUT одни аннулирующие другие:
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT  -m state --state NEW  -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p udp -m udp --dport 67 --sport 68 -j ACCEPT
-A OUTPUT -d 224.0.0.1/32 -j DROP
-A OUTPUT -p tcp -m tcp -m multiport --sports 80,443 -j ACCEPT
-A OUTPUT -p tcp -m tcp -o $internet --dport 53 -j ACCEPT
-A OUTPUT -p udp -m udp -o $internet --dport 53 -j ACCEPT
-P OUTPUT DROP
Правила 2 и 3 сводят на нет последнее правило. Показывайте iptables-save, а то в простыне легко пропускаются правила.

Оффлайн xeon_greg

  • Активист
  • *
  • Сообщений: 981
    • Просмотр профиля
Re: iptables - проблема со скриптом.
« Ответ #5 : 05 Октябрь 2011, 16:15:32 »
сам скрипт, и все работает!
и не сливал я его. и он мне действительно нужен.

конкретней можно, как исправить что-бы все работало :)
p.s хаб, и сайт доступен, остальное нет
естественно он работает, но только не так как вам надо

Оффлайн saymon21root

  • Участник
  • *
  • Сообщений: 166
    • Просмотр профиля
    • https://saymon21-root.pro
Re: iptables - проблема со скриптом.
« Ответ #6 : 05 Октябрь 2011, 20:46:23 »
Узнаю скрипт, могу даже ссыль дать, откуда был взят. Его писал один мой знакомый :)
Всётаки да, лучше писать самому, а всё остальное брать за пример. :)

Оффлайн Sergius`

  • Автор темы
  • Новичок
  • *
  • Сообщений: 11
  • Ubuntu 10.04.4 LTS
    • Просмотр профиля
    • SmolCity.net
Re: iptables - проблема со скриптом.
« Ответ #7 : 06 Октябрь 2011, 02:19:57 »
поправил скрипт так как мне нада :) первый пост обновил :)
ситуация не изменилась :idiot2:

sudo iptables -L -n
(Нажмите, чтобы показать/скрыть)
sudo iptables-save -c
(Нажмите, чтобы показать/скрыть)
« Последнее редактирование: 06 Октябрь 2011, 09:56:38 от Sergius` »

Оффлайн drako

  • Старожил
  • *
  • Сообщений: 1422
    • Просмотр профиля
Re: iptables - проблема со скриптом.
« Ответ #8 : 06 Октябрь 2011, 10:00:08 »
На вскидку
:INPUT DROP
-A INPUT -p icmp -j DROP
-A INPUT ! -i ppp0 -p udp -m udp --dport 137:139 -j DROP
-A INPUT ! -i eth0 -p udp -m udp --dport 137:139 -j DROP
-A INPUT -i ppp0 -j DROP
-A INPUT -i eth0 -j DROP
и
:OUTPUT ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state NEW -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p udp -m udp --sport 68 --dport 67 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 3306 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 411 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 1209 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 1411 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 11209 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 2710 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 27025 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 27015 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --dport 53 -j ACCEPT
-A OUTPUT -o ppp0 -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 53 -j ACCEPT
масло масленое получается.
У Вас на сервере фтп в активном режиме работает, потому что иначе не видно правил для портов под соединения для передачи данных?

Оффлайн xeon_greg

  • Активист
  • *
  • Сообщений: 981
    • Просмотр профиля
Re: iptables - проблема со скриптом.
« Ответ #9 : 06 Октябрь 2011, 10:46:34 »
[46:2380] -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j SYN_FLOOD вот это твое правило и косит твое фтп и и остальное.. даже не доходя до разрешающих правил.

Оффлайн Sergius`

  • Автор темы
  • Новичок
  • *
  • Сообщений: 11
  • Ubuntu 10.04.4 LTS
    • Просмотр профиля
    • SmolCity.net
Re: iptables - проблема со скриптом.
« Ответ #10 : 06 Октябрь 2011, 12:37:24 »
$IPTABLES -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
$IPTABLES -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
$IPTABLES -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

$IPTABLES -N SYN_FLOOD
$IPTABLES -A INPUT -p tcp --syn -j SYN_FLOOD
$IPTABLES -A SYN_FLOOD -m limit --limit 2/s --limit-burst 6 -j RETURN
$IPTABLES -A SYN_FLOOD -j DROP

значит  косяк в этом правиле да?
ну это-же антиспуфинг, как тогда поправить, что-бы все нормально было?


 drako - в иптаблесе не особо силен, чкак быть, поможеш по уму наладить?
« Последнее редактирование: 06 Октябрь 2011, 12:38:55 от Sergius` »

Оффлайн saymon21root

  • Участник
  • *
  • Сообщений: 166
    • Просмотр профиля
    • https://saymon21-root.pro
Re: iptables - проблема со скриптом.
« Ответ #11 : 06 Октябрь 2011, 12:42:55 »
антиспуфинг можно настроить какбы в /etc/sysctl.conf

sudo sysctl -w net.ipv4.conf.all.rp_filter = 1
sudo sysctl -w net.ipv4.conf.default.rp_filter = 1
sudo sysctl -w net.ipv4.conf.eth1.rp_filter = 1
sudo sysctl -p

Если я не ошибаюсь.
« Последнее редактирование: 06 Октябрь 2011, 12:45:54 от denis32 »

Оффлайн xeon_greg

  • Активист
  • *
  • Сообщений: 981
    • Просмотр профиля
Re: iptables - проблема со скриптом.
« Ответ #12 : 06 Октябрь 2011, 12:48:27 »
при чем тут спуфинг?? это типа от син флуда, а спуфинг это совсем другое, и добавлю что засовывать себе в ядро правила, значения которых не понимаешь - чревато вот такими и подобными последствиями

Пользователь решил продолжить мысль 06 Октябрь 2011, 12:50:53:
прибить их к едрени фени, когда разберешься что к чему, и научишься работать с iptables, тогда напишешь свои. и потом тебя что сейчас кто-то долбит?
« Последнее редактирование: 06 Октябрь 2011, 12:50:53 от xeon_greg »

Оффлайн saymon21root

  • Участник
  • *
  • Сообщений: 166
    • Просмотр профиля
    • https://saymon21-root.pro
Re: iptables - проблема со скриптом.
« Ответ #13 : 06 Октябрь 2011, 12:53:38 »
... Охота зарание сделать всё красиво, быстро, стабильно, безопасно, но как-то не совсем хорошо может получается.
Да, я вот на своём опыте познал, не стоит читать советских газет до обеда. :(

Оффлайн xeon_greg

  • Активист
  • *
  • Сообщений: 981
    • Просмотр профиля
Re: iptables - проблема со скриптом.
« Ответ #14 : 06 Октябрь 2011, 12:58:21 »
затем нафига тебе сейчас на выходе полный дроп? что нет доверия к собственному компу? из кол-ва интерфейсов я понимаю что форвард тебе вообще не нужен, вобщем учить тебе iptables надо,  а правила конечно жестокие,  столько конлимитов, это чтобы жизнь малиной не казалась, не в обиду сказано но прям садомазохизм по отношению к себе

 

Страница сгенерирована за 0.084 секунд. Запросов: 25.