Как правильно настроить брандмауэр?

[Vital75]

Добрый день!
Вопрос такой:
не работает брандмауэр, в смысле он работает, только закрывает всё, т.е. не подключается putty, не могу подключиться к jabber-у.
При выключенном - работает
В файле настроек:

(Нажмите, чтобы показать/скрыть)

#!/bin/sh

#Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward

#Разрешаем траффик на lo
iptables -A INPUT -i lo -j ACCEPT

#Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i p4p1 -o p5p1 -j ACCEPT

#Включаем NAT
iptables -t nat -A POSTROUTING -o p5p1 -s 192.168.137.0/24 -j MASQUERADE

#Разрешаем ответы из внешней сети
iptables -A FORWARD -i p5p1 -m state --state ESTABLISHED,RELATED -j ACCEPT

#Запрещаем доступ снаружи во внутреннюю сеть
iptables -A FORWARD -i p5p1 -o p4p1 -j REJECT

Делал по инструкции, может чего не хватает?

[fisher74]

Диагностику в студию

Код: [Выделить]

ip a; ip r
sudo iptables-save

без неё будем воду в ступе молоть.

[Vital75]

ip a; ip r

(Нажмите, чтобы показать/скрыть)

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group defaul                                                             t
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: p4p1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP gr                                                             oup default qlen 1000
    link/ether e8:de:27:03:f9:ea brd ff:ff:ff:ff:ff:ff
    inet 192.168.137.1/16 brd 192.168.255.255 scope global p4p1
       valid_lft forever preferred_lft forever
    inet6 fe80::eade:27ff:fe03:f9ea/64 scope link
       valid_lft forever preferred_lft forever
3: p5p1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP gr                                                             oup default qlen 1000
    link/ether f0:79:59:60:63:34 brd ff:ff:ff:ff:ff:ff
    inet x.x.x.x/24 brd x.x.255.255 scope global p5p1
       valid_lft forever preferred_lft forever
    inet6 fe80::f279:59ff:fe60:6334/64 scope link
       valid_lft forever preferred_lft forever
default via x.x.255.1 dev p5p1
x.x.255.0/24 dev p5p1  proto kernel  scope link  src x.x.x.x
192.168.0.0/16 dev p4p1  proto kernel  scope link  src 192.168.137.1

sudo iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.21 on Mon Oct  5 11:37:52 2015
*nat
:PREROUTING ACCEPT [444423:29092462]
:INPUT ACCEPT [175536:10233189]
:OUTPUT ACCEPT [11777:759402]
:POSTROUTING ACCEPT [18023:1086055]
-A POSTROUTING -s 192.168.137.0/24 -o p5p1 -j MASQUERADE
COMMIT
# Completed on Mon Oct  5 11:37:52 2015
# Generated by iptables-save v1.4.21 on Mon Oct  5 11:37:52 2015
*filter
:INPUT ACCEPT [240126:20056097]
:FORWARD ACCEPT [19747:1047891]
:OUTPUT ACCEPT [249808:43277181]
-A INPUT -i lo -j ACCEPT
-A FORWARD -i p4p1 -o p5p1 -j ACCEPT
-A FORWARD -i p5p1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i p5p1 -o p4p1 -j REJECT --reject-with icmp-port-unreachable
COMMIT
# Completed on Mon Oct  5 11:37:52 2015

[fisher74]

проблем для работы шлюза не вижу
правда и  защиты практически никакой

[Vital75]

в том то и дело, что шлюз работает, а остальное нет

[fisher74]

Остальное ЧТО? Что именно у Вас не работает?

[Vital75]

Добрый день!
Вопрос такой:
не работает брандмауэр, в смысле он работает, только закрывает всё, т.е. не подключается putty, не могу подключиться к jabber-у.
При выключенном - работает
В файле настроек:

(Нажмите, чтобы показать/скрыть)

#!/bin/sh

#Включаем форвардинг пакетов
echo 1 > /proc/sys/net/ipv4/ip_forward

#Разрешаем траффик на lo
iptables -A INPUT -i lo -j ACCEPT

#Разрешаем доступ из внутренней сети наружу
iptables -A FORWARD -i p4p1 -o p5p1 -j ACCEPT

#Включаем NAT
iptables -t nat -A POSTROUTING -o p5p1 -s 192.168.137.0/24 -j MASQUERADE

#Разрешаем ответы из внешней сети
iptables -A FORWARD -i p5p1 -m state --state ESTABLISHED,RELATED -j ACCEPT

#Запрещаем доступ снаружи во внутреннюю сеть
iptables -A FORWARD -i p5p1 -o p4p1 -j REJECT

Делал по инструкции, может чего не хватает?

Пользователь решил продолжить мысль 05 Октября 2015, 14:07:03:Еще если можно насчет "защиты никакой" растолковать?

[fisher74]

Откуда куда подключаетесь с помощью putty?
куда не можете подключиться к жабе?

А никакой защиты, это значит никакой защиты (отлуп для icmp - это скорее себе заноза)

[Vital75]

Откуда куда подключаетесь с помощью putty?

Хоть по локальному IP, хоть по внешнему не пускает

куда не можете подключиться к жабе?

На этом же сервере установил jabber-сервер, клиенты в локалке работают отлично, но как только включаю firewall, все клиенты отваливаются от сервера, т.е. jabber не стартует

А никакой защиты, это значит никакой защиты (отлуп для icmp - это скорее себе заноза)

Не можете объяснить новичку, как улучшить защиту?
Пользователь решил продолжить мысль 05 Октября 2015, 15:52:56:по этой инструкции настраивал:
http://comp.ydoma.info/nastrojka-shljuza-dlja-razdachi-interneta-na-baze-ubuntu-server-14-04-nat+squid+havp.html

[fisher74]

Откуда куда подключаетесь с помощью putty?

Хоть по локальному IP, хоть по внешнему не пускает

Вопрос остался тем же. Могу перефразировать: кто выступает клиентом соединения, а кто сервером?

Диагностика показанная Вами на момент "включаю firewall" или "когда всё работает"?

все клиенты отваливаются от сервера, т.е. jabber не стартует

Так всё-таки: клиенты отваливаются или jabber не стартует?

Не можете объяснить новичку, как улучшить защиту?

Ноль умноженное на любое число - есть ноль. У Вас защиты нет, улучшать нечего.

К тому же

по этой инструкции настраивал:

.. в указанной инструкции нет настройки защиты.

[Vital75]

Диагностика при выключенном firewall.
Как понять, "кто выступает клиентом соединения, а кто сервером?", подключаюсь с windows-машины в локальной сети к серверу
Пользователь решил продолжить мысль [time]05 Октябрь 2015, 17:35:06[/time]:jabber не стартует

[fisher74]

Диагностика при выключенном firewall.

И что мы тогда пытаемся вылечить?
показывайте диагностику при включенном... Кстати, а как Вы его включаете?

Как понять, "кто выступает клиентом соединения, а кто сервером?"

Вы ошиблись разделом, Вам бы в песочницу для начала

подключаюсь с windows-машины в локальной сети к серверу

Подумайте, кто из них клиент, а кто сервер?

[Vital75]

(Нажмите, чтобы показать/скрыть)

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: p4p1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether e8:de:27:03:f9:ea brd ff:ff:ff:ff:ff:ff
    inet 192.168.137.1/16 brd 192.168.255.255 scope global p4p1
       valid_lft forever preferred_lft forever
    inet6 fe80::eade:27ff:fe03:f9ea/64 scope link
       valid_lft forever preferred_lft forever
3: p5p1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether f0:79:59:60:63:34 brd ff:ff:ff:ff:ff:ff
    inet x.x.x.x/24 brd x.x.x.x scope global p5p1
       valid_lft forever preferred_lft forever
    inet6 fe80::f279:59ff:fe60:6334/64 scope link
       valid_lft forever preferred_lft forever
default via x.x.x.1 dev p5p1
x.x.x.x/24 dev p5p1  proto kernel  scope link  src x.x.x.x
192.168.0.0/16 dev p4p1  proto kernel  scope link  src 192.168.137.1

Пользователь решил продолжить мысль 05 Октября 2015, 18:03:34:

(Нажмите, чтобы показать/скрыть)

*nat
:PREROUTING ACCEPT [3571:310351]
:INPUT ACCEPT [2:159]
:OUTPUT ACCEPT [113:8227]
:POSTROUTING ACCEPT [113:8227]
-A POSTROUTING -s 192.168.137.0/24 -o p5p1 -j MASQUERADE
COMMIT
# Completed on Mon Oct  5 17:49:34 2015
# Generated by iptables-save v1.4.21 on Mon Oct  5 17:49:34 2015
*filter
:INPUT DROP [2294:163747]
:FORWARD DROP [93:4662]
:OUTPUT ACCEPT [4:160]
:ufw-after-forward - [0:0]
:ufw-after-input - [0:0]
:ufw-after-logging-forward - [0:0]
:ufw-after-logging-input - [0:0]
:ufw-after-logging-output - [0:0]
:ufw-after-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-before-input - [0:0]
:ufw-before-logging-forward - [0:0]
:ufw-before-logging-input - [0:0]
:ufw-before-logging-output - [0:0]
:ufw-before-output - [0:0]
:ufw-logging-allow - [0:0]
:ufw-logging-deny - [0:0]
:ufw-not-local - [0:0]
:ufw-reject-forward - [0:0]
:ufw-reject-input - [0:0]
:ufw-reject-output - [0:0]
:ufw-skip-to-policy-forward - [0:0]
:ufw-skip-to-policy-input - [0:0]
:ufw-skip-to-policy-output - [0:0]
:ufw-track-forward - [0:0]
:ufw-track-input - [0:0]
:ufw-track-output - [0:0]
:ufw-user-forward - [0:0]
:ufw-user-input - [0:0]
:ufw-user-limit - [0:0]
:ufw-user-limit-accept - [0:0]
:ufw-user-logging-forward - [0:0]
:ufw-user-logging-input - [0:0]
:ufw-user-logging-output - [0:0]
:ufw-user-output - [0:0]
-A INPUT -j ufw-before-logging-input
-A INPUT -j ufw-before-input
-A INPUT -j ufw-after-input
-A INPUT -j ufw-after-logging-input
-A INPUT -j ufw-reject-input
-A INPUT -j ufw-track-input
-A INPUT -i lo -j ACCEPT
-A FORWARD -j ufw-before-logging-forward
-A FORWARD -j ufw-before-forward
-A FORWARD -j ufw-after-forward
-A FORWARD -j ufw-after-logging-forward
-A FORWARD -j ufw-reject-forward
-A FORWARD -j ufw-track-forward
-A FORWARD -i p4p1 -o p5p1 -j ACCEPT
-A FORWARD -i p5p1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i p5p1 -o p4p1 -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -j ufw-before-logging-output
-A OUTPUT -j ufw-before-output
-A OUTPUT -j ufw-after-logging-output
-A OUTPUT -j ufw-reject-output
-A OUTPUT -j ufw-track-output
-A ufw-after-input -p udp -m udp --dport 137 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 138 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 139 -j ufw-skip-to-policy-input
-A ufw-after-input -p tcp -m tcp --dport 445 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 67 -j ufw-skip-to-policy-input
-A ufw-after-input -p udp -m udp --dport 68 -j ufw-skip-to-policy-input
-A ufw-after-input -m addrtype --dst-type BROADCAST -j ufw-skip-to-policy-input
-A ufw-after-logging-forward -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-after-logging-input -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-forward -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-forward -j ufw-user-forward
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP
-A ufw-before-input -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A ufw-before-input -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A ufw-before-input -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A ufw-before-input -j ufw-not-local
-A ufw-before-input -d 224.0.0.251/32 -p udp -m udp --dport 5353 -j ACCEPT
-A ufw-before-input -d 239.255.255.250/32 -p udp -m udp --dport 1900 -j ACCEPT
-A ufw-before-input -j ufw-user-input
-A ufw-before-output -o lo -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -j ufw-user-output
-A ufw-logging-allow -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] "
-A ufw-logging-deny -m conntrack --ctstate INVALID -m limit --limit 3/min --limit-burst 10 -j RETURN
-A ufw-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] "
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP
-A ufw-skip-to-policy-forward -j DROP
-A ufw-skip-to-policy-input -j DROP
-A ufw-skip-to-policy-output -j ACCEPT
-A ufw-track-output -p tcp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-track-output -p udp -m conntrack --ctstate NEW -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 80 -j ACCEPT
-A ufw-user-input -p udp -m udp --dport 80 -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 10089 -j ACCEPT
-A ufw-user-input -p udp -m udp --dport 10089 -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 10099 -j ACCEPT
-A ufw-user-input -p udp -m udp --dport 10099 -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 10090 -j ACCEPT
-A ufw-user-input -p udp -m udp --dport 10090 -j ACCEPT
-A ufw-user-input -p tcp -m tcp --dport 443 -j ACCEPT
-A ufw-user-input -p udp -m udp --dport 443 -j ACCEPT
-A ufw-user-limit -m limit --limit 3/min -j LOG --log-prefix "[UFW LIMIT BLOCK] "
-A ufw-user-limit -j REJECT --reject-with icmp-port-unreachable
-A ufw-user-limit-accept -j ACCEPT
COMMIT

[jura12]

Не надо огород городить . Юзайте ufw, а необходимые порты посмотрите в файле services.

[Vital75]

Наверное я и в правду разделом ошибся((( модераторы, перенесите плиз в раздел для новичков, тут все шибко умные