Форум русскоязычного сообщества Ubuntu


Получить помощь и пообщаться с другими пользователями Ubuntu можно
на irc канале #ubuntu-ru в сети Freenode
и в Jabber конференции ubuntu@conference.jabber.ru

Автор Тема: iptables - ничего не понятно  (Прочитано 603 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн nyash-bash

  • Автор темы
  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
iptables - ничего не понятно
« : 13 Март 2017, 20:34:22 »
Здравствуйте.
Начал разбираться с iptables (читай, чайник-кофейник). Читаю https://www.opennet.ru/docs/RUS/iptables/#SAVEANDRESTORE и на ubuntu wiki. Ставлю блок всех входящих:
iptables -P INPUT DROPпосле этого просто пропадает сеть. Сначала подумал, нужно перезагружать NW после таких действий, но нет.
Текущие правила:
# Generated by iptables-save v1.6.0 on Mon Mar 13 20:27:04 2017
*filter
:INPUT DROP [34662:38274200]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [26346:3126519]
-A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
COMMIT
# Completed on Mon Mar 13 20:27:04 2017
Сеть через NAT провайдера.
Если я правильно понял, то я заблокировал только входящие соединения, которые инициируются извне. Тогда почему полностью пропадает соединение?
В syslog'e такое наблюдаю:
(Нажмите, чтобы показать/скрыть)

ТС не появлялся на Форуме более полугода по состоянию на 14/07/2019 (последняя явка: 14/03/2017). Модератором раздела принято решение закрыть тему.
--zg_nico
« Последнее редактирование: 14 Июль 2019, 04:29:17 от zg_nico »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27443
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #1 : 13 Март 2017, 21:27:15 »
Сначала нужно написать правила, а потом уже менять действие по умолчанию.
Возьмите пример для начала, что ли.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн nyash-bash

  • Автор темы
  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #2 : 13 Март 2017, 21:46:11 »
Сначала нужно написать правила, а потом уже менять действие по умолчанию.
Возьмите пример для начала, что ли.
Или я чего то не понял, или по ссылке рссказ о том, как автозагружать правила (??). У меня вопрос немного другого характера.

Пользователь добавил сообщение 13 Март 2017, 22:26:08:
Почитал еще о порядке правил и необходимости держать lo открытой. После ребута добавил
iptables -I INPUT 1 -i lo -j ACCEPTи после
iptables -P INPUT DROP
Сеть не работает. Получается без наличия каких то правил на входящее, сеть работать не собирается... Странно, что везде никаких оговорок по поводу запрета на все входящие нет.
Разбираюсь дальше, что еще нужено разрешить, чтобы работала сеть.

Пользователь добавил сообщение 13 Март 2017, 22:48:45:
Дошел до состояний. Как оказалось, нужно разрешить входящие-ответы установленные моей же системой исходящие. Все сбросил, набрал так
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i enp7s0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
Не работает...
« Последнее редактирование: 13 Март 2017, 22:48:45 от nyash-bash »

Оффлайн ConnaiSSant

  • Активист
  • *
  • Сообщений: 458
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #3 : 13 Март 2017, 22:55:20 »
Вы решили установить политику по умолчанию DROP. Это правило блокирует все входящие пакеты. Осталось только разрешить по мимо lo еще и пакеты со статусом RELATED, ESTABLISHED на ваш сетевой интерфейс. Как один из вариантов, например

Оффлайн nyash-bash

  • Автор темы
  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #4 : 13 Март 2017, 22:59:08 »
ConnaiSSant,
Код: [Выделить]
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i enp7s0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
Не работает...
Вроде как уже сделал, но сеть упорно отказывается работать.

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27443
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #5 : 13 Март 2017, 23:08:32 »
или по ссылке рссказ о том, как автозагружать правила
Если бы вы читали внимательно, нашли бы там и минимальный набор правил, с которого можно начать обучение.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13750
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #6 : 13 Март 2017, 23:10:09 »
iptables -A INPUT -i enp7s0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPTВроде как уже сделал, но сеть упорно отказывается работать.
То что VPN работает через другой интерфейс не учли?
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн nyash-bash

  • Автор темы
  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #7 : 13 Март 2017, 23:20:17 »
iptables -A INPUT -i enp7s0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPTВроде как уже сделал, но сеть упорно отказывается работать.
То что VPN работает через другой интерфейс не учли?
Так до VPN я еще вроде как и не дошел. Речь о локалке пока. enp7s0 ее интерфейс. И он пока молчит. Вот в чем вопрос. С VPN я так понял должно быть похоже, т.е. вместо enp7s0 я добавляю свой ppp0 и добавляю инапсуляцию -p gre, судя по wiki. Но чтобы с VPN разбираться надо локалку наладить.

Пользователь добавил сообщение 13 Март 2017, 23:23:35:
AnrDaemon, прошу прощения. Уверен вы не зря заслуженный пользователь и ваша тема многим помогла. Но я сказал, что я чайник-кофейник пока, и для меня ваша тема выглядит не как вы выражаетесь "минимальный набор правил", а как гуидэ "что делать, чтобы автозагрузить без пояснений о том, что делали до этого". Мне как новичку тема не информативна, увы.
« Последнее редактирование: 13 Март 2017, 23:23:35 от nyash-bash »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27443
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #8 : 13 Март 2017, 23:55:03 »
Перевод - тему вы даже не потрудились прочесть.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн nyash-bash

  • Автор темы
  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #9 : 14 Март 2017, 00:23:18 »
Перевод - тему вы даже не потрудились прочесть.
Хорошо. Вы видимо не поняли. Поясню свою позицию.
Итак, я - новичек, с познаниями близкими к нулю, захожу в вашу тему и вижу:
Цитировать
$ sudo -E -s
# iptables -F
# iptables -X
# iptables -P OUTPUT ACCEPT
# iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# iptables -A INPUT -i lo -j ACCEPT
# iptables -A INPUT -p tcp -m tcp --dport 80 -j REJECT
# iptables -P INPUT DROP
# exit
$
Какие то строки, из знакомого только
Цитировать
# iptables -F
# iptables -P INPUT DROP
И дальше про автозагрузку. Какая строка за что отвечает, в каких случая что используется. Т.е. для новичка ( а я это подчеркнул 2 раза !!! ) ничего не понятно. При это вы претендуете на ответ года. А мне тогда это ничего не сказало, ровно до того момента как я начал уже на других форумах и статьях выискивать информацию, в которой по человечески поясняется схема. Теперь понимаете?

А теперь по теме.
Локалку я таки дожал, пингуются ресурсы внутри сети. Теперь ВПН.
Нашел в этой теме решение с подгрузкой модуля nf_nat_pptp, но он вроде как только для сервера. Поискал еще похожие модули с pptp и gre. В итоге так
modprobe nf_conntrack_pptp
modprobe nf_conntrack_proto_gre
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i enp7s0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp -m tcp --dport 1723 -j ACCEPT
iptables -A INPUT -i ppp0 -p gre -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -P INPUT DROP
ВПН пока не реагирует. Что-то упускаю
« Последнее редактирование: 14 Март 2017, 00:38:43 от nyash-bash »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27443
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #10 : 14 Март 2017, 01:03:53 »
ничего не понятно.
Знаете, в чём разница между новичком и нубом?
Новичок поинтересуется, что значат неизвестные строки.
Нубас с умным видом будет строчить портянки маловразумительных текстов, оправдывая свои "знания".
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн nyash-bash

  • Автор темы
  • Новичок
  • *
  • Сообщений: 6
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #11 : 14 Март 2017, 01:08:43 »
AnrDaemon, а как по мне, человек, который разбирается в теме и адекватен, не будет кидать новичку ссылку, где нет нормального пояснения. Так что "раунд". Спасибо за помощь, товарищ Даемон. Вы очень помогли. Прошу больше не пытаться мне помочь. Во благо нас обоих.

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13750
    • Просмотр профиля
Re: iptables - ничего не понятно
« Ответ #12 : 14 Март 2017, 10:55:54 »
Так до VPN я еще вроде как и не дошел. Речь о локалке пока. enp7s0 ее интерфейс.
О, сорри, я что-то не стелепатил эту информацию.
Во-первых, Ваш опрос не соответствует теме топика (внимательно прочтите его название)
Во-вторых, рекомендую прежде чем задавать конкретные вопросы - расскажите о Вашем полигоне, хотя бы основные моменты: какой интерфейс куда смотрит и какова конечная цель. Хотя абстрактная цель, конечно, ясна - научиться настраивать netfilter, но я про более приближённую цель. Например, понять как влияют правила в цепочке INPUT.
Принимаю благодарности в WMR и WMZ на кошельки:
R158160676909 и Z313280060764

Оффлайн Дмитрий Бо

  • Погонщик серверов
  • СуперМодератор
  • Старожил
  • *
  • Сообщений: 3540
  • Я не техподдержка, я за порядком слежу
    • Просмотр профиля
    • dihoc.ru - контекстный вьетнамско-русский словарь
Re: iptables - ничего не понятно
« Ответ #13 : 19 Март 2017, 14:41:15 »
nyash-bash, с такой постановкой вопроса - переношу в новичковый раздел.
Я так и не понял, что нужно-то. iptables -P INPUT DROP отработал как положено, всё нормально :)
Не опускай рук, а то пропустишь в бороду

 

Страница сгенерирована за 0.284 секунд. Запросов: 22.