Форум русскоязычного сообщества Ubuntu


Увидели сообщение с непонятной ссылкой, спам, непристойность или оскорбление?
Воспользуйтесь ссылкой «Сообщить модератору» рядом с сообщением!

Автор Тема: Перестал работать iptables  (Прочитано 568 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Sayman_nsk

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Перестал работать iptables
« : 15 Июль 2020, 12:22:53 »
Приветствую. Вчера возникла проблема - ВНЕЗАПНО перестали работать правила в iptables, в частности проброс pptp, проброс ftp (активный режим). до этого работало всё хорошо.
система:
uname -a
Linux gate 4.4.0-185-generic #215-Ubuntu SMP Mon Jun 8 21:53:19 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux

cat /etc/issue
Ubuntu 16.04.6 LTS \n \l

rc.local
modprobe ip_gre
modprobe ip_nat_pptp
modprobe ip_conntrack
modprobe nf_conntrack_ftp
modprobe nf_nat_ftp
/opt/ipt.sh

ipt.sh
(Нажмите, чтобы показать/скрыть)

куда можно капнуть?
« Последнее редактирование: 15 Июль 2020, 12:25:31 от Sayman_nsk »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27658
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #1 : 16 Июль 2020, 03:22:19 »
Копнуть можно в сторону нормальной загрузки правил, для начала.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Sayman_nsk

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #2 : 16 Июль 2020, 07:37:46 »
А что не так с загрузкой правил?
1. они работали почти 6 лет.
2. последнее изменение было 3 месяца назад (я в первопосте часть правил вырезал и оставил только проблемные). всё работало.
3. для проверки я уже пробовал iptables-save / iptables-restore, если вы на них намекаете. это не даёт никакого результата вообще.
ничего не меняется. а указанный метод загрузки правил вполне рабочий. мало чем отличается от iptables-restore кром етого, что bash вариант редактировать в разы проще/удобнее. это 146% не является причиной проблемы.
4. если вы говорите про загрузку из rc.local и менять надо на загрузку с сетью, то это тут совершенно не причём и ни на что не влияет.
« Последнее редактирование: 16 Июль 2020, 07:51:07 от Sayman_nsk »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27658
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #3 : 17 Июль 2020, 12:07:09 »
Я не знаю, что вы использовали раньше. Вспомните - попробуем настроить.
Но использовать rc.local для этого неверно.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн MooSE

  • Старожил
  • *
  • Сообщений: 1027
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #4 : 17 Июль 2020, 13:23:54 »
Правила не загружаются или не работают?

Оффлайн Sayman_nsk

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #5 : 20 Июль 2020, 06:51:10 »
не работают указанные правила - для pptp и для ftp (активный режим, сервер ftp и pptp на базе win2003 r2, штатными средствами).

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27658
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #6 : 20 Июль 2020, 11:44:31 »
lsmod | grep conn
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Sayman_nsk

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #7 : 20 Июль 2020, 12:38:44 »
lsmod | grep conn
nf_conntrack_netlink    40960  0
nfnetlink              16384  3 nfnetlink_log,nf_conntrack_netlink,nfnetlink_queue
xt_conntrack           16384  9
x_tables               36864  10 xt_CT,ip_tables,xt_tcpudp,ipt_MASQUERADE,xt_conntrack,xt_nat,xt_multiport,iptable_filter,ipt_REJECT,iptable_raw
nf_conntrack_ipv4      16384  23
nf_defrag_ipv4         16384  1 nf_conntrack_ipv4
nf_conntrack_ftp       20480  1 nf_nat_ftp
nf_conntrack_pptp      20480  14 nf_nat_pptp
nf_conntrack_proto_gre    16384  1 nf_conntrack_pptp
nf_conntrack          106496  12 nf_nat_ftp,xt_CT,nf_conntrack_proto_gre,nf_nat,nf_nat_ipv4,nf_nat_pptp,xt_conntrack,nf_nat_masquerade_ipv4,nf_conntrack_netlink,nf_conntrack_ftp,nf_conntrack_ipv4,nf_conntrack_pptp

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27658
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #8 : 20 Июль 2020, 13:52:35 »
Ну, все модули загружены. iptables-save показывайте.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Sayman_nsk

  • Автор темы
  • Новичок
  • *
  • Сообщений: 5
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #9 : 21 Июль 2020, 08:45:17 »
# Generated by iptables-save v1.6.0 on Tue Jul 21 15:40:20 2020
*raw
:PREROUTING ACCEPT [919:292110]
:OUTPUT ACCEPT [48:22542]
COMMIT
# Completed on Tue Jul 21 15:40:20 2020
# Generated by iptables-save v1.6.0 on Tue Jul 21 15:40:20 2020
*nat
:PREROUTING ACCEPT [83:16325]
:INPUT ACCEPT [9:984]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i enp0s25 -p tcp -m tcp --dport 20 -j DNAT --to-destination 192.168.1.25:20
-A PREROUTING -i enp0s25 -p tcp -m tcp --dport 21 -j DNAT --to-destination 192.168.1.25:21
-A PREROUTING -i enp0s25 -p tcp -m tcp --dport 1024:1048 -j DNAT --to-destination 192.168.1.25:1024-1048
-A PREROUTING -d 195.101.102.103/32 -p tcp -m tcp --dport 1723 -j DNAT --to-destination 192.168.1.25:1723
-A POSTROUTING -o enp0s25 -j MASQUERADE
COMMIT
# Completed on Tue Jul 21 15:40:20 2020
# Generated by iptables-save v1.6.0 on Tue Jul 21 15:40:20 2020
*filter
:INPUT DROP [26:7714]
:FORWARD DROP [24:1855]
:OUTPUT ACCEPT [43:22052]
-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i enp6s1 -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p gre -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -i enp0s25 -o enp6s1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i enp6s1 -o enp0s25 -j ACCEPT
-A FORWARD -d 192.168.1.25/32 -p tcp -m tcp --dport 20 -j ACCEPT
-A FORWARD -d 192.168.1.25/32 -p tcp -m tcp --dport 21 -j ACCEPT
-A FORWARD -d 192.168.1.25/32 -p tcp -m tcp --dport 1024:1048 -j ACCEPT
-A FORWARD -p gre -j ACCEPT
-A FORWARD -i enp0s25 -p tcp -m tcp --dport 1723 -j ACCEPT
-A FORWARD -i enp0s25 -o enp6s1 -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
COMMIT
# Completed on Tue Jul 21 15:40:20 2020
« Последнее редактирование: 21 Июль 2020, 10:01:13 от Sayman_nsk »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27658
    • Просмотр профиля
Re: Перестал работать iptables
« Ответ #10 : 21 Июль 2020, 13:01:07 »
Цитировать
-A PREROUTING -i enp0s25 -p tcp -m tcp --dport 20 -j DNAT --to-destination 192.168.1.25:20
Не нужно.

Цитировать
-A POSTROUTING -o enp0s25 -j MASQUERADE
Почему не SNAT, раз IP постоянный?

Цитировать
-A INPUT -m state --state INVALID -j DROP
Лучше conntrack/ctstate

Цитировать
-A FORWARD -d 192.168.1.25/32 -p tcp -m tcp --dport 20 -j ACCEPT
-A FORWARD -d 192.168.1.25/32 -p tcp -m tcp --dport 21 -j ACCEPT
-A FORWARD -d 192.168.1.25/32 -p tcp -m tcp --dport 1024:1048 -j ACCEPT
-A FORWARD -m conntrack --ctstate DNAT -j ACCEPT

Где у вас GRE роутится?
Всё, вижу.

Пользователь добавил сообщение 21 Июль 2020, 13:16:08:
tcpdump смотрите.
« Последнее редактирование: 21 Июль 2020, 13:16:08 от AnrDaemon »
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

 

Страница сгенерирована за 0.065 секунд. Запросов: 25.