shorewall tulemüüri pordi suunamise probleem

[antik2]

Tere, selline probleem siis shorewalliga: configuratsioonis on järgvenad read ning jama on selles, et telneti tehes sellele pordile näitab nagu kõik töötaks kuid masinasse .155 ei jõua kohale mittemidagi. Logides ei ole näha ei suunamist ega pordi blokeerimist.

NB:terminali suunamine toimib ilma probleemideta. Igasugust teist süntaksit on kah proovitud- vaikus. Shorewalli laadisin ümber käsuga: "service shorewall restart". Operatsioonisüsteemiks on CentOS 4.6.

Kood: Vali kõik

#LUBAME Telneti
ACCEPT net loc:192.168.0.155    tcp 6710

# Telneti SUUNAMINE
DNAT    net     fw:192.168.0.155:6710   tcp     6710

#TERMINALI SUUNAMINE
DNAT    net     loc:192.168.0.250       tcp     3389    -       xxx.159.241.xxx

Milles võib olla jama?

[bobc]

Uuri mis iptables kostab, kuidas kuvab su reeglit.

Kood: Vali kõik

iptables -L -n
või
iptables-save

Sisuliselt peaks selline rida toimima:

Kood: Vali kõik

iptables -I INPUT -p tcp -i "seade kuhu järgi .155 ühendatud" -s 192.168.0.155 --dport 6710 -j ACCEPT

kindlasti koostab su shorewall keerulisema reegli.

[antik2]

kindlasti koostab su shorewall keerulisema reegli.

"iptables -L -n" näitab:

Kood: Vali kõik

Chain net2loc (1 references)
target     prot opt source               destination
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            192.168.0.155       tcp dpt:6710

"iptables-save" väljund:

Kood: Vali kõik

-A net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT

[bobc]

Probleem minule paistab selles et esimene rida, net2loc käsitleb seotud ja olemasolevadi ühendusi, kuna aga su 6710 pordi ühendus on NEW (markeeringuga) ei jõuta sinna reeglini üldse.
Peaksid olema teistpidi. Kuskil ahelates peab olema sul ka kirjed kus käsitletakse NEW markeeringuga reegleid (Võimalik, et ei ole NEW markeeringuga pakettide käsitlemist vaid INPUT on seatud DROP -ima kui puudub kirje.

iptables -D net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT
iptables -I net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT

-I seab reegli esimeseks, -D eemaldab reegli.

[antik2]

iptables -D net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT
iptables -I net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT

-I seab reegli esimeseks, -D eemaldab reegli.

Jama on veel selles, et logides ei näe üldse, et sellele pordile oleks keegi üldse üritanudki ligi pääseda, nmap näitab:

Kood: Vali kõik

PORT     STATE SERVICE
6710/tcp open  unknown

Nmap done: 1 IP address (1 host up) scanned in 0.07 seconds

[bobc]

Ma panin natuke mõõda eelneva jutuga, ma sain nii aru, et sa soovid masin .155 pealt saada uhendust selle masinaga mille tulemüüri torgid. Aga paistab, et sa tahad oopis antud X masina pealt teha ühendust .155 masinale.
Saan ma õieti aru.
Need reeglid mis sa postisid "-d 192.168.0.155" nende tõlgendus oleks siis, et sa lubad antud masina pealt ühendust .155 arvutile (peaksid olema OUTPUT -is).
Või tahad sa teha miskit suunamist ?

[antik2]

Ma panin natuke mõõda eelneva jutuga, ma sain nii aru, et sa soovid masin .155 pealt saada uhendust selle masinaga mille tulemüüri torgid. Aga paistab, et sa tahad oopis antud X masina pealt teha ühendust .155 masinale.
Saan ma õieti aru.
Need reeglid mis sa postisid "-d 192.168.0.155" nende tõlgendus oleks siis, et sa lubad antud masina pealt ühendust .155 arvutile (peaksid olema OUTPUT -is).
Või tahad sa teha miskit suunamist ?

Ma tahan väljastpoolt internetist suunata ruuteril pordi 6710 sisevõrguaadressile 192.168.0.155 pordile 6710.

[bobc]

Nii nüüd sain pihta mida sa soovid (PREROUTING), kuidas seda teostada sinu tulemüüritarkvaraga ei tea aga kuidas iptablesiga seda küll.

Kood: Vali kõik

iptables -I INPUT -p tcp -i eth0 --sport 1024:65535 --dport 6710 -j ACCEPT
iptables -I FORWARD -p tcp -i eth0 --sport 1024:65535 --dport 6710 -j ACCEPT

iptables -t nat -I PREROUTING -i eth0 -p tcp --sport 1024:65535 --dport 6710 -j DNAT --to 192.168.0.155:6710

echo 1 > /proc/sys/net/ipv4/ip_forward

Eeldades, et eth0 on seade, mille otsas välisühendus (võib olla ka ppp0 jne)

Peaks taolist viisi toimima, ei oska kahjuks aidata kuidas sinu tulemüüri
confi antud info sisse torgata. Loodan, et sellest on abi.

[antik2]

Peaks taolist viisi toimima, ei oska kahjuks aidata kuidas sinu tulemüüri confi antud info sisse torgata. Loodan, et sellest on abi.

Shorewall on saatanast- läbustab /var/log/messages igast sodi täis aga seda mida vaja, seda ei näita. See ei ole ju loogiline, kui nmap näitab, et port on lahti ja telnetiga sellesse porti minnes näitab, et ühendus on tekitatud- samas shorewalli logides ei ole mittekuimidagi, isegi iptables ise ei näita, et samal ajal on keegi selle pordi kallal. Ah see CentOS läheb niikuinii mahakandmisele- ei viitsi sellega rohkem jamada- interneti hakkab jagama Cisco 881 ruuter.

[sander85]

Kood: Vali kõik

#LUBAME Telneti
ACCEPT net loc:192.168.0.155    tcp 6710

# Telneti SUUNAMINE
DNAT    net     fw:192.168.0.155:6710   tcp     6710

võimalik, et panen nüüd täitsa puusse, aga kas esimest rida on üldse vaja? ja teiseks, kas DNAT ei peaks olema sedasi:

Kood: Vali kõik

DNAT    net     loc:192.168.0.155:6710   tcp     6710

suunamine peaks ikka minema lokaalvõrku edasi, mitte samasse masinasse endasse kinni jääma?

[midnight]

Mina kasutangi suunamiseks poest ostetud trendnet'i nat ruuterit välise IP jaoks.

Töölauaarvuti sisaldab endas veel ufw ruuterit. Seda välisvõrgu ja trendneti lubatud suunamise ja kerneli kaitseks.
Topelt ei kärise.