1. leht 1-st
shorewall tulemüüri pordi suunamise probleem
Postitatud: 16.10.2008, 10:21
Postitas antik2
Tere, selline probleem siis shorewalliga: configuratsioonis on järgvenad read ning jama on selles, et telneti tehes sellele pordile näitab nagu kõik töötaks kuid masinasse .155 ei jõua kohale mittemidagi. Logides ei ole näha ei suunamist ega pordi blokeerimist.
NB:terminali suunamine toimib ilma probleemideta. Igasugust teist süntaksit on kah proovitud- vaikus. Shorewalli laadisin ümber käsuga: "service shorewall restart". Operatsioonisüsteemiks on CentOS 4.6.
Kood: Vali kõik
#LUBAME Telneti
ACCEPT net loc:192.168.0.155 tcp 6710
# Telneti SUUNAMINE
DNAT net fw:192.168.0.155:6710 tcp 6710
#TERMINALI SUUNAMINE
DNAT net loc:192.168.0.250 tcp 3389 - xxx.159.241.xxx
Milles võib olla jama?
Postitatud: 16.10.2008, 13:01
Postitas bobc
Uuri mis iptables kostab, kuidas kuvab su reeglit.
Kood: Vali kõik
iptables -L -n
või
iptables-save
Sisuliselt peaks selline rida toimima:
Kood: Vali kõik
iptables -I INPUT -p tcp -i "seade kuhu järgi .155 ühendatud" -s 192.168.0.155 --dport 6710 -j ACCEPT
kindlasti koostab su shorewall keerulisema reegli.
Postitatud: 16.10.2008, 13:41
Postitas antik2
bobc kirjutas:kindlasti koostab su shorewall keerulisema reegli.
"iptables -L -n" näitab:
Kood: Vali kõik
Chain net2loc (1 references)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 192.168.0.155 tcp dpt:6710
"iptables-save" väljund:
Kood: Vali kõik
-A net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT
Postitatud: 16.10.2008, 14:16
Postitas bobc
Probleem minule paistab selles et esimene rida, net2loc käsitleb seotud ja olemasolevadi ühendusi, kuna aga su 6710 pordi ühendus on NEW (markeeringuga) ei jõuta sinna reeglini üldse.
Peaksid olema teistpidi. Kuskil ahelates peab olema sul ka kirjed kus käsitletakse NEW markeeringuga reegleid (Võimalik, et ei ole NEW markeeringuga pakettide käsitlemist vaid INPUT on seatud DROP -ima kui puudub kirje.
iptables -D net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT
iptables -I net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT
-I seab reegli esimeseks, -D eemaldab reegli.
Postitatud: 16.10.2008, 14:33
Postitas antik2
bobc kirjutas:iptables -D net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT
iptables -I net2loc -d 192.168.0.155 -p tcp -m tcp --dport 6710 -j ACCEPT
-I seab reegli esimeseks, -D eemaldab reegli.
Jama on veel selles, et logides ei näe üldse, et sellele pordile oleks keegi üldse üritanudki ligi pääseda, nmap näitab:
Kood: Vali kõik
PORT STATE SERVICE
6710/tcp open unknown
Nmap done: 1 IP address (1 host up) scanned in 0.07 seconds
Postitatud: 16.10.2008, 14:54
Postitas bobc
Ma panin natuke mõõda eelneva jutuga, ma sain nii aru, et sa soovid masin .155 pealt saada uhendust selle masinaga mille tulemüüri torgid. Aga paistab, et sa tahad oopis antud X masina pealt teha ühendust .155 masinale.
Saan ma õieti aru.
Need reeglid mis sa postisid "-d 192.168.0.155" nende tõlgendus oleks siis, et sa lubad antud masina pealt ühendust .155 arvutile (peaksid olema OUTPUT -is).
Või tahad sa teha miskit suunamist ?
Postitatud: 16.10.2008, 16:25
Postitas antik2
bobc kirjutas:Ma panin natuke mõõda eelneva jutuga, ma sain nii aru, et sa soovid masin .155 pealt saada uhendust selle masinaga mille tulemüüri torgid. Aga paistab, et sa tahad oopis antud X masina pealt teha ühendust .155 masinale.
Saan ma õieti aru.
Need reeglid mis sa postisid "-d 192.168.0.155" nende tõlgendus oleks siis, et sa lubad antud masina pealt ühendust .155 arvutile (peaksid olema OUTPUT -is).
Või tahad sa teha miskit suunamist ?
Ma tahan väljastpoolt internetist suunata ruuteril pordi 6710 sisevõrguaadressile 192.168.0.155 pordile 6710.
Postitatud: 16.10.2008, 19:53
Postitas bobc
Nii nüüd sain pihta mida sa soovid (PREROUTING), kuidas seda teostada sinu tulemüüritarkvaraga ei tea aga kuidas iptablesiga seda küll.
Kood: Vali kõik
iptables -I INPUT -p tcp -i eth0 --sport 1024:65535 --dport 6710 -j ACCEPT
iptables -I FORWARD -p tcp -i eth0 --sport 1024:65535 --dport 6710 -j ACCEPT
iptables -t nat -I PREROUTING -i eth0 -p tcp --sport 1024:65535 --dport 6710 -j DNAT --to 192.168.0.155:6710
echo 1 > /proc/sys/net/ipv4/ip_forward
Eeldades, et eth0 on seade, mille otsas välisühendus (võib olla ka ppp0 jne)
Peaks taolist viisi toimima, ei oska kahjuks aidata kuidas sinu tulemüüri
confi antud info sisse torgata. Loodan, et sellest on abi.
Postitatud: 16.10.2008, 20:18
Postitas antik2
bobc kirjutas:Peaks taolist viisi toimima, ei oska kahjuks aidata kuidas sinu tulemüüri confi antud info sisse torgata. Loodan, et sellest on abi.
Shorewall on saatanast- läbustab /var/log/messages igast sodi täis aga seda mida vaja, seda ei näita. See ei ole ju loogiline, kui nmap näitab, et port on lahti ja telnetiga sellesse porti minnes näitab, et ühendus on tekitatud- samas shorewalli logides ei ole mittekuimidagi, isegi iptables ise ei näita, et samal ajal on keegi selle pordi kallal. Ah see CentOS läheb niikuinii mahakandmisele- ei viitsi sellega rohkem jamada- interneti hakkab jagama Cisco 881 ruuter.
Postitatud: 17.10.2008, 12:58
Postitas sander85
Kood: Vali kõik
#LUBAME Telneti
ACCEPT net loc:192.168.0.155 tcp 6710
# Telneti SUUNAMINE
DNAT net fw:192.168.0.155:6710 tcp 6710
võimalik, et panen nüüd täitsa puusse, aga kas esimest rida on üldse vaja? ja teiseks, kas DNAT ei peaks olema sedasi:
Kood: Vali kõik
DNAT net loc:192.168.0.155:6710 tcp 6710
suunamine peaks ikka minema lokaalvõrku edasi, mitte samasse masinasse endasse kinni jääma?
Postitatud: 17.10.2008, 15:19
Postitas midnight
Mina kasutangi suunamiseks poest ostetud trendnet'i nat ruuterit välise IP jaoks.
Töölauaarvuti sisaldab endas veel ufw ruuterit. Seda välisvõrgu ja trendneti lubatud suunamise ja kerneli kaitseks.
Topelt ei kärise.