dělám chybu v iptables

[donjirka]

Ahoj, to už jsem na svém PC zkoušel také, ale jak z toho ven?

[Petr Merlin Vaněček]

Jo, tak na tohle moje znalosti nestačí, fakt netuším jak se k tomuhle chovat
NTZ? Co Ty na to?

[donjirka]

Jo, tak na tohle moje znalosti nestačí, fakt netuším jak se k tomuhle chovat
NTZ? Co Ty na to?

Jednoho jsem vyřídil , tak kdo jde další? Ne, ...dělám si srandu děkuji za snahu. Máte někdo nějaký nápad?

[ntz_reloaded]

kdyz mas iptables prazdne a funguje to, tak proste rucne jedno po druhem nahazuj pravidla (vsechny politiky mas ACCEPT, posledni praavidlo v INPUTU drop):

Kód: [Vybrat]

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABSLISHED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -p tcp -m conntrack --ctstate NEW --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -m conntrack --ctstate NEW --dport 80 -j ACCEPT
iptables -A INPUT -j DROP
tohle musi fungovat

[Petr Merlin Vaněček]

@ntz:

Já se bojím, že celej problém bude v tomto:

Kód: [Vybrat]

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABSLISHED -j ACCEPT

Tušil bych, že ta brána, co tam je (sice nedefinovaná, ale bude) "krade" příznaky ...

[ntz_reloaded]

@ntz:

Já se bojím, že celej problém bude v tomto:

Kód: [Vybrat]

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABSLISHED -j ACCEPT

Tušil bych, že ta brána, co tam je (sice nedefinovaná, ale bude) "krade" příznaky ...

wtf ? rozumim tomu az po "Tušil bych, "

kdo krade ? co krade ? proc by to delala ? to jsem nikdy v praxi nevidel .. jak muze krast brana priznaky ? o.O

[jmp]

iptables nerozumím, ale imho je pro IPv4
na device je IPv6 a na subdevice je sice IPv4, ale ptp
když to jde tím tunelem, tak je to bráno a zpracováno stejně jako běžný provoz, který by šel normálně přímo?

[Petr Merlin Vaněček]

iptables nerozumím, ale imho je pro IPv4
na device je IPv6 a na subdevice je sice IPv4, ale ptp
když to jde tím tunelem, tak je to bráno a zpracováno stejně jako běžný provoz, který by šel normálně přímo?

To by sice mělo, ale kde je brána sítě? Jestliže je definovaná IP, tak musí být v nějakém subnetu a ten má bránu, ale ta není definovaná (ona asi bude, ale na tom hostujícím stroji). Je to celé jakési divné ...

Ale tím neříkám, že to je špatně, jen ... jsem si myslel, že o IP něco vím ...

PS: IPv6 ignoruji, protože používá iptables a ne ip6tables ...

[donjirka]

Ahoj, to s politikou INPUT ACCEPT už jsem zkoušel ... vede to k stejnému výsledku jako u -p DROP. Přidám poslední pravidlo iptables -A INPUT -j DROP v tu chvíli je to v ...

[Petr Merlin Vaněček]

kdo krade ? co krade ? proc by to delala ? to jsem nikdy v praxi nevidel .. jak muze krast brana priznaky ? o.O

Ani já, proto taky na to vejrám jak sova z nudlí
Ale podívej na tu routetable

Kód: [Vybrat]

root@vps:~# ip r
default dev venet0  scope link

Jestli tomu dobře chápu, pak cokoliv, co chce odeslat prostě plácne na rozhraní a naopak pakety nepřijímá z GW, ale z rozhraní. Na druhé straně si to cosi jaksi zpracuje, jenže nevím ani co ani jak. A vůbec bych se nedivil, kdyby všechny spojení měly stav NEW ...

[jmp]

s maskou 255.255.255.255 na tom subdevice to bude znamenat komunikaci skrz tunel a tam na druhé straně patrně bude to nastavení sítě které tu marně hledáte...

[Petr Merlin Vaněček]

s maskou 255.255.255.255 na tom subdevice to bude znamenat komunikaci skrz tunel a tam na druhé straně patrně bude to nastavení sítě které tu marně hledáte...

Tak jest, ale to nevysvětluje to, proč chybí na paketech příznak RELATED,ESTABSLISHED, protože jinak nevím, jak si toto chování vysvětlit. A také to nevede ani k tomu, jak v takovém případě vybudovat stavový firewall ...

[donjirka]

Ahoj, ještě zkusím napsat na podporu vpsfree ... uvidíme jak se k tomu postaví a dám vědět.

[donjirka]

Tak sem na to přišel a jak jsem si celou dobu myslel, byla to vlastní blbost. U vpsfree je v admin možnost vis příloha, měl jsem v iptables disable  (nevím na co, ale je tam). Omlouvám se za problémy. Prosím o označení vyřešeno.

[příloha smazaná administrátorem]

[Petr Merlin Vaněček]

No to bude právě na to, aby byly pakety správně označkované.
Super, hlavně, že to jede.