Wpuszczenie www w IPTABLES

Serwery i sieci oparte na Slackware, wszelkiego rodzaju usługi, troubleshooting.

Moderatorzy: Moderatorzy, Administratorzy

tomekn
Użytkownik
Posty: 58
Rejestracja: 2004-11-26, 09:47

Wpuszczenie www w IPTABLES

Post autor: tomekn »

Witam
Sprawa banalna ale mam problem z wpuszczeniem portu 80 pomiędzy VLANU <-> LAN.

Na początek blokuję wszystko pomiędzy ...
IPTABLES -I FORWARD -j eth1.2 -o eth1 -j DROP
IPTABLES -I FORWARD -j eth1 -o eth1.2 -j DROP
i to działa prawidłowo

Następnie chciałbym umożliwić działanie portu 80 pomiędzy ww. interfejsami więc ...
IPTABLES -I FORWARD -j eth1.2 -o eth1 -p tcp --dport 80 -j ACCEPT
IPTABLES -I FORWARD -j eth1 -o eth1.2 -p tcp --dport 80 -j ACCEPT

Mam jeszcze eth0 z WAN, czy aby zadziała reguła muszę wskazać interfejs WAN. Robiłem tak ale nie dział.
Dziękuję za sugestie.
Awatar użytkownika
dienet
Moderator
Posty: 2105
Rejestracja: 2007-07-24, 18:58
Lokalizacja: Racibórz/Rybnik

Re: Wpuszczenie www w IPTABLES

Post autor: dienet »

No na mój rozum jak jest DROP przed ACCEPT to jak ma działać?
Pozdr0
dienet
[img]http://i164.photobucket.com/albums/u19/slawek15/kotekeo0lq3.jpg[/img]
tomekn
Użytkownik
Posty: 58
Rejestracja: 2004-11-26, 09:47

Re: Wpuszczenie www w IPTABLES

Post autor: tomekn »

DROP-em blokuję wszystko a następnie chcę zezwolić na 80.
Awatar użytkownika
dienet
Moderator
Posty: 2105
Rejestracja: 2007-07-24, 18:58
Lokalizacja: Racibórz/Rybnik

Re: Wpuszczenie www w IPTABLES

Post autor: dienet »

tomekn pisze:DROP-em blokuję wszystko a następnie chcę zezwolić na 80.
No ja wiem co chcesz zrobić, ale robisz to odwrotnie.
Pozdr0
dienet
[img]http://i164.photobucket.com/albums/u19/slawek15/kotekeo0lq3.jpg[/img]
tomekn
Użytkownik
Posty: 58
Rejestracja: 2004-11-26, 09:47

Re: Wpuszczenie www w IPTABLES

Post autor: tomekn »

Zaraz zaraz z tego co mi wiadomo to takie podejście jak moje jest prawidłowe.
Przekonaj mnie że jestem w błędzie.
Awatar użytkownika
m00n
Użytkownik
Posty: 666
Rejestracja: 2004-06-26, 15:31
Lokalizacja: Morag

Re: Wpuszczenie www w IPTABLES

Post autor: m00n »

rozumowanie masz dobre, najpierw blokujemy wszystko a potem wpuszcamy poszczegolne,

u mnie np tak to wyglada, przerob sobie na 80 i sprawdz

iptables -A INPUT -p tcp -i ppp0 --dport 631 -j DROP
iptables -A INPUT -p tcp -i ppp0 --dport 2601 -j DROP
iptables -A INPUT -p tcp -i ppp0 --dport 2602 -j DROP
iptables -A INPUT -p tcp -i ppp0 --dport 22 -j ACCEPT
Ostatnio zmieniony 2010-01-15, 23:15 przez m00n, łącznie zmieniany 1 raz.
Obecnie uzywam: Slackware, Debian, OpenBSD
Wyznawca Unixa i fanatyk Cisco ;]
Awatar użytkownika
dienet
Moderator
Posty: 2105
Rejestracja: 2007-07-24, 18:58
Lokalizacja: Racibórz/Rybnik

Re: Wpuszczenie www w IPTABLES

Post autor: dienet »

Przekonaj mnie że jestem w błędzie.
Hm...u mnie ale na INPUT jak dam -j DROP przez -j ACCEPT to nie działa.
I jak dla mnie ACCEPTy przed DROPami są logiczniejszą taktyką. No chyba że mówimy o policy.
Ostatnio zmieniony 2010-01-15, 23:21 przez dienet, łącznie zmieniany 2 razy.
Pozdr0
dienet
[img]http://i164.photobucket.com/albums/u19/slawek15/kotekeo0lq3.jpg[/img]
tomekn
Użytkownik
Posty: 58
Rejestracja: 2004-11-26, 09:47

Re: Wpuszczenie www w IPTABLES

Post autor: tomekn »

Wygląda Ok ale zależny mi na tym żeby wskazać interfejsy tzn. żeby decydować który vlan ma dostęp do 80.
Może być tak że w dalszej konfiguracji dla innego vlanu zdecyduję że 80 nie będzie dostępny a np. 22
Twój przykład udostępnia pewne porty na WAN.
Awatar użytkownika
dienet
Moderator
Posty: 2105
Rejestracja: 2007-07-24, 18:58
Lokalizacja: Racibórz/Rybnik

Re: Wpuszczenie www w IPTABLES

Post autor: dienet »

m00n pisze: iptables -A INPUT -p tcp -i ppp0 --dport 631 -j DROP
iptables -A INPUT -p tcp -i ppp0 --dport 2601 -j DROP
iptables -A INPUT -p tcp -i ppp0 --dport 2602 -j DROP
iptables -A INPUT -p tcp -i ppp0 --dport 22 -j ACCEPT
A dodaj na sam koniec -j ACCEPT na 631 dla jakiego ip. No wg. mnie i wg. tego co widzę z moją VM to to nie zadziała. Takie dropowanie jak masz tu jest nieadekwatne do tego co chce autor postu.
Pozdr0
dienet
[img]http://i164.photobucket.com/albums/u19/slawek15/kotekeo0lq3.jpg[/img]
Awatar użytkownika
kyan
Użytkownik
Posty: 114
Rejestracja: 2008-04-22, 05:35
Lokalizacja: /home/kyan/

Re: Wpuszczenie www w IPTABLES

Post autor: kyan »

tomekn pisze:Witam
Sprawa banalna ale mam problem z wpuszczeniem portu 80 pomiędzy VLANU <-> LAN.

Na początek blokuję wszystko pomiędzy ...
IPTABLES -I FORWARD -j eth1.2 -o eth1 -j DROP
IPTABLES -I FORWARD -j eth1 -o eth1.2 -j DROP
i to działa prawidłowo

Następnie chciałbym umożliwić działanie portu 80 pomiędzy ww. interfejsami więc ...
IPTABLES -I FORWARD -j eth1.2 -o eth1 -p tcp --dport 80 -j ACCEPT
IPTABLES -I FORWARD -j eth1 -o eth1.2 -p tcp --dport 80 -j ACCEPT

Mam jeszcze eth0 z WAN, czy aby zadziała reguła muszę wskazać interfejs WAN. Robiłem tak ale nie dział.
Dziękuję za sugestie.
po 1sze jak rozumiem -j eth1 i podobne w powyższym to literówki :)

dienet ale on dodaje przez -I (insert) a nie -A (append) więc reguły są faktycznie w odwrotnej kolejności w łańcuchu FORWARD więc np to zadziała ok

Kod: Zaznacz cały

iptables -I FORWARD --dport 80 -j DROP
iptables -I FORWARD --dport 80 -s 10.10.10.10 -j ACCEPT
tomekn z czym dokładnie jest problem, tzn chcesz przepuszczać połączenia po porcie 80 pomiędzy eth0 a eth1 i eth0 a eth1.2? może to kwestia późnej pory ;) ale nie zrozumiałem

w regułach iptables nie musisz podawać interfejsów, -i i -o są opcjonalne (i możesz podać też tylko jedno z nich)
Awatar użytkownika
dienet
Moderator
Posty: 2105
Rejestracja: 2007-07-24, 18:58
Lokalizacja: Racibórz/Rybnik

Re: Wpuszczenie www w IPTABLES

Post autor: dienet »

dienet ale on dodaje przez -I (insert) a nie -A (append) więc reguły są faktycznie w odwrotnej kolejności w łańcuchu FORWARD więc np to zadziała ok
No tak masz rację. Ale dla mnie to i tak zaciemnianie obrazu.
Pozdr0
dienet
[img]http://i164.photobucket.com/albums/u19/slawek15/kotekeo0lq3.jpg[/img]
Awatar użytkownika
kyan
Użytkownik
Posty: 114
Rejestracja: 2008-04-22, 05:35
Lokalizacja: /home/kyan/

Re: Wpuszczenie www w IPTABLES

Post autor: kyan »

dienet pisze:No tak masz rację. Ale dla mnie to i tak zaciemnianie obrazu.
tzn? ja często jak dodaję z palca reguły (szczególnie takie na chwilę dla testu) to daję -I aby nie wgryzać się w którym momencie mogę dać -A (szukanie nr linii)

chociaż fakt w skryptach firewalla czytelniej jest z Append
tomekn
Użytkownik
Posty: 58
Rejestracja: 2004-11-26, 09:47

Re: Wpuszczenie www w IPTABLES

Post autor: tomekn »

Kyan mój problem polega na tym że potrzebuję za pomocą iptables umożliwić korzystanie z www komputerom z vlanu eth1.2. (Wszystko inne ma być zablokowane)

Blokowanie wszystkiego robię w tak i to działa:
IPTABLES -I FORWARD -i eth1.2 -o eth1 -j DROP
IPTABLES -I FORWARD -i eth1 -o eth1.2 -j DROP

A teraz jak zrobić aby port 80 działał.
PTABLES -I FORWARD -i eth1.2 -o eth1 -p tcp --dport 80 -j ACCEPT
IPTABLES -I FORWARD -i eth1 -o eth1.2 -p tcp --dport 80 -j ACCEPT
memus
Użytkownik
Posty: 245
Rejestracja: 2005-09-27, 17:17

Re: Wpuszczenie www w IPTABLES

Post autor: memus »

tomekn pisze:A teraz jak zrobić aby port 80 działał.
PTABLES -I FORWARD -i eth1.2 -o eth1 -p tcp --dport 80 -j ACCEPT
IPTABLES -I FORWARD -i eth1 -o eth1.2 -p tcp --dport 80 -j ACCEPT
Nie chce mi się czytać wszystkich postów. Nie ma być przypadkiem w jedną stronę dport a wracajac sport?
Druga uwaga to taka, że za bardzo restrykcyjnie do tego podchodzisz. Najlepiej wykorzystywać flage syn do podejmowania akcji. Natomiast resztę przepuszczać.
Ostatnio zmieniony 2010-01-16, 12:53 przez memus, łącznie zmieniany 2 razy.
Pajaczek
Użytkownik
Posty: 1439
Rejestracja: 2006-08-03, 13:16
Lokalizacja: Winny Gród

Re: Wpuszczenie www w IPTABLES

Post autor: Pajaczek »

kyan, ale to właśnie przy -I masz prawo (nie obowiązek ;) ) podać numer linii, -A dodaje na koniec i tyle (bez prawa podania miejsca).

tomekn, a daj politykę na DROP i będziesz miał część problemu z głowy. Później tylko ACCEPTY ;)

i dobrze memus, mówi, nie używaj na pałę -dport, uprość nieco całość (chyba że koniecznie potrzebujesz i we i wy interfejsu). Poza tym poza zestawieniem połączenia reszta transmisji już nie odbywa się na porcie 80.
ODPOWIEDZ