Помогите с настройкой iptables

Question

Сергей Савостин @savostin

Еще один программист

Iptables

Помогите с настройкой iptables

Пожалуйста, не пинайте и не минусуйте — я честно выкурил пол-интернета перед тем, как задать вопрос.
Есть VPS — CentOS под OpenVZ.
Есть простейший iptables:

*filter
:FORWARD ACCEPT [0:0]
:INPUT DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A INPUT -p udp -m udp --sport 53 -j ACCEPT
-A INPUT -p tcp -m tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
COMMIT

и iptables-config:

IPTABLES_MODULES=""

Не работает:

> modprobe ip_conntrack
FATAL: Module ip_conntrack not found. 
> modprobe ip_conntrack_ftp
FATAL: Module ip_conntrack_ftp not found. 
> iptables -t filter -A INPUT -j LOG --log-prefix "DROP"
iptables: Unknown error 18446744073709551615
> wget http://ya.ru
Resolving ya.ru... 93.158.134.3, 93.158.134.203, 87.250.251.3, ...
Connecting to ya.ru|93.158.134.3|:80... failed: Connection timed out.

а также passive FTP, и yum, и пр.
Т.е. похоже именно правило

-A INPUT -p tcp -m tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

и не работает, модулей ip_conntrack и ip_conntrack_ftp нет и установить их нельзя, т.к. OpenVZ (?) Логов тоже нет, т.е. посмотреть что именно дропится тоже никак.

В техподдержке хостера меня уже люто ненавидят, посоветовали через флаги, но добавление

-A INPUT -p tcp -m tcp --tcp-flags SYN,ACK SYN -j ACCEPT

не помогает.

Что ему еще надо, чтоб related пускало? :INPUT ACCEPT [0:0] -> все работает

Вопрос задан более трёх лет назад
8049 просмотров

Комментировать

Подписаться 3 Оценить Комментировать

Пригласить эксперта

Ответы на вопрос 4

1 комментарий

3 комментария

smartlight @smartlight

и попробуй очищать все правила iptables при применении новых/измененных.
# #reset default polices in the filter table # $IPTABLES -P INPUT ACCEPT $IPTABLES -P FORWARD ACCEPT $IPTABLES -P OUTPUT ACCEPT # #reset default polices in the nat table # $IPTABLES -t nat -P PREROUTING ACCEPT $IPTABLES -t nat -P POSTROUTING ACCEPT $IPTABLES -t nat -P OUTPUT ACCEPT # #reset default polices in the mangle table # $IPTABLES -t mangle -P PREROUTING ACCEPT $IPTABLES -t mangle -P OUTPUT ACCEPT # #flush all rules in the filter anf nat table # $IPTABLES -F $IPTABLES -t nat -F $IPTABLES -t mangle -F # #erase all chains that's not default in filter and nat table # $IPTABLES -X $IPTABLES -t nat -X $IPTABLES -t mangle -X
отдельным скриптом сделай очистку

Написано более трёх лет назад
Сергей Савостин @savostin Автор вопроса

Спасибо, все естественно очищается:
>iptables -nL Chain INPUT (policy ACCEPT) target prot opt source destination ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:53 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp state RELATED,ESTABLISHED ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy DROP) target prot opt source destination

Написано более трёх лет назад
Сергей Савостин @savostin Автор вопроса

сори, это я пробовал уже все что можно. Вот правильный:
>iptables -nL Chain INPUT (policy DROP) target prot opt source destination ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255 ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:53 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp state RELATED,ESTABLISHED ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destination

Написано более трёх лет назад

Комментировать

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

Linux

+1 ещё

Простой
Как заблокировать с помощью iptables все исходящие запросы на сервые подсети?
- 1 подписчик
- 09 апр.
- 94 просмотра
2

ответа
Linux

+1 ещё

Простой
Как правильно запретить выход на "серые" сети через eth0?
- 1 подписчик
- 27 мар.
- 94 просмотра
2

ответа
Компьютерные сети

+4 ещё

Сложный
Почему изменяется порт udp пакета после маскарада?
- 3 подписчика
- 18 мар.
- 2950 просмотров
1

ответ
Iptables

+1 ещё

Простой
Почему Iptables не блокирует сеть спамеров?
- 1 подписчик
- 11 мар.
- 114 просмотров
1

ответ
Iptables

Средний
Iptables nat для strongswan accel-l2tp — как подружить?
- 1 подписчик
- 04 мар.
- 65 просмотров
2

ответа
Linux

+2 ещё

Средний
Изменения порта источника в iptables?
- 1 подписчик
- 22 февр.
- 140 просмотров
1

ответ
Компьютерные сети

+2 ещё

Сложный
Как настроить iproute на машине с двумя сетевыми интерфейсами?
- 2 подписчика
- 09 февр.
- 689 просмотров
0

ответов
Компьютерные сети

+3 ещё

Средний
Как пробросить порты, чтобы сохранить оригинальный ip клиента?
- 1 подписчик
- 08 февр.
- 344 просмотра
1

ответ
Iptables

+1 ещё

Средний
Переезд с iptables на nftables?
- 2 подписчика
- 07 февр.
- 365 просмотров
1

ответ
Linux

+3 ещё

Средний
Как открыть порты iptables для outline?
- 1 подписчик
- 22 янв.
- 424 просмотра
2

ответа
Показать ещё Загружается…

Системный администратор

Мотив • Воронеж

от 110 000 ₽

Инженер по тестированию продукта

МАЙНИТЕК • Екатеринбург

от 60 000 ₽

Backend Developer в бьюти-платформу LUUK

УК «Решения» • Москва

от 200 000 ₽

Реализация 1-страничного сайта-тренажера

20 апр. 2024, в 10:50

3500 руб./за проект

Создать дизайн приложения в Qt Designer

20 апр. 2024, в 10:45

800 руб./в час

Доработать веб приложение

20 апр. 2024, в 10:38

5000 руб./за проект

Answer 1 · 2011-09-10 10:55:02

Влад Животнев @inkvizitor68sl

Linux-сисадмин с 8 летним стажем.

Внутри OpenVZ вы не можете делать modprobe. Просите хостера включить нужные вам модули.

Ответ написан более трёх лет назад

1 комментарий

Answer 2 · 2011-09-09 22:01:12

сделай так:

# Keep state.

$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT



# http/https, smtp/smtps, pop3/pop3s, imap/imaps, ssh

$IPTABLES -A INPUT -p tcp -m multiport --dport 80,443,25,465,110,995,143,993,587,465,22 -j ACCEPT



# Loop device.

$IPTABLES -A INPUT -i lo -j ACCEPT



# Allow PING from remote hosts.

$IPTABLES -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

просмотр текущих правил: iptables -nL

Answer 3 · 2011-09-09 22:03:51

smartlight @smartlight

покажи вывод iptables -nL

кстати, есть еще tcpdump — он хорошо помогает в отладке настроек

Ответ написан более трёх лет назад

3 комментария

Answer 4 · 2011-09-11 23:10:35

Вобщем методом тыка мне кажется получилось:
-A INPUT -p tcp -m tcp --tcp-flags ACK ACK -j ACCEPT
Если кто-то разбирается, подскажите пожалуйста что я сделал, чем это может грозить и что еще нужно добавить?
Полный iptables теперь выглядит так:

> /sbin/iptables -nL

Chain INPUT (policy DROP)

target prot opt source destination

ACCEPT all -- 0.0.0.0/0 0.0.0.0/0

ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 255

ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:53

ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp state RELATED,ESTABLISHED

ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x10/0x10

ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22

ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80



Chain FORWARD (policy ACCEPT)

target prot opt source destination



Chain OUTPUT (policy ACCEPT)

target prot opt source destination

Помогите с настройкой iptables

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт