Keresés: - IPtables topic - Fototrend Hozzászólások

LOGOUT témák

PROHARDVER! témák

Mobilarena témák

IT café témák

GAMEPOD témák

Keresés

Új hozzászólás Aktív témák

#135 Jester01 veterán VladimirR #134

Új Válasz 2007-01-08 23:49:31 #135
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz VladimirR #134 üzenetére

Én meg a kérdésed nem értem Az iptables alapból csomagszûrõ. Ha azt mondtad neki, hogy csak a 22es és 80as portra engedjen be csomagot akkor azt fogja csinálni. Egy csomag önmagában hiába válasz egy kimenõ csomagra, mert nem a kapcsolatot engedélyezi hanem minden csomagra megnézi. Ezért kell a ''state'' szûrõ, ami nyilvántartja a kapcsolatokat.

Az ftp-s dolog meg egy biztonsági beállítás miatt van ami megköveteli az ip címek egyezését és õ nem tudja, hogy ez a kettõ ugyanaz. Rugdosni kellene a klienst, hogy azt az ip-t küldje a port parancsban amelyik ipn a szerver látja.
#133 Jester01 veterán VladimirR #132

Új Válasz 2007-01-08 22:47:54 #133
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz VladimirR #132 üzenetére

Az a baj, hogy a kifelé kezdeményezett kapcsolatokra érkezõ választ is eldobod. A példádban a lokális 3422-es portról kapcsolódtál a ph! 80-as portjára, így az onnan érkezõ válaszcsomag a 3422-es portra irányul ezt pedig letiltottad.

Megoldásként például:
iptables -A INPUT -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT

Fapadosabb és kevésbé biztonságos (viszont nem olyan erõforrásigényes), ha az 1024 feletti portokra engedélyezed a kapcsolódást.
#124 Jester01 veterán kymco #123

Új Válasz 2006-10-06 19:48:46 #124
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz kymco #123 üzenetére

Nem, hanem magukat a route és iptables parancsokat.
Ez olyan mint a dosos időkben az autoexec.bat, vagyis induláskor végrehajtja a benne lévő parancsokat.
#122 Jester01 veterán kymco #121

Új Válasz 2006-10-02 14:35:01 #122
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz kymco #121 üzenetére

Ha nincs meg a pontos helye, akkor végső elkeseredésedben tedd be egy általános helyre, talán /etc/rc.d/rc.local.
#117 Jester01 veterán kymco #115

Új Válasz 2006-09-28 14:57:12 #117
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz kymco #115 üzenetére

Debian alatt az /etc/network/interfaces fájlba közvetlenül is bele lehet írni a megfelelő interface-hez:

# A more complicated ethernet setup: (the ''up'' lines are executed verbatim
# when the interface is brought up, the ''down'' lines when it's brought down)
#
# iface eth0 inet static
# address 192.168.1.42
# network 192.168.1.0
# netmask 255.255.255.128
# broadcast 192.168.1.0
# up route add -net 192.168.1.128 netmask 255.255.255.128 gw 192.168.1.2
# up route add default gw 192.168.1.200
# down route del default gw 192.168.1.200
# down route del -net 192.168.1.128 netmask 255.255.255.128 gw 192.168.1.2
#113 Jester01 veterán kymco #112

Új Válasz 2006-09-26 19:38:10 #113
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz kymco #112 üzenetére

Hmm, ha a UG akkor valószínűleg nem * van a második oszlopban. Ha mégis, akkor nem jó, és addig rugdosd amíg ott a novelles gép ipje (172.16.10.128) nem lesz. A parancsot L3zl13 írta a #107ben. Gondolom a novelles gép 10-es hálókártyájára van dugva a linux.

Kb ilyen route tábla kellene:

172.16.10.0 * 255.255.255.0 U 0 0 0 eth0
172.16.11.0 172.16.10.128 255.255.255.0 UG 0 0 0 eth0
172.16.12.0 172.16.10.128 255.255.255.0 UG 0 0 0 eth0
10.10.10.0 * 255.255.255.0 U 10 0 0 eth1
default 10.10.10.1 0.0.0.0 UG 10 0 0 eth1
#111 Jester01 veterán kymco #110

Új Válasz 2006-09-26 16:41:44 #111
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz kymco #110 üzenetére

Tehát akkor most hogy néz ki a route tábla?

MOD: jól értem, hogy akkor a linux a saját ipjét nem tudja tracelni?

[Szerkesztve]
#99 Jester01 veterán kymco #96

Új Válasz 2006-09-25 15:32:48 #99
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz kymco #96 üzenetére

Gugli szerint /etc/sysconfig/iptables. A log pedig alapból a syslogon keresztül megy, hogy melyik logba kerül az attól függ hogyan van beállítva a daemon. Jó eséllyel a /var/log/syslogban találod.
#94 Jester01 veterán vtechun #93

Új Válasz 2005-12-20 19:40:32 #94
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz vtechun #93 üzenetére

Szerintem nem lesz jó
Azt kellene kideríteni merre mennek az internetes csomagok, mondjuk a LOG target megfelelõ alkalmazásával. Meg ha esetleg mutatnál teljes szabálylistát.
#92 Jester01 veterán vtechun #91

Új Válasz 2005-12-20 18:59:24 #92
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz vtechun #91 üzenetére

Az a tagadás jele
Ez a szabály elvileg azt jelenti, hogy dobjon el minden olyan csomagot, ami a 192.168.1.xxx iprõl jön, és nem a 192.168.0.xxx felé megy.
#90 Jester01 veterán vtechun #89

Új Válasz 2005-12-20 17:33:42 #90
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz vtechun #89 üzenetére

Ha dabadab megoldása sem jó, akkor íme egy újabb javaslat:
iptables -I FORWARD -s 192.168.1.0/255.255.255.0 -d ! 192.168.0.0/255.255.255.0 -j DROP

Csak azt nem értem, hogy az én elsõ javaslatom hatására miért ment még mindig az internet? Az vili, hogy a belsõ hálót tiltotta, de elvileg minden átmenõ forgalmat tiltania kellett volna. Vajon melyik láncon megy az internet felé?
#88 Jester01 veterán dabadab #87

Új Válasz 2005-12-20 16:56:06 #88
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz dabadab #87 üzenetére

Akkor is ott volt amikor válaszoltam rá?
Nem jelezted, hogy mit szerkesztettél...
De gondoltam megvárom amíg a kedves kérdezõ elárulja végre hogyan néz ki a hálózata
#86 Jester01 veterán dabadab #84

Új Válasz 2005-12-20 16:33:23 #86
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz dabadab #84 üzenetére

Jah, én is ezt mondtam, de nem jó
(Illetve én insertet és nem appendet írtam, mert a tiltást jobb a lánc elejére tenni)
#85 Jester01 veterán vtechun #83

Új Válasz 2005-12-20 16:31:22 #85
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz vtechun #83 üzenetére

Ahha! Szóval két alháló van. Tudtam én, hogy valami turpisság van a dologban
No és az internet az merre van? Harmadik hálókártyán? NAT van?
#82 Jester01 veterán vtechun #79

Új Válasz 2005-12-20 15:01:03 #82
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz vtechun #79 üzenetére

Akkor ott valami furcsa topológia van, de legalábbis nem az, amire én gondoltam.
Úgy képzeltem, hogy van egy rakat gép egy helyi hálón amik egy/több switchen látják egymást, illetve van egy firewall gép, amin keresztül neteznek. Ebben a konfigban a firewallon eleve nem is lehet tiltani a helyi hálót, mert nem megy rajta keresztül. Az internetet viszont nálam ez remekül letiltja.
#78 Jester01 veterán vtechun #77

Új Válasz 2005-12-20 01:34:50 #78
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Jester01

veterán

válasz vtechun #77 üzenetére

iptables -I FORWARD -s ipcim -j DROP