09. november 2004 - 20:44Der er
18 kommentarer og 1 løsning
Iptables Server Gør mærkeligt HJÆLP
Hej....
Lige inden jeg stiller spørsmålet så,, jeg er alså ikke tosset :-))
Jeg har en Debian server som jeg bruger som router, det virker meget fint.. næsten da. Jeg kan ikke komme på MSN, jeg kan heller ikke komme på http://www.msn.dk eller http://www.dba.dk men på alle andre sider på nette ??????. Hvis jeg tager min gl. router fra TDC så virker det hele fint. Alså så må det jo værer på min server/router. Jeg bruger Iptables som firewall på routeren, men jeg kan sgu da ikke lukke af for nogle hjemmesider eller kan jeg ??????? Det virker meget mærkeligt. så her kommer lige et STORT HJÆLP. Der er heller ikke proxyserver på så det er ikke den der bloker.
Har forsøkt å kjøre med trafikkmonitor opp mot de to sidene. Kan ikke se at det skulle være noe speiselt med dem rent "firewallmessig". Det hele ser ut til å være standard port 80 trafikk, men det dreier seg for begge webstedene om et ganske komplekst trafikkmønster, det vil i praksis si at sidene består av mange delelementer som hentes ned fra forskjellige web servere.
Normalt så skulle jo ikke dette være noe problem. Det man kanskje kunne tenke på det var om det eventuelt kunne dreie seg om en natforbindelse gjennom firewall som kjører bare sånn delvis, slik at den på en eller annen måte mister "tracking" på datastrømmen.
Om det går ann å stenge ute visse sider på nettet .. tja, ja og nei .. det er enkelt å stenge ute visse porter, for eksempel alle krypterte sider og det er enkelt å stenge ute visse ip adresser. Det er ikke så enkelt å stenge ute visse adresser. (Dette kan eventuelt lettest gjøres hvis man kjører Squid eller en annen proxy.)
En feil som vil kunne medføre at visse adresser ikke kommer opp, det er viss det er noe feil med DNS resolving oppsettet. Hvis man taster "ping www.msn.dk" og "ping www.dba.dk" så vil man kunne se om den resolver dette til korrekt ip. Hvis dette skjer så virker dns resolvingen og da er dette utelukket.
Ellers hva med å legge ut den utskriften som kommer dersom du taster kommandoene "iptables -L" og "iptables -t nat -L".
Har du ellers noe firewall script eller noe det hadde gått ann å se på som "troubleshooting". Er det du selv som har satt opp firewall ?
Du kan jo ellers anonymisere eventuelle globale ip slik at vi ikke legget ut "hackermat".
# STATE RELATED for router iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
(Hvis det da kjører så har vi lokalisert feilen til å ha noe med fitreringen gjennom forward chains å gjøre.)
En annen sak ..
Dette skal kunne fungere
iptables -A FORWARD -j ACCEPT -i $LAN_NIC -s $LAN_IP_NET
Og dette skal kunne fungere:
iptables -A FORWARD -i $LAN_NIC -s $LAN_IP_NET -j ACCEPT
De fleste referanser jeg har sett bruker den siste varianten med -j ACCEPT helt til høyre. Mon det kan skape problemer å veksle syntaks fra linje til linje. Vet ikke dette men ville satset på en fast syntaks. Bruker selv normalt den siste variant.
Da blir det:
# enable Masquerade and forwarding iptables -t nat -A POSTROUTING -s $LAN_IP_NET -j MASQUERADE iptables -A FORWARD -i $LAN_NIC -s $LAN_IP_NET -j ACCEPT iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
Jeg har brugt den samme firewall på Debian Woody kernel 2.4.27 og der var der ikke nogle problemer. Nu bruger jeg Debian Sarge kernel 2.6.8 og det virker ikke, eller delvist. ??
Hvad sker der hvis du forsøger at komme ind på de sider? Timer forbindelsen ud efter et par minutter, eller siger den connection refused? Hvis den timer ud, så tjek med tcpdump på det eksterne interface, om der både bliver sendt og modtaget data til og fra de servere. Hvis der gør det, så tror jeg du er løbet ind i et problem med at du blokerer alt icmp. Der er en grund til at icmp findes, bla. for at give besked hvis nogle pakker er for store til at kunne blive håndteret. Det er en typisk fejl, som jeg også selv løb ind i i går.
# Begrænser pings iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 2/sec --limit-burst 2 iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
# Accepterer alt andet icmp, herunder fragmentation-needed iptables -A INPUT -p icmp -j ACCEPT iptables -A FORWARD -p icmp -j ACCEPT iptables -A OUTPUT -p icmp -j ACCEPT
Den eneste større forskjell jeg har oppdaget med 2.6.x kernel mht konfigurering av firewall, det er hvordan den håndterer en bridge nå filtrere den bridgen som default, før så gjode den ikke det. Det finnes vel ikke noe bridgeoppsett eller noe slikt på maskinen ??
Xyborx ->
Skulle man behøve icmp ?? Mener da selv at jeg har kjørt med denne satt til drop faktisk i årevis uten at dette har medført noe annet problem enn at jeg ikke kan pinge min egen server.
Ellers så blir jo limit 2 og burst 2 veldig lavt dersom det er satt en slik grense i andre sammenhenger enn for "ping".
langbein> Det er også et relativt sjældent problem, med det lyder umiddelbart som om det kunne være tilfældet her. Jeg har også kørt med drop i lang tid uden problemer, men på nogle forbindelser med en vis MTU (mener jeg det var), der får man altså det problem. Det er da værd at prøve om det virker :)
Limit'en kommer kun til at gælde for indkommende pings. På den måde kan man debugge, men ikke overbelaste. Hov, jeg har da glemt -j ACCEPT bagpå den linie..
Kan TDC have lavet om på noget på min pppoe forbindelse ?? jeg mener det har jo virket. Kan jeg juster noget på pppoe forbindelsen der kan gører en forskel.
Her tror jeg det går galt 17:10:21.943515 PPPoE [ses 0x889a] [length 17 (59 extra bytes)] IP truncated-ip - 453 bytes missing! 213.199.154.84.www > 0x50c70e09.adsl-fixed.tele.dk.1190: P 1:488(487) ack 494 win 17027
Men jeg er så ikke så sikker på hvordan det fikses. Jeg kan se i min /etc/ppp/pppoe.conf at de anbefaler CLAMPMSS=1412 hvis maskinen fungerer som router, i stedet for CLAMPMSS=no der er fint til en enkelt maskine. Måske er det der problemet ligger?
Nu gider jeg ikke mere, jeg sætter min router på og så er det, det. Jeg har prøvet alt hvad i har skrevet, og jeg kan ikke få det til at virke. Det kan værer et debian problem eller også er det ikke. ??? Overvejer at prøve med en anden dist, bare for at prøve. "love debian :-))" Det er bare trist, for det har kørt fint i et års tid eller mere.
SÅ KOM LIGE MED ET GULDKORN. :-(
eller må i jo komme med et svar. så i kan få point
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
