Мегафоновский модем+iptables проблемы с нетом

есть комп с установленым debian
на нём настроен фаервол

#!/bin/bash
#этот модуль позволяет работать с ftp в пассивном режиме
modprobe nf_conntrack_ftp
#очистка цепочек
iptables -F INPUT 
iptables -F OUTPUT
iptables -A FORWARD
#Запрет всего
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
#включение логов iptables
#префиксы сообщений iptables 
#iptables -A INPUT -p tcp  -j LOG --log-prefix "input tcp"
#iptables -A INPUT -p icmp -j LOG --log-prefix "input icmp"
#логи входящих tcp udp icmp
#iptables -A INPUT -j LOG --log-level 4
#цепочка input разрешаем пакеты с сотоянием RELATED,ESTABLISHED
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#разрешаем все входящие пакеты на интрефейс замыкания на себя
iptables -A INPUT -i lo -j ACCEPT
#разрешаем входящие по icmp
iptables -A INPUT -p icmp -j ACCEPT
#разрешаем подключение по  ssh
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
#разрешаем ntpdate-синхронизация времени
iptables -A INPUT -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -p udp --dport 123 -j ACCEPT
#разрешаем ftp без пассивного режима
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 20 -j ACCEPT
#цепочка output разрешаем пакеты с сотоянием RELATED,ESTABLISHED
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
#разрешаем все исходящие пакеты с  интрефейса замыкания на себя
iptables -A OUTPUT -o lo -j ACCEPT 
#разрешаем входящие на на порт 8080
iptables -A OUTPUT -p tcp --dport 8080 -j ACCEPT

установлена опера которая была настроена на внутри сетевой проксик ,
комп от сети отключили и переместили в другое место , на нём нужен нет
воткнули в него мегафоновский модем е1550
настроили его, подключаемся к нету с помощью фирменой утилиты
ifconfig показует что ppp0 создался
пытаюсь выйти в нет через браузер с (настройки старого прокси очищены ) нета нет

У этой фирменной утилиты есть специфические баги.
Много раз обсуждалось на форуме.
Для начала посмотрите вывод команды
[console]ls -l /etc/resolv.conf[/console]

virdebian:/etc/init.d# ls -l /etc/resolv.conf
-rw-r--r-- 1 root root 94 Сен 15 11:04 /etc/resolv.conf

содержание resolf (тачка была в сети с dns серваком и настроена на него )
хотя при подключении с помощью утилиты resolf.conf
появляются
nameserver 83.149.24.244
nameserver 83.149.24.243
перед старыми настройками
содержание resolf.conf
nameserver 83.149.24.244
nameserver 83.149.24.243
#страые настройки
search kagaz.local
nameserver 192.168.3.249

Инет то теперь не через прокси, а у вас закрыты udp 53 и tcp 80.

a-x написал:

Инет то теперь не через прокси, а у вас закрыты udp 53 и tcp 80.

гмм тогда поставим такой вопрос какие порты должны быть открыты при соединение с нетом напрямую через модем ?

Странный вопрос. Вам интернет для чего нужен? Вот ответив на этот вопрос себе и открывайте нужные порты.

нужен нет для браузера opera , я так понял для этого должны быть открыты порты tcp 80 и udp 53 ?
таким образом:

кроме всего того что я поjткрывал раньше должнобыть еще так ?

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

Не буду цеплятся, вообщем вам нужен http, а это 80 tcp порт. 53 нужен для DNS.

Не надо делать в INPUT никаких --dport 53,80 это дыра. Все ответные пакеты у вас пройдут в цепочке INPUT по правилу
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

drac753 написал:

ifconfig показует что ppp0 создался
пытаюсь выйти в нет через браузер с (настройки старого прокси очищены ) нета нет

Ключевое слово - выйти через броузер. Наверняка в вашем случае пинги ходят и имена разрешаются. То есть выход в сеть есть. А нет только возможности работать бровсером по http. Более того, если походить на веб-сайты тривиальным телнетом, то увидим, что и они откликаются, но потом возникает ошибка и соединение рвется. Верно описал симптомы?

А если верно - то собака зарылась не в IPTABLE совершенно. Поставьте MTU=1394 и радуйтесь жизни.

гмм народ признаю себя дубом , еще раз просмотрел всё что писал и понял почему уменя небыло нета через стандартную утилиту -
не был прописан gateway в настройках сетевого интерфейса
пишем gateway 10.64.64.64 взял его из ppp0 (P-t-P:10.64.64.64)
рестартуем интерфейс ifconfig eth0 down, затем ifconfig eth0 up подключаемся к нету с помощью стандартной утилитки и вперёд по волнам веба

народ вродебы все поборол окончательно нет идёт через модем с настроеным фаерволом
ниже содержание скрипта прошу оценить и сообщить о видимых недостатках smile , комп пока не проксик а просто тачка снетом smile

#!/bin/bash
#этот модуль позволяет работать с ftp в пассивном режиме
modprobe nf_conntrack_ftp
#очистка цепочек
iptables -F INPUT 
iptables -F OUTPUT
iptables -A FORWARD
#Запрет всего
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
#включение логов iptables
#префиксы сообщений iptables 
#iptables -A INPUT -p tcp  -j LOG --log-prefix "input tcp"
#iptables -A INPUT -p icmp -j LOG --log-prefix "input icmp"
#логи входящих tcp udp icmp
#iptables -A INPUT -j LOG --log-level 4
#разрешаем все входящие пакеты на интрефейс замыкания на себя иначе ничего не работает 
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT 
#РАЗРЕШЕНЫ ТОЛЬКО ВХОДЯЩИЕ СОЗДАННЫЕ НАШИМИ ИСХОДЯЩИМИ
iptables -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT 
iptables -A INPUT -p UDP -m state --state ESTABLISHED,RELATED -j ACCEPT
#разрешаем любые входящие и исходящие по icmp
iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT
#разрешаем подключение по  ssh INPUT разрешаем для того чтобы было можно конектится с любой тачки посети  
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 22 -j ACCEPT
#разрешаем ntpdate-синхронизация времени
iptables -A OUTPUT -p udp --dport 123 -j ACCEPT
#разрешаем ftp без пассивного режима
iptables -A OUTPUT -p tcp --dport 21 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 20 -j ACCEPT
#разрешаем входящие и исходящие на на порт 80 инет и 53 - dns 
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

1.iptables -A FORWARD это видимо ошибка, заменить.
2.Посмотрите в строну работы с SYN
3. C активным ftp что-то не так. Если он у вас стоит, то это близко к сути, но работать не будет, а если в инете, то надо понимать, что это сервер иницирует соединение по 20 порту, а не клиент. Поэтому при такой схеме не подключитесь к ftp в активном режиме.
4. Дело хозяйское, но я обычно в DROP сразу отправляю пакеты, которые создают большой траффик, чтобы не гонять их по правилам. Как пример это виндовая сеть, dhcp, hasp и прочее.
5. Если нет реальной необходимости подключаться по SSH из инета, ужесточите правила в INPUT, хотя бы по интерфейсу.

1.iptables -A FORWARD это видимо ошибка, заменить.

ага с эти согласен заменил уже

2.Посмотрите в строну работы с SYN

имеете в виду что в цепочку
iptables -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
необходимо добавить SYN?

3. C активным ftp что-то не так. Если он у вас стоит, то это близко к сути, но работать не будет, а если в инете, то надо понимать, что это сервер иницирует соединение по 20 порту, а не клиент. Поэтому при такой схеме не подключитесь к ftp в активном режиме.

Стоит в локальной сети на другой тачке нормально работает (заработал после подключения modprobe nf_conntrack_ftp)

5. Если нет реальной необходимости подключаться по SSH из инета, ужесточите правила в INPUT, хотя бы по интерфейсу.

согласен сделаю привязку по ип

по поводу nf_conntrack_ftp может быть, но тогда я не уверен, что нужна строка --dport 20. Ведь с 20-ки инициирует сервер и если nf_conntrack_ftp это пропустил, то обратку, то тем более.

По SYN это пакеты установки TCP соединения, левак лучше сразу отбрасывать.
$IPTABLES -A INPUT -p tcp --tcp-flags SYN,ACK SYN,ACK -m conntrack --ctstate NEW,INVALID -j REJECT
# Запретим открывать соединение не SYN пакетом
$IPTABLES -A INPUT -p tcp -m conntrack --ctstate NEW ! --syn -j DROP

Второй вполне очевиден, с первым там сложнее, пакет не отбрасывается, а посылается ответ типа хост не доступен, именно такое поведение лучше защищает от атак причем это скорее защита другого хоста. В мануале об этом можно прочитать.

a-x написал:

по поводу nf_conntrack_ftp может быть, но тогда я не уверен, что нужна строка --dport 20. Ведь с 20-ки инициирует сервер и если nf_conntrack_ftp это пропустил, то обратку, то тем более.

По SYN это пакеты установки TCP соединения, левак лучше сразу отбрасывать.
$IPTABLES -A INPUT -p tcp --tcp-flags SYN,ACK SYN,ACK -m conntrack --ctstate NEW,INVALID -j REJECT
# Запретим открывать соединение не SYN пакетом
$IPTABLES -A INPUT -p tcp -m conntrack --ctstate NEW ! --syn -j DROP

Второй вполне очевиден, с первым там сложнее, пакет не отбрасывается, а посылается ответ типа хост не доступен, именно такое поведение лучше защищает от атак причем это скорее защита другого хоста. В мануале об этом можно прочитать.

спасибо за ответ ща буду пилить ман