Не могу настроить iptables

29.06.2010 15:39 #55548

Товарищи! бьюсь месяц с Centos-5.4 и безрезультатно. пинг идёт во внеху и в локаль! хожу через роутер на фряхе. при вводе dmesg пишет длинный тред и в конце removing netfilter netlink layer

29.06.2010 16:11 · отредактировано #55556

#dmesg
#ps -ef|grep iptables
#iptables -L -v -n
ну и само правило покажи что ли :-)

30.06.2010 06:21 · отредактировано #55677

не знаю как код вставлять наворотил рисунков.

dmesg

30.06.2010 06:24 #55678

ps -ef|grep iptables

30.06.2010 06:29 #55679

сами правила

30.06.2010 06:52 #55682

в mozille очень долго всё открывается, хочу настроить CentOS как роутер, а у меня даже как рабочая станция не пашет. вроде цепочки правильные, по умолчанию. с freebsd натится интернет на этот комп через /etc/pf.conf. рядом стоит машина на которой я фряху поднял, и она ходит в интернет, порты обновляются. а с цинтосом - беда

30.06.2010 09:23 #55698

А какую цель преследуете? Что собственно Centos делать должен? По Вашим правилам это не понятно.

30.06.2010 10:16 #55703

Вначале настроить просто рабочую станцию, чтобы с цинтоса просто ходить в инет. я про netfilter мало что знаю. а судя по логам, виноват как раз он и iptables неправильно настроены(

30.06.2010 10:38 #55705

Soloway написал:
не знаю как код вставлять наворотил рисунков.

теги [ code ] [ / code ] только без пробелов

30.06.2010 11:16 #55708

минимально необходимые настройки iptables можно сделать с помощью system-config-securitylevel-tui

30.06.2010 11:27 #55710

Hrafn написал:
минимально необходимые настройки iptables можно сделать с помощью system-config-securitylevel-tui

спасибо, именно это я и сделал в последний раз.. и ничего не произошло

30.06.2010 11:28 · отредактировано #55711

i2ks написал:
[quote=Soloway]не знаю как код вставлять наворотил рисунков.

теги [ code ] [ / code ] только без пробелов[/quote]
это понятно, только у меня рисунки плохо сканит долбаный файнридер! Скажите что такое пишет после dmesg?

30.06.2010 11:38 #55715

Soloway, а с консоли скопировать и сюда ни как?

30.06.2010 11:49 #55717

Soloway написал:
спасибо, именно это я и сделал в последний раз.. и ничего не произошло

тогда расписывайте пошагово, что вы делали... там сложно накосячить так, чтобы iptables перестал пускать

30.06.2010 11:58 #55721

ну хорошо, а что это меняет? вот!

dmesg

text

lo: Disabled Privacy Extensions
IPv6 over IPv4 tunneling driver
ACPI: Power Button (FF) [PWRF]
ACPI: Power Button (CM) [PWRB]
md: Autodetecting RAID arrays.
md: autorun ...
md: ... autorun DONE.
device-mapper: multipath: version 1.0.5 loaded
EXT3 FS on dm-0, internal journal
kjournald starting.  Commit interval 5 seconds
EXT3 FS on sda1, internal journal
EXT3-fs: mounted filesystem with ordered data mode.
Adding 1048568k swap on /dev/VolGroup00/LogVol01.  Priority:-1 extents:1 across:1048568k
powernow-k8: Pre-initialization of ACPI failed
powernow-k8: Found 1 AMD Athlon(tm) 64 Processor 3500+ processors (1 cpu cores) (version 2.20.00)
ACPI Exception (acpi_processor-0260): AE_NOT_FOUND, Evaluating _PSS [20060707]
powernow-k8: BIOS error - no PSB or ACPI _PSS objects
ip6_tables: (C) 2000-2006 Netfilter Core Team
ip_tables: (C) 2000-2006 Netfilter Core Team
Netfilter messages via NETLINK v0.30.
ip_conntrack version 2.4 (2047 buckets, 16376 max) - 304 bytes per conntrack
Bluetooth: Core ver 2.10
NET: Registered protocol family 31
Bluetooth: HCI device and connection manager initialized
Bluetooth: HCI socket layer initialized
Bluetooth: L2CAP ver 2.8
Bluetooth: L2CAP socket layer initialized
Bluetooth: RFCOMM socket layer initialized
Bluetooth: RFCOMM TTY layer initialized
Bluetooth: RFCOMM ver 1.8
Bluetooth: HIDP (Human Interface Emulation) ver 1.1
eth0: no IPv6 routers present
Removing netfilter NETLINK layer.
ip_tables: (C) 2000-2006 Netfilter Core Team
Netfilter messages via NETLINK v0.30.
ip_conntrack version 2.4 (2047 buckets, 16376 max) - 304 bytes per conntrack
Removing netfilter NETLINK layer.
ip_tables: (C) 2000-2006 Netfilter Core Team
Netfilter messages via NETLINK v0.30.
ip_conntrack version 2.4 (2047 buckets, 16376 max) - 304 bytes per conntrack
iptables

/sbin/iptables -L -v -n

text

[root@centos54 aka]# /sbin/iptables -L -v -n
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
  174 14803 RH-Firewall-1-INPUT  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RH-Firewall-1-INPUT  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
Chain OUTPUT (policy ACCEPT 20 packets, 7335 bytes)
 pkts bytes target     prot opt in     out     source               destination         
Chain RH-Firewall-1-INPUT pkts bytes target 0     0 ACCEPT 174 14803 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 ACCEPT 0     0 REJECT

(2 references) prot opt in     out     source               destination all  --  lo     *       0.0.0.0/0            0.0.0.0/0 all  --  eth0   *       0.0.0.0/0            0.0.0.0/0 icmp --  *      *       0.0.0.0/0            0.0.0.0/0           icmp type 255 esp  --  *      *       0.0.0.0/0            0.0.0.0/0 ah   --  *      *       0.0.0.0/0            0.0.0.0/0 udp  --  *      *       0.0.0.0/0            224.0.0.251         udp dpt:5353 udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:631 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:631 all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:23 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:25 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:80 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:21 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:443 udp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW udp dpt:137 udp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW udp dpt:138 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:139 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:445 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:2049 all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

cat /etc/sysconfig/iptables

text

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -i eth0 -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 23 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 137 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m udp -p udp --dport 138 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 139 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 445 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 2049 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT
*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth0 -j MARK --set-mark 0x9
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -m mark --mark 0x9 -j MASQUERADE
COMMIT

30.06.2010 12:00 #55722

Сетевые настройки покажите и заодно /etc/resolv.conf

30.06.2010 12:01 #55723

Настраивал шлюз, DNS и конфиг. ходит с трудом. Юм вообще не отвечает, уходит в зеркала с ногами и не отвечает. может ещё что-нибудь показать?

30.06.2010 12:08 #55725

text

/sbin/ifconfig
eth0      Link encap:Ethernet  HWaddr 00:14:85:33:5C:26  
          inet addr:192.168.23.118  Bcast:192.168.23.255  Mask:255.255.255.0
          inet6 addr: fe80::214:85ff:fe33:5c26/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:33358 errors:0 dropped:0 overruns:0 frame:0
          TX packets:381 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:2840887 (2.7 MiB)  TX bytes:77970 (76.1 KiB)
          Interrupt:217 Base address:0xc000 
lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:1157 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1157 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:1976292 (1.8 MiB)  TX bytes:1976292 (1.8 MiB)

text

[root@centos54 aka]# cat /etc/resolv.conf
nameserver 192.168.23.3

30.06.2010 12:19 #55727

Soloway написал:
nameserver 192.168.23.3

я так понимаю, что это айпишник сервера с фрей? днс на нем поднят?

30.06.2010 12:52 #55735

да всё правильно.. конечно поднят!