Настоятельно просим вас при общении соблюдать Правила форума и законы РФ. Наша тематика вне политики, поэтому воздержитесь от обсуждения ситуации на Украине и связанных с ней событий, независимо от того, какую сторону вы поддерживаете.
Также напоминаем, что наш форум находится в доменной зоне .ru, физически расположен на российских серверах и мы соблюдаем действующее законодательство России. Любые сообщения о политике будут удаляться.
Linux Forum → Администрирование и настройка сетей → iptables
Страницы Назад 1 … 10 11 12 13 14 15 Далее
Чтобы отправить ответ, вы должны войти или зарегистрироваться
pptp слушает порт 1723, а у вас он не слушаетса. У вас сервер pptp запущен.
Что говоритps ax | grep pptp
VPN сервер находится в другом городе и мне нужно на моём роутере поднять pptp-подключение. Оно прекрасно поднимается когда политика $IPT -P OUTPUT ACCEPT, а мне нужно что было $IPT -P OUTPUT DROP. Проблема в iptables... 
Ага теперь понял. А если так
iptables -A OUTPUT -p 47 -j ACCEPT
iptables -A OUTPUT -p tcp -d IP_VPN_SERVER --dport 1723 -j ACCEPTАга теперь понял. А если так
iptables -A OUTPUT -p 47 -j ACCEPT iptables -A OUTPUT -p tcp -d IP_VPN_SERVER --dport 1723 -j ACCEPT
Таким образом получилось подключиться к VPN серверу который находится в локальной сети, а к внешнему так и не подключается.
А внешний что ещё за какимто фаерволом. Или как.
А внешний что ещё за какимто фаерволом. Или как.
Нет...
А покажыте но вывод такой
iptables -SВаш роутер подключён к интернету и он должен в интернете конектитса к VPN верно.
Тогда покажыте лог конекта к этому серваку что нужно.
vpn.log
Если политику OUTPUT поставить а ACCEPT конектитса к VPN серверу????
Да.
Что то ещё нужно открыть. Может tcpdumpom посмотреть что нужно.
А так ?
-A OUTPUT -d vpn server -j ACCEPT Что то ещё нужно открыть. Может tcpdumpom посмотреть что нужно.
Победил!!! Но не без вашей помощи. Спасибо.
Проблема крылась в не согласованной длине пакета, добавил:
$IPT -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtuи всё заработало.
Спасибо всем откликнувшимся!
Ну и хорошо
kisil пишет:Что то ещё нужно открыть. Может tcpdumpom посмотреть что нужно.
Победил!!! Но не без вашей помощи. Спасибо.
Проблема крылась в не согласованной длине пакета, добавил:$IPT -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtuи всё заработало.
Спасибо всем откликнувшимся!
чуть подправлю
$IPT -t mangle -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtuно это не как не влияет на OUTPUT
SnoopCat пишет:kisil пишет:Что то ещё нужно открыть. Может tcpdumpom посмотреть что нужно.
Победил!!! Но не без вашей помощи. Спасибо.
Проблема крылась в не согласованной длине пакета, добавил:$IPT -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtuи всё заработало.
Спасибо всем откликнувшимся!
чуть подправлю
$IPT -t mangle -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtuно это не как не влияет на OUTPUT
Извиняюсь поспешил, сделал вот так:
$IPT -I OUTPUT -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtuчестно у вас просто был не доступен vpn сервер.
честно у вас просто был не доступен vpn сервер.
Нет. VPN поднималось, когда политика по умолчанию:
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCESSа когда политика DROP и открыт порт 1743:
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT DROP
$IPT -A OUTPUT -p 47 -j ACCEPT
$IPT -A OUTPUT -p tcp -d vpn_server --dport 1723 -j ACCEPTподключение не поднималось.
но стоить добавить:
#$IPT -t mangle -I OUTPUT -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtuвсё нормально работает.
Добрый день.
Подскажите пожалуйста срипт, который позволяет получить IP интерфейса, который я получаю по DHCP.
Задача в том, чтобы полученный IP потом использовать в правилах iptables
Можно получить из вывода "ip addr":
ip addr show wlan0 | grep -w inet | awk '{print $2}' | cut -d/ -f1или ifconfig:
ifconfig wlan0 | grep -w inet | awk '{print $2}'или dhcpcd
dhcpcd --dumplease wlan0 | grep ^ip_address= | cut -d= -f2Можно получить из вывода "ip addr":
ip addr show wlan0 | grep -w inet | awk '{print $2}' | cut -d/ -f1или ifconfig:
ifconfig wlan0 | grep -w inet | awk '{print $2}'
Спасибо 
первый сработал как надо. Но в порядке изучения матчасти подскажите пожалуйста как во втором убрать лишние символы adr: перед IP?
Мне кажется, второй сработал быстрее.
как во втором убрать лишние символы adr: перед IP?
А вот тут влияет версия ifconfig, недавно меняли формат вывода. Покажите, что выводит
ifconfig wlan0 | grep -w inetuser160⇓ пишет:как во втором убрать лишние символы adr: перед IP?
А вот тут влияет версия ifconfig, недавно меняли формат вывода. Покажите, что выводит
ifconfig wlan0 | grep -w inet
# ifconfig eth1 | grep -w inet
inet addr:10.X.X.X Bcast:10.X.X.X Mask:255.X.X.X
ifconfig eth1 | grep -w inet | awk '{print $2}' | cut -d: -f2или
ifconfig eth1 | grep -w inet | cut -d: -f2 | cut -d' ' -f1dhcpcd: command not found
В моём дистрибутиве клиентом DHCP подрабатывает dhcpcd, у вас стало быть кто-то другой. Кто? Точнее, как от него получить сведения о конфигурации интерфейса и что он выдаёт?
ifconfig eth1 | grep -w inet | awk '{print $2}' | cut -d: -f2user160⇓ пишет:dhcpcd: command not found
В моём дистрибутиве клиентом DHCP подрабатывает dhcpcd, у вас стало быть кто-то другой. Кто?
У меня два DHCP. Клиент и сервер. Через клиента я получаю IP от провайдера, в сервере собираюсь раздавать IP в домашенй сетке.
Я еще новичёк в линуксе. 
Как узнать какой у меня клиент DHCP?
У меня Debian Linux version 3.2.0-0.bpo.4-amd64
Мой вопрос был о клиенте через которого я получаю IP от провайдера.
ifconfig eth1 | grep -w inet | awk '{print $2}' | cut -d: -f2или
ifconfig eth1 | grep -w inet | cut -d: -f2 | cut -d' ' -f1
Спасибо! так вполне устроит. 
Народ подскажите пожалуйста по iptables.
Что произойдет, если я получу динамический IP от DHCP сервера включу этот IP в правила iptables, а в процессе прекращения аренды IP, мне может быть выдан другой IP, в итоге работа правил iptables может быть нарушена.
Возможно ли такое и как это предотвратить?
а в процессе прекращения аренды IP, мне может быть выдан другой IP, в итоге работа правил iptables может быть нарушена.
Возможно ли такое и как это предотвратить?
Используйте в правилах имя интерфейса, а не адрес.
Обычно сервера DHCP после истечения срока аренды продолжают выдавать клиенту тот же адрес, если это возможно. Если адрес изменится, фаервол нужно будет перенастроить (или перезапустить сценарий с обновлёнными переменными адреса).
user160⇓ пишет:а в процессе прекращения аренды IP, мне может быть выдан другой IP, в итоге работа правил iptables может быть нарушена.
Возможно ли такое и как это предотвратить?
Используйте в правилах имя интерфейса, а не адрес.
Это мысль ,... попробую.
Обычно сервера DHCP после истечения срока аренды продолжают выдавать клиенту тот же адрес, если это возможно. Если адрес изменится, фаервол нужно будет перенастроить (или перезапустить сценарий с обновлёнными переменными адреса).
А как узнать, что IP поменялся?
Ну вы заметите по тому что у вас что то не будет работать из за того что фаервол блочит, а так
ifconfig -a
ip aСтраницы Назад 1 … 10 11 12 13 14 15 Далее
Чтобы отправить ответ, вы должны войти или зарегистрироваться
Linux Forum → Администрирование и настройка сетей → iptables
Форум работает на PunBB, при поддержке Informer Technologies, Inc
