1 (20.12.2012 21:31:14 отредактировано pavlar)

Пишу

nmap -P0 -sT -p 5080  и свой адрес

Получаю

PORT     STATE  SERVICE
5080/tcp closed onscreen

Хотя я прописал в iptables всё что мог

iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -p tcp -m tcp --dport 5080 -m state --state NEW -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5080 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 5080 -j ACCEPT 

Что делать?

Фигня какая-то , судя по nmap и порт 80 закрыт но я с вами из локальной сети через NAT общаюсь (в /proc/net/nf_contrack  например имеем
pv4     2 tcp      6 431516 ESTABLISHED src=10.44.1.62 dst=77.234.41.54 sport=1112 dport=80 src=77.234.41.54 dst=194.44.31.233 sport=80 dport=1112 [ASSURED] mark=0 s$

. А 5080  закрыт стопудово и через него не пройти (ко мне снаружи по этому порту не войти) . Открыт лишь порт на который я перенаравил ssh (из трёх что я проверил)
А по ssh я могу зайти на комп с NAT  только с локальной cети а из интернета connection timed out. Что то непонятное с  NAT и  iptables творится

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

2

А в Цента какогото Selinux'a нету????

Trouble  in WINDOWS reboot, trouble in UNIX be root.

3

kisil пишет:

А в Цента какогото Selinux'a нету????

Есть

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

4

Так может он блочит, а его нельзя както вырубить на время для эксперемента???

Trouble  in WINDOWS reboot, trouble in UNIX be root.

5

ТС, вывод команд "iptables -nvL --line-numbers && netstat -lnp --inet" покажи плс

И баба с воза, и волки сыты...

6 (21.12.2012 09:47:18 отредактировано pavlar)

afanasev.p пишет:

ТС, вывод команд "iptables -nvL --line-numbers && netstat -lnp --inet" покажи плс

Chain INPUT (policy ACCEPT 127K packets, 11M bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        3   180 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:5080 state NEW 
2        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:5080 
3        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:5080 
4        0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:5080 

Chain FORWARD (policy ACCEPT 8860K packets, 7732M bytes)
num   pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 62503 packets, 4405K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name   
tcp        0      0 0.0.0.0:1954                0.0.0.0:*                   LISTEN      1516/sshd           
tcp        0      0 127.0.0.1:25                0.0.0.0:*                   LISTEN      1186/master         

Причем что интересно порт 1954 открыт

nmap -P0 -sT -p 1954  name

Starting Nmap 5.51 ( http://nmap.org ) at 2012-12-21 07:41 EET

rDNS record for ipaddr: name
PORT     STATE SERVICE
1954/tcp open  abr-api

А порт 25 закрыт

nmap -P0 -sT -p 25 name

Starting Nmap 5.51 ( http://nmap.org ) at 2012-12-21 07:40 EET
Nmap scan report for name
Host is up (0.00093s latency).
rDNS record for ipaddr: name
PORT   STATE  SERVICE
25/tcp closed smtp
Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

7

судя по выводу iptables у тебя нет фильтрации. вообще никакой
судя по выводу команды netstat 25-ый порт слушается только на loopback интерфейсе, поэтому nmap его и не "видит"

И баба с воза, и волки сыты...

8

afanasev.p пишет:

судя по выводу iptables у тебя нет фильтрации. вообще никакой
судя по выводу команды netstat 25-ый порт слушается только на loopback интерфейсе, поэтому nmap его и не "видит"

Если нет фильтрации то почему порт 5080 закрыт и как его открыть?

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

9

pavlar пишет:

Если нет фильтрации то почему порт 5080 закрыт и как его открыть?

А на этом порту что-нибудь запущено? В выводе netstat этого не видно.

Был, был и весь вышел...

10 (21.12.2012 10:08:06 отредактировано pavlar)

kisil пишет:

Так может он блочит, а его нельзя както вырубить на время для эксперемента???

Так его вроде нет в ps -A хотя в директории /selinux все файлы датированы вчерашним числом и значения некоторых равно 1 (например network_peer_control)

+ открыть спойлер

PID TTY          TIME CMD
    1 ?        00:00:01 init
    2 ?        00:00:00 kthreadd
    3 ?        00:00:00 migration/0
    4 ?        00:00:00 ksoftirqd/0
    5 ?        00:00:00 migration/0
    6 ?        00:00:00 watchdog/0
    7 ?        00:00:00 migration/1
    8 ?        00:00:00 migration/1
    9 ?        00:00:00 ksoftirqd/1
   10 ?        00:00:00 watchdog/1
   11 ?        00:00:00 events/0
   12 ?        00:00:00 events/1
   13 ?        00:00:00 cgroup
   14 ?        00:00:00 khelper
   15 ?        00:00:00 netns
   16 ?        00:00:00 async/mgr
   17 ?        00:00:00 pm
   18 ?        00:00:00 sync_supers
   19 ?        00:00:00 bdi-default
   20 ?        00:00:00 kintegrityd/0
   21 ?        00:00:00 kintegrityd/1
   22 ?        00:00:00 kblockd/0
   23 ?        00:00:00 kblockd/1
   24 ?        00:00:00 kacpid
   25 ?        00:00:00 kacpi_notify
   26 ?        00:00:00 kacpi_hotplug
   27 ?        00:00:00 ata/0
   28 ?        00:00:00 ata/1
   29 ?        00:00:00 ata_aux
   30 ?        00:00:00 ksuspend_usbd
   31 ?        00:00:00 khubd
   32 ?        00:00:00 kseriod
   33 ?        00:00:00 md/0
   34 ?        00:00:00 md/1
   35 ?        00:00:00 md_misc/0
   36 ?        00:00:00 md_misc/1
   37 ?        00:00:00 khungtaskd
   38 ?        00:00:00 kswapd0
   39 ?        00:00:00 ksmd
   40 ?        00:00:00 aio/0
   41 ?        00:00:00 aio/1
   42 ?        00:00:00 crypto/0
   43 ?        00:00:00 crypto/1
   48 ?        00:00:00 kthrotld/0
   49 ?        00:00:00 kthrotld/1
   51 ?        00:00:00 kpsmoused
   52 ?        00:00:00 usbhid_resumer
   82 ?        00:00:00 kstriped
  136 ?        00:00:00 i915
  200 ?        00:00:00 scsi_eh_0
  201 ?        00:00:00 scsi_eh_1
  204 ?        00:00:00 scsi_eh_2
  205 ?        00:00:00 scsi_eh_3
  294 ?        00:00:00 kdmflush
  296 ?        00:00:00 kdmflush
  315 ?        00:00:00 jbd2/dm-0-8
  316 ?        00:00:00 ext4-dio-unwrit
  317 ?        00:00:00 ext4-dio-unwrit
  392 ?        00:00:00 udevd
  682 ?        00:00:00 kdmflush
  718 ?        00:00:00 jbd2/sda1-8
  719 ?        00:00:00 ext4-dio-unwrit
  720 ?        00:00:00 ext4-dio-unwrit
  721 ?        00:00:00 jbd2/dm-2-8
  722 ?        00:00:00 ext4-dio-unwrit
  723 ?        00:00:00 ext4-dio-unwrit
  757 ?        00:00:00 kauditd
  770 ?        00:00:00 flush-253:0
1050 ?        00:00:00 auditd
1068 ?        00:00:00 portreserve
1075 ?        00:00:00 rsyslogd
1186 ?        00:00:00 master
1195 ?        00:00:00 qmgr
1196 ?        00:00:00 crond
1210 ?        00:00:00 login
1212 tty2     00:00:00 mingetty
1214 tty3     00:00:00 mingetty
1216 tty4     00:00:00 mingetty
1218 tty5     00:00:00 mingetty
1220 tty6     00:00:00 mingetty
1227 ?        00:00:00 udevd
1228 ?        00:00:00 udevd
1469 tty1     00:00:00 bash
1487 tty1     00:00:00 su
1491 tty1     00:00:00 bash
1516 ?        00:00:00 sshd
1518 tty1     00:00:00 ssh
1675 ?        00:00:00 sshd
1679 ?        00:00:00 sshd
1680 pts/0    00:00:00 bash
1695 pts/0    00:00:00 su
1699 pts/0    00:00:00 bash
1736 ?        00:00:00 pickup
1741 pts/0    00:00:00 mc
1743 pts/1    00:00:00 bash
1766 pts/1    00:00:00 ps

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

11 (21.12.2012 10:21:10 отредактировано pavlar)

Lupo Alberto пишет:
pavlar пишет:

Если нет фильтрации то почему порт 5080 закрыт и как его открыть?

А на этом порту что-нибудь запущено? В выводе netstat этого не видно.

А что там должно быть запущено? Нам надо войти на такой сайт http://vega.fuib.com:5080/  Но что интересно я могу например с компа kлокальной сетки накотором  стоит Centos туда зайти, и появляется заставка а с любого виндового компа локальной сети нет соединения ( на прошлой неделе соединение было пока не сгорел сервер win2008 и мы не поставили вместо него CentOS) И мне непонятно почему я не могу зайти на центовый сервер  из интернета   по ssh  (timed out) а из внутренней сетки могу

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

12

pavlar пишет:

А что там должно быть запущено?

Вам лучше знать.
Вы запутались в понятиях и терминах.
Вам не нужно открывать порт на своём компьютере, вам нужно, чтобы были разрешены исходящие соединения на порт 5080 по адресу vega.fuib.com. А вы для чего-то сканируете собственный компьютер и «открываете» доступ к несуществующему сервису во входящих правилах iptables собственного компьютера.

pavlar пишет:

Но что интересно я могу например с компа kлокальной сетки накотором  стоит Centos туда зайти, и появляется заставка а с любого виндового компа локальной сети нет соединения

Увы, сильно сказано, но ничего не понял.

P.S. При попытке подсоединиться к указанному вами адресу я получаю запрос на ввод логина и пароля, т.е. сам доступ открыт, хотя я ничего на своём компьютере специально для этого не делал.

Был, был и весь вышел...

13

pavlar пишет:

И мне непонятно почему я не могу зайти на сервер с Centos  из интернета (timed out)  по ssh а из внутренней сетки могу

Вероятно, не проброшен порт с внешнего сетевого интерфейса роутера на внутреннюю сеть, где и находится ваш сервер.

Был, был и весь вышел...

14 (21.12.2012 10:26:05 отредактировано pavlar)

Lupo Alberto пишет:
pavlar пишет:

А что там должно быть запущено?

Увы, сильно сказано, ничего не понял.

P.S. При попытке подсоединиться к указанному вами адресу я получаю запрос на ввод логина и пароля, т.е. сам доступ открыт, хотя я ничего на своём компьютере специально для этого не делал.

Ситуация такая. С любого компа локальной сети  на котором стоит Вмнда нет соединения по приведенному мною адресу. Администратор сайта сказал что у нас закрыт порт 5080. Но с моего компьютера локальной сети, на котором стоит CentOS я почему-то могу войти на сайт и увидеть заставку с логином и паролем

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

15

pavlar пишет:

С любого компа на котором стоит Вмнда нет соединения по приведенному мною адресу.

Ну так в и смотрите настройки firewall'а на этих компьютерах.

Был, был и весь вышел...

16 (21.12.2012 10:29:42 отредактировано pavlar)

Lupo Alberto пишет:
pavlar пишет:

И мне непонятно почему я не могу зайти на сервер с Centos  из интернета (timed out)  по ssh а из внутренней сетки могу

Вероятно, не проброшен порт с внешнего сетевого интерфейса роутера на внутреннюю сеть, где и находится ваш сервер.

Сетевая карта eth0  нашего сервера  (вернее шлюза с NAT) имеет прямой выход в интернет и что тут пробрасывать? NAT всё транслирует на локальную сеть

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

17 (21.12.2012 10:34:13 отредактировано pavlar)

Lupo Alberto пишет:
pavlar пишет:

С любого компа на котором стоит Вмнда нет соединения по приведенному мною адресу.

Ну так в и смотрите настройки firewall'а на этих компьютерах.

Смотрел. Всё нормально работало когда шлюзом локальной сети  стоял Windows сервер 2008. Он сгорел в понедельник и мы поставили Centos  и порт 5080 и  ssh из интеренета сразу накрылись медным тазом. Админ сайта на сканировал и сказал что у нас закрыт 5080 порт

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

18

pavlar пишет:

Сетевая карта eth0  нашего сервера  (вернее шлюза с NAT) имеет прямой выход в интернет и что тут пробрасывать? NAT всё транслирует на локальную сеть

Я вам безусловно верю, но покажите вывод команд на шлюзе

iptables-save
cat /proc/sys/net/ipv4/ip_forward
Был, был и весь вышел...

19

iptables-save
# Generated by iptables-save v1.4.7 on Fri Dec 21 08:34:30 2012
*nat
:PREROUTING ACCEPT [128630:7897100]
:POSTROUTING ACCEPT [34:2072]
:OUTPUT ACCEPT [58:3607]
-A POSTROUTING -o eth0 -j MASQUERADE 
-A POSTROUTING -o eth0 -j MASQUERADE 
-A POSTROUTING -o eth0 -j MASQUERADE 
-A POSTROUTING -o eth0 -j MASQUERADE 
COMMIT
# Completed on Fri Dec 21 08:34:30 2012
# Generated by iptables-save v1.4.7 on Fri Dec 21 08:34:30 2012
*filter
:INPUT ACCEPT [143212:12264930]
:FORWARD ACCEPT [8930447:7788397502]
:OUTPUT ACCEPT [69497:5218184]
-A INPUT -p tcp -m tcp --dport 5080 -m state --state NEW -j ACCEPT 
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5080 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 5080 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 5080 -j ACCEPT 
COMMIT
# Completed on Fri Dec 21 08:34:30 2012

cat /proc/sys/net/ipv4/ip_forward
1

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

20

Я не большой спец в сетевом администрировании, но перенаправления порта для ssh не увидел.

pavlar пишет:

-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE

Четыре раза одно и то же правило — это чтоб наверняка?

Был, был и весь вышел...

21 (21.12.2012 11:04:23 отредактировано pavlar)

Lupo Alberto пишет:

Я не большой спец в сетевом администрировании, но перенаправления порта для ssh не увидел.

pavlar пишет:

-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o eth0 -j MASQUERADE

Четыре раза одно и то же правило — это чтоб наверняка?

Нет, у меня было всё прописано на четыре интерефейса

# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*nat
:PREROUTING ACCEPT [219:21980]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 10.44.1.1/255 10.44.2.1/255 10.44.3.1/255 10.44.4.1/255  -o eth0 -j SNAT --to-source 194.44.31.236
COMMIT
# Completed on Mon Oct 29 14:24:09 2012
# Generated by iptables-save v1.4.7 on Mon Oct 29 14:24:09 2012
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [26:2050]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -o eth0 -s 10.44.1.1/255 -j ACCEPT
_A FORWARD -o eth0 -s 10.44.2.1/255 -j ACCEPT
-A FORWARD -i eth0 -d 10.44.1.1/255 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FOEWARD -i eth0 -d 10.44.2.1/255 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Oct 29 14:24:09 2012

Потом  я замаскарадил но у меня маскарад не сохранялся после перезагрузки Тогда я  по совету после запуска строки маскарадинга   прописал в rc.local

iptables-restore < /etc/sysconfig/iptables.save

и после перезагрузки получил нынешний странный IPTABLES но маскарад работает а предыдущий iptables фиг знает куда улетучился сразу (это я привел вам копию исходного iptables в котором я  потом изменил порт 22 на 1954)

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

22 (21.12.2012 11:22:18 отредактировано pavlar)

Есть некоторые достижения. Поменял порт ssh на родной 22-й . Теперь ssh и из интернета работает а 1954 порт только по локальной сети работал. В общем без бубна здесь не обойтись

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

23 (21.12.2012 11:50:10 отредактировано pavlar)

Значит так. Со шлюза набираю в lynx vega.fuib.com:5080 и всё работает. Значит однозначно NAT этого шлюза закрывает порт 5080 или перчит пакеты. Но где?

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

24

Ты бы уже определился чего у тебя там с сетью случилось. Обрисовал бы полную схему - кто, куда, кому и почему. А то так гадать как-то неправильно

И баба с воза, и волки сыты...

25

Вы обясните внятно, что вам нужно сделать на шлюзе. Что открыть, что закрыть???

Trouble  in WINDOWS reboot, trouble in UNIX be root.

26 (24.12.2012 09:24:26 отредактировано pavlar)

kisil пишет:

Вы обясните внятно, что вам нужно сделать на шлюзе. Что открыть, что закрыть???

Я ничего не закрывал и  закрывать ничего  не нужно. Ведь судя по iptables всё октрыто  а  для надёжности порт 5080  ещё лишний  раз разными способами открыт  Всё открыть (только чтобы настройки NAT сохранились)  ab А пока пользователь локальной сети,  который работал через порт 5080  нашел выход из положения и работает  через 3G модем ab Через локальную сеть у него интеренет работает а выхода через порт 5080  нет. Причем это т=не только у него Мы перепробовали 5 разных компьютеров локальной сети.

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

27

Кто понял что ему нужно? + в чат плс

И баба с воза, и волки сыты...

28 (24.12.2012 09:54:06 отредактировано pavlar)

Всё элементарно просто Ватсон ab Из локальной сети из виндовых компов нет соединеия на vega.fuib.com:5080  а после NAT  (т.е. напрямую) есть такое соединение. НО вся фишка в том что линуксовые компы локальной сети имеют соединения по порту 5080. Я обратился к разарботчикам программы которой пользуется сайт для работы через порт 5080 , они только репу почесали и сказали что будут разбираться. Виндовые компы работали с портом 5080 когда шлюзом локальной сети был комп с Win 2008 server а после того как мы поменяли его на CentOS 6.3 они перестали проходить через этот порт

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

29

bu
Я так понимаю, что:

  • у тебя есть шлюз на копейке

  • на шлюзе включен нат

  • гетерогенная сеть

  • часть сети, которая работает под управлением lunux-ов успешно достукивается до узла vega.fuib.com на порт 5080

  • часть сети, которая работает под управлением windows-ов не может получить доступ к этому самому vega.fuib.com на порт 5080

Ничего не забыл?

И баба с воза, и волки сыты...

30 (24.12.2012 10:52:45 отредактировано pavlar)

afanasev.p пишет:

bu
Я так понимаю, что:

  • у тебя есть шлюз на копейке

  • на шлюзе включен нат

  • гетерогенная сеть

  • часть сети, которая работает под управлением lunux-ов успешно достукивается до узла vega.fuib.com на порт 5080

  • часть сети, которая работает под управлением windows-ов не может получить доступ к этому самому vega.fuib.com на порт 5080

Ничего не забыл?

Да. А когда стоял NAT на Win2008 server то виндовые компы работали с fuib:5080. А нужны именно виндовые компы так как разработчики программы vega имеют пока только виндовую версию,заточенную  только под  Internet Explorer  а линуксовая версия  только тестируется

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"