1 Тема от trizer

  • trizer
  • Посетитель
  • Неактивен
  • Зарегистрирован: 31.01.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

Компьютер с установленным на нем Vector Linux (насколько мне известно, он основан на slackware, если я ошибаюсь то принесете в другую тему пожалуйста) не пингуется из сети, к нему не получается подключиться ни по ftp ни по telnet (подключаюсь с Ubuntu). Причем(!) все компьютеры в сети с него видно прекрасно.
Я в линуксе не так давно, для решения проблемы пробовал ставить другую сетевую карту, эффект тот же.
Установленный файрвол искал, не нашел (может быть плохо искал?), точнее нашел но выключил (может плохо выключил?)

Подскажите пожалуйста, что это может быть?

2 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

trizer, покажите (набрав в консоли либо эмуляторе терминала)

iptables-save
cat /proc/sys/net/ipv4/icmp_echo_ignore_all
Был, был и весь вышел...

3 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
trizer пишет:

к нему не получается подключиться ни по ftp ни по telnet

А сами эти сервисы на нём присутствуют?

Был, был и весь вышел...

4 Ответ от trizer

  • trizer
  • Посетитель
  • Неактивен
  • Зарегистрирован: 31.01.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

 Консоль:
0

5 Ответ от trizer

  • trizer
  • Посетитель
  • Неактивен
  • Зарегистрирован: 31.01.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

да присутствуют, при подключении к ftp (когда демон именно активен pure-ftpd) долго думает (к localhost vector linux подключается прекрасно)

6 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

?

Lupo Alberto пишет:

iptables-save

Был, был и весь вышел...

7 Ответ от trizer

  • trizer
  • Посетитель
  • Неактивен
  • Зарегистрирован: 31.01.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

 Консоль:
# Generated by iptables-save v1.3.8 on Tue Jan 31 16:37:35 2012
*mangle
:PREROUTING ACCEPT [56:4302]
:INPUT ACCEPT [56:4302]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [26:1902]
:POSTROUTING ACCEPT [26:1902]
COMMIT
# Completed on Tue Jan 31 16:37:35 2012
# Generated by iptables-save v1.3.8 on Tue Jan 31 16:37:35 2012
*nat
:PREROUTING ACCEPT [30:2400]
:POSTROUTING ACCEPT [4:312]
:OUTPUT ACCEPT [4:312]
COMMIT
# Completed on Tue Jan 31 16:37:35 2012
# Generated by iptables-save v1.3.8 on Tue Jan 31 16:37:35 2012
*filter
:INPUT DROP [5:300]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:bad_packets - [0:0]
:bad_tcp_packets - [0:0]
:icmp_packets - [0:0]
:tcp_inbound - [0:0]
:tcp_outbound - [0:0]
:udp_inbound - [0:0]
:udp_outbound - [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -j bad_packets
-A INPUT -d 224.0.0.1 -j DROP
-A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -j tcp_inbound
-A INPUT -i eth0 -p udp -j udp_inbound
-A INPUT -i eth0 -p icmp -j icmp_packets
-A INPUT -i eth1 -p tcp -j tcp_inbound
-A INPUT -i eth1 -p udp -j udp_inbound
-A INPUT -i eth1 -p icmp -j icmp_packets
-A INPUT -m pkttype --pkt-type broadcast -j DROP
-A INPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "INPUT packet died: "
-A OUTPUT -p icmp -m state --state INVALID -j DROP
-A OUTPUT -s 127.0.0.1 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -o eth1 -j ACCEPT
-A OUTPUT -m limit --limit 3/min --limit-burst 3 -j LOG --log-prefix "OUTPUT packet died: "
-A bad_packets -m state --state INVALID -j LOG --log-prefix "Invalid packet: "
-A bad_packets -m state --state INVALID -j DROP
-A bad_packets -p tcp -j bad_tcp_packets
-A bad_packets -j RETURN
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j LOG --log-prefix "New not syn: "
-A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j LOG --log-prefix "Stealth scan: "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j LOG --log-prefix "Stealth scan: "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j LOG --log-prefix "Stealth scan: "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j LOG --log-prefix "Stealth scan: "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j LOG --log-prefix "Stealth scan: "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j LOG --log-prefix "Stealth scan: "
-A bad_tcp_packets -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A bad_tcp_packets -p tcp -j RETURN
-A icmp_packets -p icmp -f -j LOG --log-prefix "ICMP Fragment: "
-A icmp_packets -p icmp -f -j DROP
-A icmp_packets -p icmp -m icmp --icmp-type 8 -j DROP
-A icmp_packets -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A icmp_packets -p icmp -j RETURN
-A tcp_inbound -p tcp -m tcp --dport 113 -j REJECT --reject-with icmp-port-unreachable
-A tcp_inbound -p tcp -m tcp --dport 22 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 5000:5100 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 6891:6900 -j ACCEPT
-A tcp_inbound -p tcp -m tcp --dport 137:139 -j ACCEPT
-A tcp_inbound -p tcp -j RETURN
-A tcp_outbound -p tcp -j ACCEPT
-A udp_inbound -p udp -m udp --dport 137 -j DROP
-A udp_inbound -p udp -m udp --dport 138 -j DROP
-A udp_inbound -p udp -m udp --dport 113 -j REJECT --reject-with icmp-port-unreachable
-A udp_inbound -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A udp_inbound -p udp -m udp --dport 137:139 -j ACCEPT
-A udp_inbound -p udp -j RETURN
-A udp_outbound -p udp -j ACCEPT
COMMIT
# Completed on Tue Jan 31 16:37:35 2012

8 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
trizer пишет:

-A icmp_packets -p icmp -m icmp --icmp-type 8 -j DROP

«Пинги» запрещены.
Порты 20, 21 (ftp), 23 (telnet) не открыты.

Был, был и весь вышел...
+ trizer

9 Ответ от zenon (31.01.2012 22:02:15 отредактировано zenon)

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Создаем своею цепочку "myacceptrule", добавляем в нее правила на icmp, 20, 21 порты  и мультипорт для пассивных портов (использует к примеру proftpd), и вставляем цепочку в начало, примерно выглядеть буде так:  ... fixme

iptables -N myacceptrule
iptables -A INPUT  -i eth0 -p icmp -m icmp --icmp-type source-quench -j myacceptrule
iptables -A OUTPUT -o th0 -p icmp -m icmp --icmp-type source-quench -j myacceptrule
iptables -A INPUT  -i eth0 -p icmp -m icmp --icmp-type echo-reply -j myacceptrule
iptables -A OUTPUT -o eth0 -p icmp -m icmp --icmp-type echo-request -j myacceptrule
iptables -A INPUT -p tcp --dport 21 -j myacceptrule
iptables -A INPUT -p tcp --sport 20 -j myacceptrule
iptables -A INPUT -p tcp --dport 65500:65534 -j myacceptrule
iptables -A OUTPUT -p tcp --sport 21 -j myacceptrule
iptables -A OUTPUT -p tcp --dport 20 -j myacceptrule
iptables -A OUTPUT -p tcp --sport 65500:65534 -j myacceptrule
iptables -I accept 1 -j RETURN
История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

10 Ответ от trizer

  • trizer
  • Посетитель
  • Неактивен
  • Зарегистрирован: 31.01.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

спасибо, завтра попробую и отпишусь

11 Ответ от trizer

  • trizer
  • Посетитель
  • Неактивен
  • Зарегистрирован: 31.01.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

Спасибо за помощь, все работает, проблема решена

12 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

trizer, как делал хоть бы сказал, то что я написал сработало?

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.
+ trizer

Сайт zenon

13 Ответ от trizer

  • trizer
  • Посетитель
  • Неактивен
  • Зарегистрирован: 31.01.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

честно говоря конкретно ничего сказать не могу, почитал мануалы по iptables, поправил /etc/rc.d/rc.firewall

добавил в область "Populate User Chains"

# FTP
$IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 20:21 -j ACCEPT
# Telnet
$IPT -A INPUT -p TCP -s 0/0 --destination-port 23 -j ACCEPT
# SSH
$IPT -A INPUT -p TCP -s 0/0 --destination-port 22 -j ACCEPT

и раскоментил в области "icmp_packets chain"

$IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j LOG \
   --log-prefix "Ping detected: "
$IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT

И все что я хотел заработало, я просто ваше сообщение наверное на заметил. Зато примерно разобрался.

14 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

trizer, ну все правильно сделал. то что я написал просто впихнуло бы в начало цепочку myacceptrule

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon