301 Ответ от Shkrest

  • Shkrest
  • Новичок
  • Неактивен
  • Зарегистрирован: 16.10.2012
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]

Я не распускал, я все го лишь скзал спасибо. По вашему ддос не остановить? У меня как минимум есть 1 способ. Ну я думаю такой атаки не будет пока что по крайней мере на данном этапе. Но то что отказ в обслуживание от 10 компов мне апач выдает это просто бред. Я все равно найду как защититься.

+ открыть спойлер

21:08:52.025101 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 100)
    host-88-215-133-254.stv.ru.27016 > 21.31.25.31.e-tagil.ru.27005: [udp sum ok] UDP, length 72
21:08:52.026988 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 139)
    host-88-215-133-254.stv.ru.27016 > 37.46.58.1.27005: [udp sum ok] UDP, length 111
21:08:52.027220 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 122)
    host-88-215-133-254.stv.ru.27016 > 95.82.229.49-FTTB.planeta.tc.27005: [udp sum ok] UDP, length 94
21:08:52.028877 IP (tos 0x0, ttl 118, id 5879, offset 0, flags [none], proto UDP (17), length 56)
    95-26-35-254.broadband.corbina.ru.27005 > host-88-215-133-254.stv.ru.27016: [udp sum ok] UDP, length 28
21:08:52.029859 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 154)
    host-88-215-133-254.stv.ru.27016 > 95-24-148-67.broadband.corbina.ru.27005: [udp sum ok] UDP, length 126
21:08:52.030116 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 129)
    host-88-215-133-254.stv.ru.27016 > h109-187-10-179.dyn.bashtel.ru.27005: [udp sum ok] UDP, length 101
21:08:52.030397 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 135)
    host-88-215-133-254.stv.ru.27016 > h109-187-146-117.dyn.bashtel.ru.17079: [udp sum ok] UDP, length 107
21:08:52.030747 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 249)
    host-88-215-133-254.stv.ru.27016 > a5.sub184.net78.udm.net.27005: [udp sum ok] UDP, length 221
21:08:52.031926 IP (tos 0x0, ttl 114, id 7398, offset 0, flags [none], proto UDP (17), length 59)
    95.82.229.49-FTTB.planeta.tc.27005 > host-88-215-133-254.stv.ru.27016: [udp sum ok] UDP, length 31
21:08:52.032633 IP (tos 0x0, ttl 117, id 161, offset 0, flags [none], proto UDP (17), length 65)
    h109-187-146-117.dyn.bashtel.ru.17079 > host-88-215-133-254.stv.ru.27016: [udp sum ok] UDP, length 37
21:08:52.033559 IP (tos 0x0, ttl 51, id 27495, offset 0, flags [none], proto UDP (17), length 58)
    37.46.58.1.27005 > host-88-215-133-254.stv.ru.27016: [udp sum ok] UDP, length 30
21:08:52.035472 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 122)
    host-88-215-133-254.stv.ru.27016 > 109.167.135.114.27005: [udp sum ok] UDP, length 94
21:08:52.035758 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 100)
    host-88-215-133-254.stv.ru.27016 > 21.31.25.31.e-tagil.ru.27005: [udp sum ok] UDP, length 72
21:08:52.037507 IP (tos 0x0, ttl 128, id 0, offset 0, flags [DF], proto UDP (17), length 178)
    host-88-215-133-254.stv.ru.27016 > 37.46.58.1.27005: [udp sum ok] UDP, length 150

Тут нету даже половины файла.
Вот буквально не более минуты атаки на игровой сервер. От этого были лаги, повысился где то на 100 пинг, но отказа не было.Что подскажите делать с этим?

302 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Так проблема в чем, то что сервер атака кладет?
Не знаю какой ты там ботнет запускаешь, для тестирования нагрузочной способности есть другие средства, например siege принцип кстати похож на ddos, только это утилита для тестов.
Довольно много примеров как испльзовать обсуждали тут на форуме, или посмотри здесь.

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

  • Откуда: Тула
  • Зарегистрирован: 19.10.2010
  • Сообщений: 481
  • Репутация : [ 0 | 0 ]

Что может быть не так? Вроде вся локальная сеть разрешена, но аж 1С на рабочих машинах отваливается

# Generated by iptables-save v1.4.12 on Tue Jan 15 19:52:25 2013
*nat
:PREROUTING ACCEPT [1:328]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.0.0/24 -o eth2 -j MASQUERADE
COMMIT
# Completed on Tue Jan 15 19:52:25 2013
# Generated by iptables-save v1.4.12 on Tue Jan 15 19:52:25 2013
*mangle
:PREROUTING ACCEPT [49:5464]
:INPUT ACCEPT [49:5464]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [36:4320]
:POSTROUTING ACCEPT [36:4320]
COMMIT
# Completed on Tue Jan 15 19:52:25 2013
# Generated by iptables-save v1.4.12 on Tue Jan 15 19:52:25 2013
*filter
:INPUT DROP [1:328]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A INPUT -i eth0 -j ACCEPT
-A INPUT -i t253n1 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 66 -j ACCEPT
-A INPUT -d 192.168.0.0/24 --dport 3128 -j ACCEPT
-A FORWARD -p all -d 192.168.0.0/24  -s 192.168.0.0/24 -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth1 -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -o t253n1 -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
COMMIT
# Completed on Tue Jan 15 19:52:25 2013
Спасибо, Вы очень любезны.

Сайт Сергей В.

304 Ответ от old.student

  • Зарегистрирован: 01.02.2013
  • Сообщений: 1
  • Репутация : [ 0 | 0 ]

здрасте.
не знаю сюда или нет, но вопрос такой:
изучаю iptables. для этого сделал несколько виртуальных машин в virtualbox:
debian_x64_#1
...
debian_x64_#3
у всех OS Debian, у всех 1 сетевая карта: "вирутальный адаптер хоста" (192.168.0.1/24), кроме debian_x64_#1 - помимо vboxnet0, сетевой мост.
debian_x64_#1- будет типа сервер, остальные будут типа клиенты
ну и т.д.
суть вопроса, изучаю iptables, установил на "сервер" pure-ftpd. если правила такие

+ открыть спойлер

# iptables-save
# Generated by iptables-save v1.4.8 on Fri Feb  1 12:15:30 2013
*nat
:PREROUTING ACCEPT [40357:5279719]
:POSTROUTING ACCEPT [386:25844]
:OUTPUT ACCEPT [386:25844]
COMMIT
# Completed on Fri Feb  1 12:15:30 2013
# Generated by iptables-save v1.4.8 on Fri Feb  1 12:15:30 2013
*filter
:INPUT ACCEPT [27:2493]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [15:1156]
COMMIT
# Completed on Fri Feb  1 12:15:30 2013

- всё хорошо
если добавляю правила:

+ открыть спойлер

# cat part004
#!/bin/bash
#чистим правила
iptables -F

# FTP
#  При создании активного соединения клент передает FTP серверу номер порта и IP адрес для соединения.
...
#благодаря чему соединение будет установлено.
iptables -I INPUT -i eth1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
#пропускаем 21 порт FTP
iptables -A INPUT -i eth1 -p tcp --dport 21 -j ACCEPT

#пропускаем 22 порт SSH
iptables -A INPUT -i eth1 -p tcp --dport 22 -j ACCEPT

#логируем всё
iptables -A INPUT -i eth1 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j LOG --log-level 7 --log-tcp-options

#отвергаем всё
iptables -A INPUT -i eth1 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable

#на проходящих забиваем
iptables -A FORWARD -o eth1 -p tcp -j DROP

то

+ открыть спойлер

Статус:    Соединяюсь с 10.0.0.36:21...
Статус:    Соединение установлено, ожидание приглашения...
Ответ:    220---------- Welcome to Pure-FTPd [privsep] [TLS] ----------
Ответ:    220-You are user number 1 of 50 allowed.
Ответ:    220-Local time is now 12:20. Server port: 21.
Ответ:    220-This is a private system - No anonymous login
Ответ:    220-IPv6 connections are also welcome on this server.
Ответ:    220 You will be disconnected after 15 minutes of inactivity.
Команда:    USER user1
Ответ:    331 User user1 OK. Password required
Команда:    PASS *****
Ответ:    230-User user1 has group access to:  nogroup   
Ответ:    230 OK. Current directory is /
Команда:    SYST
Ответ:    215 UNIX Type: L8
Команда:    FEAT
Ответ:    211-Extensions supported:
Ответ:     EPRT
Ответ:     IDLE
Ответ:     MDTM
Ответ:     SIZE
Ответ:     REST STREAM
Ответ:     MLST type*;size*;sizd*;modify*;UNIX.mode*;UNIX.uid*;UNIX.gid*;unique*;
Ответ:     MLSD
Ответ:     AUTH TLS
Ответ:     PBSZ
Ответ:     PROT
Ответ:     UTF8
Ответ:     TVFS
Ответ:     ESTA
Ответ:     PASV
Ответ:     EPSV
Ответ:     SPSV
Ответ:     ESTP
Ответ:    211 End.
Команда:    OPTS UTF8 ON
Ответ:    200 OK, UTF-8 enabled
Статус:    Соединение установлено
Статус:    Получение списка каталогов...
Команда:    PWD
Ответ:    257 "/" is your current location
Команда:    TYPE I
Ответ:    200 TYPE is now 8-bit binary
Команда:    PASV
Ответ:    227 Entering Passive Mode (10,0,0,36,230,7)
Команда:    MLSD
Ошибка:    Превышено время ожидания соединения
Ошибка:    Не могу получить список каталогов!

не судите строго, я только учусь. где я ошибся?

305 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Тема, где на большинство граблей уже наступили Помогите раздать инет в сети

old.student пишет:

где я ошибся?

В самом начале.
Стандартное начало скрипта должно быть примерно таким:

echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

# Объявление переменных
export IPT="iptables"
# Локальная сеть
export LAN=eth1

# Очистка всех цепочек iptables
$IPT -F
$IPT -F -t nat
$IPT -F -t mangle
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

# Закрываем изначально ВСЁ (т.е. изначально все что не разрешено - запрещено):
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

# разрешаем локальный траффик для loopback и внутренней сети
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -i $LAN -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
$IPT -A OUTPUT -o $LAN -j ACCEPT

# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
# Пропускать все уже инициированные соединения, а также дочерние от них
$IPT -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
# Пропускать новые, а так же уже инициированные и их дочерние соединения
$IPT -A OUTPUT -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Разрешить форвардинг для новых, а так же уже инициированных и их дочерних соединений
$IPT -A FORWARD -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Включаем фрагментацию пакетов. Необходимо из за разных значений MTU
$IPT -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Чтобы полностью открыть _всё_ то изменить политики на ACCEPT:

$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT
История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

306 Ответ от Nissan

  • Nissan
  • Посетитель
  • Неактивен
  • Зарегистрирован: 17.02.2013
  • Сообщений: 3
  • Репутация : [ 0 | 0 ]

Есть компьютер с двумя сетевыми картами, который позволяет пользователям локальной сети подключаться к Интернету. Подключение организованно через Bridge. Как сделать так чтобы компам запретить иметь доступ в локальную сеть но при этом разрешить им доступ в Интернет ?
Ну например данному компу разрешено выходить в Интернет:

iptables -A INPUT -s 192.168.0.1 -m mac --mac-source 00:65:3F:ED:12:98 -j ACCEPTED

Как сделать так чтобы ещё и блокировало ему доступ к внутренней его сети ? А то пробовал получалось только в Интернет задавать разрешение определенным входить, а так чтобы они в сеть не могли зайти вообще не вышло. Подскажите пожалуйста. Заранее спасибо!
Пробовал такой вариант:
iptables -P INPUT DROP
iptables -A INPUT -s 192.168.0.1 -m mac --mac-source 00:65:3F:ED:12:98 -j ACCEPTED
iptables -A INPUT -d 192.168.0.0/23 -m mac --mac-source 00:65:3F:ED:12:98 -j DROP

Ничего не вышло. Пробовал с FORWARD, аналогично ничего не вышло.

307 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
Nissan пишет:

Ну например данному компу разрешено выходить в Интернет:

iptables -A INPUT -s 192.168.0.1 -m mac --mac-source 00:65:3F:ED:12:98 -j ACCEPTED

Не разрешено. Это правило разрешает соединяться со шлюзом, а не выходить в Интернет через него.

Nissan пишет:

Как сделать так чтобы ещё и блокировало ему доступ к внутренней его сети ?

А никак. Поскольку по внутренней локальной сети твои компьютеры ходят без участия шлюза. Самостоятельно. Если хочется, чтобы компьютеры локальной сети друг-друга не видели, то надо настраивать межсетевые экраны на каждом из этих компьютеров.

308 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Nissan, все смешалось, кони, люди...
Дистрибутив хотя бы ...
Правила ACCEPTED никогда в помине не было, основные: ACCEPT, REJECT, DROP

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

309 Ответ от Nissan

  • Nissan
  • Посетитель
  • Неактивен
  • Зарегистрирован: 17.02.2013
  • Сообщений: 3
  • Репутация : [ 0 | 0 ]

zenon, дистрибутив Ubuntu

310 Ответ от Liber

  • Liber
  • Новичок
  • Неактивен
  • Зарегистрирован: 18.02.2013
  • Сообщений: 45
  • Репутация : [ 0 | 0 ]

Здравствуйте! Вопрос по iptables. А именно, интересует порядок, в котором файервол просматривает цепочки на наличие подходящих правил.

Файервол изначально просматривает только стандартные цепочки? То есть, если я какую-то свою цепочку добавляю, то переход на нее надо явно задать в одной из стандартных?

Например, если я добавлю в таблицу filter пользовательскую цепочку ALLOWED_IN, в которой перечислены правила, разрешающие входящие пакеты (а политика выставлена в DROP). Мне надо обязательно добавить в цепочку INPUT правило с --jump ALLOWED_IN, иначе правила из этой новой цепочки никогда срабатывать не будут?

311 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Просмотреть порядок удобно с --line-numbers

# iptables --list --line-numbers
История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

312 Ответ от Liber

  • Liber
  • Новичок
  • Неактивен
  • Зарегистрирован: 18.02.2013
  • Сообщений: 45
  • Репутация : [ 0 | 0 ]

Спасибо, так действительно удобнее.

Если на пользовательскую цепочку нет ссылок (показывает 0 references), тогда правила из этих цепочек не проверяются?

Еще вопрос: если в пользовательской цепочки не нашлось удовлетворяющего критериям правила, то файер автоматом возвращается к стандартной цепочке и продолжает поиск? Или нужно обязательно в конце цепочки --jump RETURN ставить?

313 Ответ от Dormidont3

  • Dormidont3
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 258
  • Репутация : [ 0 | 0 ]

Стоит школьный сервер 6.0 у меня такой вопрос.

На сервере есть фильтр dansguardian, он висит на порту 3182, есть прозрачный прокси. На машинах учеников указан прокси 3128. на всех остальных, без прокси просто. (знаю, что это легко правится, но за 2 года работы сервера, ещё ни один ребёнок не делал этого, как увижу первые изменения буду думать)

ИПы раздаются через DHCP при чём выдаются по маку, а диапазон раздачи стоит 192.168.1.240-192.168.1.240 и 240 ип всегда занят, ну то есть без регистрации мака ни кто подключиться не может. (не уверен, корректно ли так делать, но ничего другого пока не нашёл)

А теперь собственно вопрос. В школе есть Ви-Фи и он естественно запаролен, дети оделили с просьбами сказать пароль и почему не подключается, так вот, можно ли как то сделать, что бы при выдаче диапазона к примеру 192.168.1.210-192.168.1.240 iptables затрачивал все запросы с этих ипов на порт 3128, что бы все выходы с этих ипов тоже фильтровались dansguardianom?

314 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Dormidont3, dhcpd.conf и скрипт iptables где?

Dormidont3⇓ пишет:

а диапазон раздачи стоит 192.168.1.240-192.168.1.240 и 240

Какой-то не правильный диапазон.

Dormidont3⇓ пишет:

ну то есть без регистрации мака ни кто подключиться не может.

Можно и так, но остается возможность статики.
Маскарад или SNAT? На подсеть или на определенные IP?
Интернет подключение - IP статический или динамический?

Dormidont3⇓ пишет:

На сервере есть фильтр dansguardian, он висит на порту 3182, есть прозрачный прокси. На машинах учеников указан прокси 3128.

Это не прозрачный прокси.
Конфиг кальмара тоже показывай.
Прозрачный прокси вот так:

iptables -t nat -A PREROUTING -s 192.168.0.X -p tcp --dport 80  -j REDIRECT --to-port 3128
История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

315 Ответ от Dormidont3

  • Dormidont3
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 258
  • Репутация : [ 0 | 0 ]

Я же написал, что у меня пока только так получилось добиться нужного эффекта. Ну тоесть диапазон раздачи адресов с 240 по 240, то есть для не зарегестрированных пользователей адрес выдаётся только 240.

Вот правила для iptables, но я там пока ничего не делал, только взялся за него и пока опасаюсь что то накосячить, тем более, что сейчас пока настраиваю по удалёнке.

[root@server ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  -f  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
ULOG       all  --  anywhere             anywhere            ULOG copy_range 48 nlgroup 1 prefix `icount' queue_threshold 50 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:webcache 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ftp-data 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ftp-data 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ftp 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ftp 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:openvpn 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:openvpn 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ssh 
ACCEPT     icmp --  anywhere             anywhere            
DROP       all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:webcache 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ftp-data 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ftp-data 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ftp 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ftp 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:openvpn 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:openvpn 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ssh 
ACCEPT     icmp --  anywhere             anywhere            
DROP       all  --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DROP       all  -f  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
ULOG       all  --  anywhere             anywhere            ULOG copy_range 48 nlgroup 1 prefix `fcount' queue_threshold 50 
ACCEPT     all  --  anywhere             10.2.70.0/24        
ACCEPT     all  --  anywhere             anywhere            PHYSDEV match --physdev-is-bridged 
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
DROP       all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            PHYSDEV match --physdev-is-bridged 
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
DROP       all  --  anywhere             anywhere            

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  -f  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
ULOG       all  --  anywhere             anywhere            ULOG copy_range 48 nlgroup 1 prefix `ocount' queue_threshold 50

Если правильн понимаю, то разрешено всё...

Вот dhcp

[root@server dhcp]# cat dhcpd.conf
#auto generated by alterator-dhcp-reset

ddns-update-style interim;
ddns-updates on;
ddns-domainname "localdomain";
include "/var/lib/bind/etc/ddns-key.conf";

zone 1.168.192.in-addr.arpa. {
    primary 127.0.0.1;
    key ddns-key;
}

zone localdomain. {
    primary 127.0.0.1;
    key ddns-key;
}

authoritative;

option space altlinux;
option altlinux.keydata code 2 = string;
vendor-option-space altlinux;

host 192.168.1.70 { hardware ethernet 00:1B:38:28:3F:90; fixed-address 192.168.1.70; }
host 192.168.1.2 { hardware ethernet F0:DE:F1:E1:F7:4E; fixed-address 192.168.1.2; }
host 192.168.1.28 { hardware ethernet f0:de:f1:f5:3a:dc; fixed-address 192.168.1.28; }
host 192.168.1.3 { hardware ethernet 00:26:18:D6:78:9A; fixed-address 192.168.1.3; }
host 192.168.1.4 { hardware ethernet 00:1B:38:1A:78:97; fixed-address 192.168.1.4; }
host 192.168.1.5 { hardware ethernet F0:DE:F1:F5:41:A4 ; fixed-address 192.168.1.5; }
host 192.168.1.6 { hardware ethernet 00:90:F5:C8:8E:CD ; fixed-address 192.168.1.6; }
host 192.168.1.12 { hardware ethernet 00:1C:7B:A2:41:85 ; fixed-address 192.168.1.12; }
host 192.168.1.13 { hardware ethernet 9C:B7:0D:10:60:D1 ; fixed-address 192.168.1.13; }
host 192.168.1.14 { hardware ethernet 9C:B7:0D:10:61:42 ; fixed-address 192.168.1.14; }
host 192.168.1.15 { hardware ethernet 9C:B7:0D:10:5C:48 ; fixed-address 192.168.1.15; }
host 192.168.1.16 { hardware ethernet 9C:B7:0D:10:5E:6F; fixed-address 192.168.1.16; }
host 192.168.1.17 { hardware ethernet 74:DE:2B:FC:47:F7 ; fixed-address 192.168.1.17; }
host 192.168.1.18 { hardware ethernet 74:DE:2B:FC:34:89; fixed-address 192.168.1.18; }
host 192.168.1.19 { hardware ethernet 9C:B7:0D:10:5D:E7 ; fixed-address 192.168.1.19; }
host 192.168.1.20 { hardware ethernet 74:DE:2B:FC:46:27 ; fixed-address 192.168.1.20; }
host 192.168.1.21 { hardware ethernet 9C:B7:0D:10:60:A8 ; fixed-address 192.168.1.21; }
host 192.168.1.22 { hardware ethernet 9C:B7:0D:10:60:F2 ; fixed-address 192.168.1.22; }
host 192.168.1.23 { hardware ethernet 74:DE:2B:FC:41:DE ; fixed-address 192.168.1.23; }
host 192.168.1.24 { hardware ethernet 74:DE:2B:FC:46:71 ; fixed-address 192.168.1.24; }
host 192.168.1.25 { hardware ethernet 74:DE:2B:FC:45:DD ; fixed-address 192.168.1.25; }
host 192.168.1.26 { hardware ethernet 00:26:18:D6:79:8D ; fixed-address 192.168.1.26; }
host 192.168.1.27 { hardware ethernet F0:DE:F1:F5:3A:0F; fixed-address 192.168.1.27; }
host 192.168.1.29 { hardware ethernet 00:13:D3:EA:60:F8 ; fixed-address 192.168.1.29; }
host 192.168.1.32 { hardware ethernet 60:D8:19:12:3D:5E; fixed-address 192.168.1.32; }
host 192.168.1.33 { hardware ethernet 70:5A:B6:D2:80:73 ; fixed-address 192.168.1.33; }
host 192.168.1.37 { hardware ethernet B8:70:F4:66:27:89 ; fixed-address 192.168.1.37; }
host 192.168.1.42 { hardware ethernet 00:11:5B:5D:2F:47 ; fixed-address 192.168.1.42; }
host 192.168.1.44 { hardware ethernet 00:13:D3:EF:C7:D2 ; fixed-address 192.168.1.44; }
host 192.168.1.45 { hardware ethernet c8:60:00:6c:e1:57 ; fixed-address 192.168.1.45; }
host 192.168.1.46 { hardware ethernet 00:25:22:62:dc:89 ; fixed-address 192.168.1.46; }
host 192.168.1.47 { hardware ethernet 00:25:22:62:e5:d3 ; fixed-address 192.168.1.47; }
host 192.168.1.48 { hardware ethernet 00:25:22:62:ee:78 ; fixed-address 192.168.1.48; }
host 192.168.1.49 { hardware ethernet 00:25:22:62:e3:76 ; fixed-address 192.168.1.49; }
host 192.168.1.50 { hardware ethernet bc:ae:c5:b4:b2:d5 ; fixed-address 192.168.1.50; }
host 192.168.1.51 { hardware ethernet 00:50:bf:d8:99:b9 ; fixed-address 192.168.1.51; }
host 192.168.1.101 { hardware ethernet 38:AA:3C:33:BC:08; fixed-address 192.168.1.101; }
host 192.168.1.100 { hardware ethernet 88:30:8A:E1:59:83; fixed-address 192.168.1.100; }
host 192.168.1.102 { hardware ethernet 74:de:2b:fb:2e:1c; fixed-address 192.168.1.102; }
host 192.168.1.35 { hardware ethernet 00:1b:38:28:57:02; fixed-address 192.168.1.35; }
host 192.168.1.52 { hardware ethernet 00:15:e9:f1:c8:bd; fixed-address 192.168.1.52; }
host 192.168.1.31 { hardware ethernet f0:de:f1:f2:ef:c6; fixed-address 192.168.1.31; }
host 192.168.1.150 { hardware ethernet e0:06:e6:3a:3e:21; fixed-address 192.168.1.150; }
host 192.168.1.10 { hardware ethernet 88:ae:1d:11:24:6c; fixed-address 192.168.1.10; }
host 192.168.1.53 { hardware ethernet 00:13:d3:ea:06:9f; fixed-address 192.168.1.53; }
host 192.168.1.54 { hardware ethernet 00:13:d3:ea:0a:22; fixed-address 192.168.1.54; }
host 192.168.1.55 { hardware ethernet 00:13:d3:ef:de:d5; fixed-address 192.168.1.55; }
host 192.168.1.56 { hardware ethernet 00:13:d3:ea:08:12; fixed-address 192.168.1.56; }
host 192.168.1.57 { hardware ethernet 00:13:d3:ea:61:74; fixed-address 192.168.1.57; }
host 192.168.1.58 { hardware ethernet 00:13:d3:ea:61:79; fixed-address 192.168.1.58; }
host 192.168.1.59 { hardware ethernet 00:13:d3:ea:60:f6; fixed-address 192.168.1.59; }
host 192.168.1.60 { hardware ethernet 00:13:d3:ea:06:9d; fixed-address 192.168.1.60; }
host 192.168.1.61 { hardware ethernet 00:13:d3:e9:5c:8b; fixed-address 192.168.1.61; }
host 192.168.1.62 { hardware ethernet 00:13:d3:ea:6a:a2; fixed-address 192.168.1.62; }
host 192.168.1.63 { hardware ethernet 00:13:d3:ea:60:dd; fixed-address 192.168.1.63; }
host 192.168.1.30 { hardware ethernet 00:16:eb:1a:b5:1c; fixed-address 192.168.1.30; }
host 192.168.1.9 { hardware ethernet 00:1b:38:28:56:ff; fixed-address 192.168.1.9; }
host 192.168.1.106 { hardware ethernet e0:ca:94:34:9d:36; fixed-address 192.168.1.106; }
host 192.168.1.41 { hardware ethernet 14:da:e9:ce:cc:fc; fixed-address 192.168.1.41; }
host 192.168.1.39 { hardware ethernet 00:1f:c6:c1:68:29; fixed-address 192.168.1.39; }
host 192.168.1.151 { hardware ethernet f0:de:f1:e2:02:1d; fixed-address 192.168.1.151; }
host 192.168.1.152 { hardware ethernet 44:6d:57:1c:91:a8; fixed-address 192.168.1.152; }
host 192.168.1.36 { hardware ethernet 54:04:a6:c3:92:4e; fixed-address 192.168.1.36; }
host 192.168.1.103 { hardware ethernet 00:1b:38:28:3f:90; fixed-address 192.168.1.103; }
host 192.168.1.104 { hardware ethernet 00:19:7e:be:51:7c; fixed-address 192.168.1.104; }
host 192.168.1.38 { hardware ethernet 88:ae:1d:2b:15:93; fixed-address 192.168.1.38; }
host 192.168.1.43 { hardware ethernet 00:1B:38:4d:83:89; fixed-address 192.168.1.43; }
host 192.168.1.107 { hardware ethernet 44:6D:57:B3:7A:8A; fixed-address 192.168.1.107; }
host 192.168.1.11 { hardware ethernet 00:0d:61:80:ea:61; fixed-address 192.168.1.11; }
host 192.168.1.250 { hardware ethernet 00:22:b0:f4:6e:f8; fixed-address 192.168.1.250; }
host 192.168.1.108 { hardware ethernet 20:02:af:9f:3c:15; fixed-address 192.168.1.108; }

subnet 192.168.1.0 netmask 255.255.255.0 {
    option routers 192.168.1.1;
    option domain-name-servers 10.4.0.1;
    option domain-name "localdomain";
    default-lease-time 18748800;
    max-lease-time 18748800;
    range 192.168.1.240 192.168.1.240;
}

Подключение динамическое, но так как каждому маку присвоен свой ип, то я точно знаю, у кого какой ип ab

Маскарад или SNAT? На подсеть или на определенные IP?

Вот это не понял если честно...

Не, прокси то как раз прозпачный. У меня стоит squid с настройкой прозрачного доступа и dansguardian на порту 3128. Если в настройках указываю "без прокси" то иду через в интернет хоть куда, если указываю адрес сервера и порт 3128, то соотвественно все запросы идут через dansguardian, который уже фильтрует интернет.

И теперь получается такая дилема, хочу задать диапазон раздачи адресов скажем с 200 пол 240, что бы любой мог подключиться, но подключение произойдёт без учасия 3128 порта и мне бы все эти 40 адресов завернуть на него. что бы любой. кто получит интернет, получал его отфильтрованным

316 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Не увидел правил для раздачи интернета.
Вообще никаких особо не увидел.
Правила для iptables писали? Я смотрю политики все ACCEPT, это что мода такая без брэндмауэра сидеть? Что там за firewall в altlinux?

Dormidont3⇓ пишет:

Подключение динамическое, но так как каждому маку присвоен свой ип, то я точно знаю, у кого какой ип

Я про внешний IP адрес, а не внутренние, провайдер выдаёт динамический IP или статический?

Dormidont3⇓ пишет:

И теперь получается такая дилема, хочу задать диапазон раздачи адресов скажем с 200 пол 240, что бы любой мог подключиться, но подключение произойдёт без учасия 3128 порта и мне бы все эти 40 адресов завернуть на него. что бы любой. кто получит интернет, получал его отфильтрованным


Практически ваш случай, поправить только http://www.opennet.ru/openforum/vsluhfo … /6604.html

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

317 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]
Dormidont3⇓ пишет:

Не, прокси то как раз прозпачный. У меня стоит squid с настройкой прозрачного доступа и dansguardian на порту 3128. Если в настройках указываю "без прокси" то иду через в интернет хоть куда, если указываю адрес сервера и порт 3128, то соотвественно все запросы идут через dansguardian, который уже фильтрует интернет.

А вот это вообще не понял, объясняю почему - в правилах iptables нет ни маскарада, ни SNAT`а, отсюда делаю телепатические выводы, что на клиентах интернет есть только при указании ip адреса прокси в настройках браузера, и это не прозрачный прокси.
Либо вы не дали полной информации, выхлоп iptables -L -t nat где?
...

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

318 Ответ от Dormidont3

  • Dormidont3
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 258
  • Репутация : [ 0 | 0 ]
zenon пишет:

Не увидел правил для раздачи интернета.
Вообще никаких особо не увидел.
Правила для iptables писали? Я смотрю политики все ACCEPT, это что мода такая без брэндмауэра сидеть? Что там за firewall в altlinux?

Нет, я же говорю, iptables я вообще ещё не трогал и только начал изучать то чудище ab Что за firewall сказать не могу...

zenon пишет:

Я про внешний IP адрес, а не внутренние, провайдер выдаёт динамический IP или статический?


А внешний уже 2 года один и тот же, значит статический видимо ab

319 Ответ от Dormidont3 (19.03.2013 18:33:23 отредактировано Dormidont3)

  • Dormidont3
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 258
  • Репутация : [ 0 | 0 ]
zenon пишет:

А вот это вообще не понял, объясняю почему - в правилах iptables нет ни маскарада, ни SNAT`а, отсюда делаю телепатические выводы, что на клиентах интернет есть только при указании ip адреса прокси в настройках браузера, и это не прозрачный прокси.
Либо вы не дали полной информации, выхлоп iptables -L -t nat где?
...

Вот здесь позволю себе поспорить... Нет, на этот раз телепатия подвела, в настройках браузера указывается именно "Без прокси" а о том, что прокси прозрачный я говорю не на основаии настроек iptables, а на основании настроек squid, а конкретно вот этой строки.

http_port 3128 transparent.

Блин, вот только не много обманул, dansguardian висит на портк 8081 и запросы с нерезервированных ip надо на него отправлять исоотвественно если в браузере вручную выставить 8081, то фильтрация будет, если в браузере выставить "без прокси" то будет полный доступ ез фильтрации, через squid на прямую. Я уверенно говорю, что всё гуляет через squid  и dansguardian потому, что логи то доступастабильно пополняются и при отключении squid вырубается интернет у всех.

[root@server ~]# iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
REDIRECT   tcp  --  anywhere             anywhere            tcp dpt:ftp redir ports 3128 
REDIRECT   tcp  --  anywhere             anywhere            tcp dpt:ftp redir ports 3128 
REDIRECT   tcp  --  anywhere             anywhere            tcp dpt:gopher redir ports 3128 
REDIRECT   tcp  --  anywhere             anywhere            tcp dpt:gopher redir ports 3128 
REDIRECT   tcp  --  anywhere             anywhere            tcp dpt:http redir ports 3128 
REDIRECT   tcp  --  anywhere             anywhere            tcp dpt:http redir ports 3128 
REDIRECT   tcp  --  anywhere             anywhere            tcp dpt:777 redir ports 3128 
REDIRECT   tcp  --  anywhere             anywhere            tcp dpt:777 redir ports 3128 

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
MASQUERADE  all  --  anywhere             anywhere            
MASQUERADE  all  --  anywhere             anywhere            

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

320 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]
Dormidont3⇓ пишет:

Вот здесь позволю себе поспорить... Нет, на этот раз телепатия подвела, в настройках браузера указывается именно "Без прокси" а о том, что прокси прозрачный я говорю не на основаии настроек iptables, а на основании настроек squid, а конкретно вот этой строки.
http_port 3128 transparent.

У меня libastral барахлит, откуда я должен был знать, настроек кальмара никто не привел, как и таблицы nat правил iptables.
Кто настраивал iptables и squid?
Как это настраивается в altlinux даже интересоваться не буду, у меня от него несварение.
Что бы настроить firewall пишется скрипт, пример как это в Debian тыц.
В общем случае я уже дал ссылку как сделать то что вам надо, только у вас там REDIRECT на весь диапазон IP адресов, соответственно эти правила надо удалить и написать новые.
..
Хм, ну это конечно костыль, можно удалить по номеру, и прописать свои.
Как удалить iptables правило по номеру

iptables -L INPUT --line-numbers
iptables -D INPUT номер
iptables -t nat -L POSTROUTING --line-numbers
iptables -t nat -D POSTROUTING номер
История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

321 Ответ от Dormidont3 (19.03.2013 19:52:08 отредактировано Dormidont3)

  • Dormidont3
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 258
  • Репутация : [ 0 | 0 ]

Спасибо за статью, конкретно эта мне не попадалась ab Буду изучать, вроде как написано понятно ab

squid настраивал сам, а iptables стоит как было по умолчанию, так как до сегодня вообще не задумывался об этом ab

322 Ответ от SnoopCat (27.03.2013 05:33:16 отредактировано SnoopCat)

  • SnoopCat
  • SnoopCat
  • Новичок
  • Неактивен
  • Зарегистрирован: 14.10.2010
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]

Hello! На роутере нужно поднять VPN соединение (pptp), политика iptables по умолчанию DROP:

$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT DROP

Если сделать -P OUTPUT  ACCEPT:
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT
всё прекрасно подключается.

Подскажите в какую сторону копать.

Каждому  своё.

323 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
SnoopCat пишет:

Hello! На роутере нужно поднять VPN соединение (pptp), политика iptables по умолчанию DROP:

$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT DROP

Если сделать -P OUTPUT  ACCEPT:
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCETP
всё прекрасно подключается.

Подскажите в какую сторону копать.

А переменная $IPT правильно обьявлена?

$IPT -P OUTPUT ACCETP -> $IPT -P OUTPUT ACCEPT

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

324 Ответ от SnoopCat

  • SnoopCat
  • SnoopCat
  • Новичок
  • Неактивен
  • Зарегистрирован: 14.10.2010
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]
Kettler пишет:
SnoopCat пишет:

Hello! На роутере нужно поднять VPN соединение (pptp), политика iptables по умолчанию DROP:

$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT DROP

Если сделать -P OUTPUT  ACCEPT:
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCETP
всё прекрасно подключается.

Подскажите в какую сторону копать.

А переменная $IPT правильно обьявлена?

$IPT -P OUTPUT ACCETP -> $IPT -P OUTPUT ACCEPT

Правильно, я здесь опечатался.  ah

Каждому  своё.

325 Ответ от SnoopCat (27.03.2013 07:54:55 отредактировано SnoopCat)

  • SnoopCat
  • SnoopCat
  • Новичок
  • Неактивен
  • Зарегистрирован: 14.10.2010
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]

Мой упрощённый список правил:

# По умолчанию доступ запрещен.
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
#$IPT -P OUTPUT DROP
$IPT -P OUTPUT ACCEPT

#Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь #определенного статуса.
$IPT -A INPUT   -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP

#Принимать все пакеты, которые инициированы из уже установленного соединения, и имеющим признак #ESTABLISHED.
$IPT -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Разрешаем транзит в локальную сеть
$IPT -A FORWARD -s xxx.xxx.xxx.xxx/16 -j ACCEPT

# Далее открываю нужные порты.

Но к VPN цепляется только при $IPT -P OUTPUT ACCEPT, никак не пойму, как это сделать если $IPT -P OUTPUT DROP?

Каждому  своё.

326 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

SnoopCat, ну так открой в OUTPUT нужные pptpd порты...

iptables -A INPUT  -p 47 -j ACCEPT
iptables -A OUTPUT -p 47 -j ACCEPT

iptables -A INPUT  -p tcp --dport 1723 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1723 -j ACCEPT
История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

327 Ответ от SnoopCat

  • SnoopCat
  • SnoopCat
  • Новичок
  • Неактивен
  • Зарегистрирован: 14.10.2010
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]
zenon пишет:

SnoopCat, ну так открой в OUTPUT нужные pptpd порты...

iptables -A INPUT  -p 47 -j ACCEPT
iptables -A OUTPUT -p 47 -j ACCEPT

iptables -A INPUT  -p tcp --dport 1723 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1723 -j ACCEPT

Я уже пробовал открывать эти порты, не помогает. С стороны vpn сервера нет открытого 47 порта.

Каждому  своё.

328 Ответ от kisil (27.03.2013 11:09:19 отредактировано kisil)

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

47 это не порт, если не ошыбаюсь а протокол GRE. Который служыт для управления соединением pptp.
А роутер у вас хардварный или софтварный.???
netstat -ln покажыте.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

329 Ответ от SnoopCat

  • SnoopCat
  • SnoopCat
  • Новичок
  • Неактивен
  • Зарегистрирован: 14.10.2010
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]
kisil пишет:

47 это не порт, если не ошыбаюсь а протокол GRE. Который служыт для управления соединением pptp.
А роутер у вас хардварный или софтварный.???
netstat -ln покажыте.

На Debian.

 Консоль:

:~$ netstat -ln
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State     
tcp        0      0 0.0.0.0:57960           0.0.0.0:*               LISTEN     
tcp        0      0 127.0.0.1:3306          0.0.0.0:*               LISTEN     
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN     
tcp        0      0 0.0.0.0:21              0.0.0.0:*               LISTEN     
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN     
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN     
tcp6       0      0 :::80                   :::*                    LISTEN     
tcp6       0      0 :::22                   :::*                    LISTEN     
tcp6       0      0 ::1:25                  :::*                    LISTEN     
udp        0      0 0.0.0.0:846             0.0.0.0:*                         
udp        0      0 0.0.0.0:38098           0.0.0.0:*                         
udp        0      0 0.0.0.0:111             0.0.0.0:*                         
Active UNIX domain sockets (only servers)
Proto RefCnt Flags       Type       State         I-Node   Path
unix  2      [ ACC ]     STREAM     LISTENING     4309     /var/run/acpid.socket
unix  2      [ ACC ]     STREAM     LISTENING     4638     /var/run/mysqld/mysqld.sock

Каждому  своё.

330 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]

pptp слушает порт 1723, а у вас он не слушаетса. У вас сервер pptp запущен.
Что говорит 

ps ax | grep pptp
Trouble  in WINDOWS reboot, trouble in UNIX be root.