Polskie Forum Użytkowników Debiana

Polski portal użytkowników dystrybucji Debian GNU/Linux, dyskusje, artykuły, nowości, blog, porady, pomoc.
https://www.debian.pl/

iptables - odblokowanie wszystkich portów

https://www.debian.pl/viewtopic.php?t=25495

Strona 1 z 2

iptables - odblokowanie wszystkich portów

: 19 grudnia 2011, 17:06
autor: mihau9999
Witam.
Zainstalowałem serwer PPTPD. Nie dodałem żadnych regułek do iptables. Gdy się połączę z serwerem, nie mam połączenia z Internetem.

Teraz moje pytanie, jak udostępnić połączenie Internetowe dla VPN oraz odblokować wszystkie porty (chcę uruchomić serwer www, u siebie na komputerze poprzez VPN, oraz kilka innych serwerów gier).
Dane z:

Kod: Zaznacz cały

ifconfig

Kod: Zaznacz cały

eth0      Link encap:Ethernet  HWaddr 00:16:3E:B1:13:4D
          inet addr:188.116.54.227  Bcast:188.116.54.255  Mask:255.255.255.0
          inet6 addr: 2a02:ee0:2:ac11::7e8e:b506/64 Scope:Global
          inet6 addr: fe80::216:3eff:feb1:134d/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:233733 errors:0 dropped:0 overruns:0 frame:0
          TX packets:17842 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:21522102 (20.5 MiB)  TX bytes:8195917 (7.8 MiB)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)

ppp0      Link encap:Point-to-Point Protocol
          inet addr:172.16.36.1  P-t-P:172.16.36.2  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1396  Metric:1
          RX packets:5886 errors:0 dropped:0 overruns:0 frame:0
          TX packets:8014 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:3
          RX bytes:905258 (884.0 KiB)  TX bytes:6039809 (5.7 MiB)

: 19 grudnia 2011, 19:45
autor: Yampress
http://debian.linux.pl/content/402-Ipta ... ących-cz-1
http://debian.linux.pl/content/403-Ipta ... ących-cz-2
http://debian.linux.pl/content/404-Ipta ... ących-cz-3
http://debian.linux.pl/content/405-Ipta ... ących-cz-4

: 19 grudnia 2011, 21:02
autor: mihau9999
Utworzyłem taką regułkę:

Kod: Zaznacz cały

iptables -A FORWARD -s 172.16.36.0/24 -p tcp -m multiport --dport 7779 --syn -m state --state NEW -j ACCEPT

iptables -A INPUT -s 172.16.36.0/24 -p udp -m multiport --dport 7779 -m state --state NEW -j ACCEPT
Gdyż serwer pewnej gry MultiPlayer (konkretnie SA:MP) korzysta z portu 7779 UDP i TCP. Lecz nadal serwera nie widać w Internecie.
Jakieś inne propozycje?

: 19 grudnia 2011, 21:21
autor: Bastian
Podaj schemat sieci tego serwera, bo z konfiguracji nie jest to do końca jasne. Przeczytałeś dokładnie ten artykuł o iptables? Co według Ciebie mają te 2 regułki robić?

Podaj jeszcze wynik

Kod: Zaznacz cały

iptables -L

: 19 grudnia 2011, 21:26
autor: Yampress
Czy serwer jest bezpośrednio podłączony do internetu? Czy jest po drodze jakieś urządzenia? Kto jest dostawcą internetu?

Dla tcp też powinna być opcja ,,INPUT''. Opcja ,,FORWARD'' to łancuch dla ruterów.

Kod: Zaznacz cały

 iptables -A INPUT -s 172.16.36.0/24  -p tcp --dport 7779 -j ACCEPT
 iptables -A INPUT -s 172.16.36.0/24  -p udp --dport 7779 -j ACCEPT
I tak, to nie jest kompletny firewall.

: 19 grudnia 2011, 22:22
autor: mihau9999

Kod: Zaznacz cały

[root@vpn-host ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     tcp  --  172.16.36.0/24       anywhere            tcp dpt:vstat
ACCEPT     udp  --  172.16.36.0/24       anywhere            udp dpt:vstat

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
Serwer jest maszyną wirtualną (VPS) w Hitme.net.pl. Więc nie potrafię określić jego połączenia z Internetem.
A ja chcę odblokować porty UDP i TCP 7779 dla sieci VPN (serwer VPN ma IP 172.16.36.1, klienci otrzymują IP 172.16.36.2-24).

: 19 grudnia 2011, 23:20
autor: Bastian
Przy takiej polityce to w ogóle jakiekolwiek reguły nie są Tobie potrzebne. Jeżeli serwera nie widać w (..no właśnie, w Internecie czy w Intranecie? Napisałeś, że chcesz go wystawić przez VPN) to błędu upatruj w konfiguracji tego serwera gry. Skonfiguruj go tak aby nasłuchiwał tylko po interfejsie VPN.

Pokaż:

Kod: Zaznacz cały

netstat -lap

Co to za implementacja VPN, że masz ją na interfejsie pppoe?

: 19 grudnia 2011, 23:56
autor: mihau9999
Otóż wgrałem czystego Debiana Squeeze, wpisałem komendę:

Kod: Zaznacz cały

apt-get install pptpd
Wszystko się zainstalowało poprawnie, dodałem użytkownika do logowania, łącze się z VPN, a ten nie ma połączenia z Internetem...

Kod: Zaznacz cały

root@vpn-host:~# netstat -lap
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Prog
ram name
tcp        0      0 *:ssh                   *:*                     LISTEN      548/sshd

tcp        0      0 *:1723                  *:*                     LISTEN      539/pptp
d
tcp        0      0 vpn-host:1723           user-46-113-245-2:55063 TIME_WAIT   -

tcp        0      0 vpn-host:ssh            user-46-113-245-2:55060 ESTABLISHED 629/sshd
: root@nott
tcp6       0      0 [::]:ssh                [::]:*                  LISTEN      548/sshd

Active UNIX domain sockets (servers and established)
Proto RefCnt Flags       Type       State         I-Node   PID/Program name    Path
unix  4      [ ]         DGRAM                    2603     514/rsyslogd        /dev/log
unix  2      [ ]         DGRAM                    1770     158/udevd           @/org/ker
nel/udev/udevd
unix  2      [ ]         DGRAM                    2748     571/login
unix  2      [ ]         DGRAM                    2627     539/pptpd
unix  3      [ ]         DGRAM                    1775     158/udevd
unix  3      [ ]         DGRAM                    1774     158/udevd
Teraz mam taką konfigurację w ifconfig:

Kod: Zaznacz cały

root@vpn-host:~# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:16:3e:b1:13:4d
          inet addr:188.116.54.227  Bcast:188.116.54.255  Mask:255.255.255.0
          inet6 addr: 2a02:ee0:2:ac11::7e8e:b506/64 Scope:Global
          inet6 addr: fe80::216:3eff:feb1:134d/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:25818 errors:0 dropped:0 overruns:0 frame:0
          TX packets:829 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1320474 (1.2 MiB)  TX bytes:77252 (75.4 KiB)
          Interrupt:9

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
A ten serwer gry ma być widoczny w Internecie.

: 20 grudnia 2011, 19:57
autor: Bastian

Kod: Zaznacz cały

netstat -lan

Kod: Zaznacz cały

ip route list

: 20 grudnia 2011, 20:18
autor: mihau9999

Kod: Zaznacz cały

vpn-host:~# netstat -lan
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:1723            0.0.0.0:*               LISTEN
tcp        0      0 188.116.54.227:22       109.243.218.3:60430     ESTABLISHED
tcp        0      0 188.116.54.227:22       109.243.218.3:60429     ESTABLISHED
tcp        0      0 188.116.54.227:22       109.243.218.3:59653     ESTABLISHED
tcp        0      0 188.116.54.227:22       109.243.218.3:60182     ESTABLISHED
tcp6       0      0 :::22                   :::*                    LISTEN
udp        0      0 0.0.0.0:7777            0.0.0.0:*
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags       Type       State         I-Node   Path
unix  4      [ ]         DGRAM                    3095     /dev/log
unix  2      [ ]         DGRAM                    1829     @/org/kernel/udev/udevd
unix  2      [ ]         DGRAM                    5379
unix  2      [ ]         DGRAM                    4658

Kod: Zaznacz cały

vpn-host:~# ip route list
188.116.54.0/24 dev eth0  proto kernel  scope link  src 188.116.54.227
default via 188.116.54.1 dev eth0
Strefa czasowa UTC+02:00
Strona 1 z 2

Technologię dostarcza phpBB® Forum Software © phpBB Limited

Polski pakiet językowy dostarcza phpBB.pl