[Comm] Re: Помогите разобраться с iptables

[Juveman <juveman@atom.ru>]

> 
> У тебя REJECT-правило, отвергающее все tcp-пакеты применяется раньше
> чем '-m state'. Приведи /etc/sysconfig/iptables вот к такому виду:
> 
> # Generated by iptables-save v1.2.9 on Sat May 29 20:53:21 2004
> *filter
> :INPUT DROP [0:0]
> :FORWARD DROP [0:0]
> :OUTPUT DROP [0:0]
> [0:0] -A INPUT -i lo -j ACCEPT
> [0:0] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
> [0:0] -A INPUT -p tcp -m multiport --sports 20,21,80 -j ACCEPT
> [0:0] -A INPUT -p tcp -j REJECT --reject-with icmp-port-unreachable
> [0:0] -A OUTPUT -o lo -j ACCEPT
> [0:0] -A OUTPUT -p tcp -m multiport -s 10.0.222.8 --dports 20,21,80 -j
> ACCEPT COMMIT
> # Completed on Sat May 29 20:53:21 2004
> 
> и всё будет работать так, как ты пытаешся сделать. Т.е. для хоста
> 10.0.222.8 будет разрешен tcp-трафик протоколов HTTP и FTP (в том
> числе и passive FTP), а всё остальное - запрещено.
> 
Сделал все по этому примеру. Перестало работать вообще все. Видимо дело в
запрещенных исходящих udp и icmp соединениях.
Добавляю к этому еще 2 правила:
iptables -A OUTPUT -p UDP -j ACCEPT
iptables -A OUTPUT -p ICMP -j ACCEPT
В общем получается вот что:
# Generated by iptables-save v1.2.9 on Sun May 30 12:46:43 2004
*filter
:INPUT DROP [3180:451300]
:FORWARD DROP [0:0]
:OUTPUT DROP [924:65857]
[1086:75016] -A INPUT -i lo -j ACCEPT
[1913:851980] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A INPUT -p tcp -m multiport --sports 20,21,80 -j ACCEPT
[0:0] -A INPUT -p tcp -j REJECT --reject-with icmp-port-unreachable
[28613:1243063] -A OUTPUT -o lo -j ACCEPT
[0:0] -A OUTPUT -s 10.0.222.8 -p tcp -m multiport --dports 20,21,80 -j
ACCEPT[41:4432] -A OUTPUT -p udp -j ACCEPT
[0:0] -A OUTPUT -p icmp -j ACCEPT
COMMIT
# Completed on Sun May 30 12:46:43 2004

В результате все почему-то вернулась к изначальной проблеме. То есть
браузер работает, а фтп - нет. Причем с абсолютно такими же симптомами.
Клиент соединяется, авторизовывается, но при этом данных не получает.
Говорит "ошибка соединения с сервером". При этом достаточно убрать
строчку[0:0]-A OUTPUT-s 10.0.222.8-p tcp-m multiport --dports 20,21,80 -j
ACCEPT, и фтп нормально заработает. Но при этом заработают и другие
протоколы.
> 
> Химичь с цепочкой OUTPUT. Хотя, если тебе не нужен passive FTP, можно
> выбросить '-m state' и рулить только INPUT-цепочкой, но это - не очень
> хорошая идея ... ;)
> 
Нет, если уж взялся разбираться, буду разбираться со всем :))

> PS. Настрой в своем почтовом клиенте line wrapping на 73 символа -
> надоело переформатировать очень длинные квоты при ответе ...
> 
Сорри, вроде исправил :))

----------
С уважением, Juveman