[sisyphus] [iptables] -j REJECT

[sisyphus] [iptables] -j REJECT

[Igor Homyakov]

почему то не работает REJECT

# iptables -A FORWARD -p TCP --dport 113 -j REJECT
iptables: Invalid argument
# rpm -q iptables   
iptables-1.2.6a-alt1
# rpm -qa | grep kernel
kernel24-stable-smp-2.4.19-alt0.3

--
Igor Homyakov
<homyakov at altlinux dot ru>

[sisyphus] Re: [iptables] -j REJECT

[Michael Shigorin]

On Mon, Sep 16, 2002 at 03:23:00PM +0400, Igor Homyakov wrote:
> почему то не работает REJECT

из manpage он вроде тоже как исчез...

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: [iptables] -j REJECT

[Igor Homyakov]

On Mon, Sep 16, 2002 at 03:00:50PM +0300, Michael Shigorin wrote:
> On Mon, Sep 16, 2002 at 03:23:00PM +0400, Igor Homyakov wrote:
> > почему то не работает REJECT

> из manpage он вроде тоже как исчез...

у меня на одном хосте работает, на другом нет
разница только в версии ядра мистика ?
--
Igor Homyakov
<homyakov at altlinux dot ru>

Re: [sisyphus] Re: [iptables] -j REJECT

[Albert R. Valiev]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

В письме от 16 Сентябрь 2002 16:00 Michael Shigorin написал:
> On Mon, Sep 16, 2002 at 03:23:00PM +0400, Igor Homyakov wrote:
> > почему то не работает REJECT
>
> из manpage он вроде тоже как исчез...

хмм.... а вы не перепутали ipchains и iptables? в iptables вроде как двано уже 
DROP, REJECT вроде изначально не было.... если я ничего сам не перепутал :-)

- -- 
With Best Regards, Albert R. Valiev
- ------------------------------------
ALT Linux Team [www.altlinux.ru]
KDE Development Team [www.kde.org]
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.7 (GNU/Linux)

iD8DBQE9heOf7d6wAH+0KuARArFXAKCEhLA9Y9jp9mruTUy1vdffZ/5dhgCg2uIv
lSUNn/QcmO0shZe34lIUwnw=
=ljbv
-----END PGP SIGNATURE-----

Re: [sisyphus] [iptables] -j REJECT

[Alexei Takaseev]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Mon, 16 Sep 2002 15:23:00 +0400
Igor Homyakov <homyakov@ramax.spb.ru> wrote:

> 
> # iptables -A FORWARD -p TCP --dport 113 -j REJECT

А по-моему, REJECT работает только на цепочках INPUT и OUTPUT.
Для FORWARD только DENY
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.7 (GNU/Linux)

iD8DBQE9heS46vvbHTwsCqwRAv+zAJsFKfD6Hg29z5aEQz/mY61tYE/G+ACfTlMu
4kwuXskvz66jMM3dRPMOd5k=
=3JrG
-----END PGP SIGNATURE-----

Re: [sisyphus] [iptables] -j REJECT

[Igor Homyakov]

On Mon, Sep 16, 2002 at 11:03:36PM +0900, Alexei Takaseev wrote:
> А по-моему, REJECT работает только на цепочках INPUT и OUTPUT.
> Для FORWARD только DENY

'man iptables' другого мнения 

--
Igor Homyakov
<homyakov at altlinux dot ru>

[sisyphus] Re: [iptables] -j REJECT

[Michael Shigorin]

On Mon, Sep 16, 2002 at 05:01:53PM +0400, Igor Homyakov wrote:
> у меня на одном хосте работает, на другом нет
> разница только в версии ядра мистика ?

какие ядра, кстати?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: [iptables] -j REJECT

[Igor Homyakov]

On Mon, Sep 16, 2002 at 05:52:55PM +0300, Michael Shigorin wrote:
> On Mon, Sep 16, 2002 at 05:01:53PM +0400, Igor Homyakov wrote:
> > у меня на одном хосте работает, на другом нет
> > разница только в версии ядра мистика ?

> какие ядра, кстати?

kernel24-stable-smp-2.4.19-alt0.3 -- не работает
kernel24-up-2.4.18-alt6master     -- работает

--
Igor Homyakov
<homyakov at altlinux dot ru>

Re: [sisyphus] Re: [iptables] -j REJECT

[Igor Homyakov]

On Mon, Sep 16, 2002 at 06:56:05PM +0400, Igor Homyakov wrote:
> kernel24-stable-smp-2.4.19-alt0.3 -- не работает
> kernel24-up-2.4.18-alt6master     -- работает

трассировка:

open("/usr/lib/iptables/libipt_REJECT.so", O_RDONLY) = 3
read(3, "\177ELF\1\1\1\0\0\0\0\0\0\0\0\0\3\0\3\0\1\0\0\0\320\5\0"..., 1024)
= 1024
fstat64(3, {st_mode=S_IFREG|0755, st_size=5208, ...}) = 0
mmap2(NULL, 4556, PROT_READ|PROT_EXEC, MAP_PRIVATE, 3, 0) = 0x2abeb000
mprotect(0x2abec000, 460, PROT_NONE)    = 0
mmap2(0x2abec000, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED, 3, 0x1)
= 0x2abec000
close(3)                                = 0
socket(PF_INET, SOCK_RAW, IPPROTO_RAW)  = 3
getsockopt(3, SOL_IP, 0x40 /* IP_??? */,
"filter\0\201\373\210\212\201\373c\211\201\200/-\202\0\0"..., [84]) = 0
brk(0x805c000)                          = 0x805c000
getsockopt(3, SOL_IP, 0x41 /* IP_??? */,
"filter\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., [11860]) = 0
brk(0x8060000)                          = 0x8060000
setsockopt(3, SOL_IP, 0x40 /* IP_??? */,
"filter\0*er\0\201\373\210\212\201\373c\211\201\200/-\202"..., 12112) = -1
EINVAL (Invalid argument)
write(2, "iptables: Invalid argument\n", 27) = 27
_exit(1)                                = ?

--
Igor Homyakov
<homyakov at altlinux dot ru>

Re: [sisyphus] Re: [iptables] -j REJECT

[Andy Gorev]

On Mon, 16 Sep 2002 18:56:05 +0400
Igor Homyakov <homyakov@ramax.spb.ru> wrote:


> kernel24-stable-smp-2.4.19-alt0.3 -- не работает
IMHO надо пересобрать iptables с этим ядром

> kernel24-up-2.4.18-alt6master     -- работает

-- 
С Уважением,
Андрей Горев

[sisyphus] Re: [iptables] -j REJECT

[Michael Shigorin]

On Mon, Sep 16, 2002 at 06:56:05PM +0400, Igor Homyakov wrote:
> kernel24-stable-smp-2.4.19-alt0.3 -- не работает
-up -- не работает.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[sisyphus] Re: [iptables] -j REJECT

[Michael Shigorin]

On Mon, Sep 16, 2002 at 06:56:05PM +0400, Igor Homyakov wrote:
> kernel24-stable-smp-2.4.19-alt0.3 -- не работает
ВИноват -- up-2.4.19-alt0.2 имел в виду.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[sisyphus] Re: [iptables] -j REJECT

[Michael Shigorin]

On Mon, Sep 16, 2002 at 05:58:55PM +0400, Albert R. Valiev wrote:
> > из manpage он вроде тоже как исчез...
> хмм.... а вы не перепутали ipchains и iptables? в iptables

ВОзможно.

> вроде как двано уже DROP, REJECT вроде изначально не было....
> если я ничего сам не перепутал :-)

А вежливо-то как?

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: [iptables] -j REJECT

[Konstantin Volckov]

[-- Attachment #1: Type: text/plain, Size: 530 bytes --]

On Mon, 16 Sep 2002 18:56:05 +0400
Igor Homyakov <homyakov@ramax.spb.ru> wrote:

Hi!

> > > у меня на одном хосте работает, на другом нет
> > > разница только в версии ядра мистика ?
> 
> > какие ядра, кстати?
> 
> kernel24-stable-smp-2.4.19-alt0.3 -- не работает
> kernel24-up-2.4.18-alt6master     -- работает

Вполне естественно, т.к. на kernel24-up-2.4.18-alt6master накладывался
patch-o-matic.

ЗЫ Насколько я знаю, REJECT уже давно deprecated.

> --
> Igor Homyakov
> <homyakov at altlinux dot ru>


-- 
Успехов,
Konstantin

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: [iptables] -j REJECT

[Igor Homyakov]

On Mon, Sep 16, 2002 at 09:34:45PM +0400, Konstantin Volckov wrote:
> Вполне естественно, т.к. на kernel24-up-2.4.18-alt6master накладывался
> patch-o-matic.
это исправимо ?

> ЗЫ Насколько я знаю, REJECT уже давно deprecated.

а что в замен ?

Успехов
--
Igor Homyakov
<homyakov at altlinux dot ru>

Re: [sisyphus] Re: [iptables] -j REJECT

[Albert R. Valiev]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

В письме от 16 Сентябрь 2002 20:22 Michael Shigorin написал:
> On Mon, Sep 16, 2002 at 05:58:55PM +0400, Albert R. Valiev wrote:
> > > из manpage он вроде тоже как исчез...
> > хмм.... а вы не перепутали ipchains и iptables? в iptables
> ВОзможно.
Нет, в man этот флаг присутствует, это я напутал :)))
только с 2.4.19-alt0.3-stable-up не работает все равно......

> > вроде как двано уже DROP, REJECT вроде изначально не было....
> > если я ничего сам не перепутал :-)
> А вежливо-то как?
В смысле? Сори, не понял вопроса, вроде не грубил :)))

- -- 
With Best Regards, Albert R. Valiev
- ------------------------------------
ALT Linux Team [www.altlinux.ru]
KDE Development Team [www.kde.org]
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.7 (GNU/Linux)

iD8DBQE9hij77d6wAH+0KuARAo8qAKDaT4roCncKxeBxuQEVVrAURJ/7KwCfcGy/
qtoenQTgU7tN9k+ybPd3mvk=
=FMx0
-----END PGP SIGNATURE-----

[sisyphus] Re: [iptables] -j REJECT

[Michael Shigorin]

On Mon, Sep 16, 2002 at 10:54:51PM +0400, Albert R. Valiev wrote:
> > > вроде как двано уже DROP, REJECT вроде изначально не было....
> > > если я ничего сам не перепутал :-)
> > А вежливо-то как?
> В смысле?

Ну, DROP -- это на пол, "и молодая не узнает" (а отвалится по
таймауту).  А как TCP RST тогда слать? (присмотрелся -- в
_начале_ мана REJECT не упоминается, хотя и не помню, как было
раньше -- и отличалось ли, а в рассмотрении целей
(/--reject-with) -- порядок, все есть)

> Сори, не понял вопроса, вроде не грубил :)))

Никоим образом! :-)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[sisyphus] Re: iptables -j REJECT

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 646 bytes --]

Igor Homyakov пишет:
> On Mon, Sep 16, 2002 at 11:03:36PM +0900, Alexei Takaseev wrote:
> 
>>А по-моему, REJECT работает только на цепочках INPUT и OUTPUT.
>>Для FORWARD только DENY
> 
> 'man iptables' другого мнения 

-j REJECT в iptables должен работать и работал именно до 
обновления до 2.4.19-alt0.3-stable-up. Кстати, я об этом уже 
писал, когда на новое ядро ругались :)

# lsmod|grep ip
ipt_REJECT              2712   0  (autoclean)
iptable_filter          1604   1  (autoclean)
ip_tables              10648   2  [ipt_REJECT iptable_filter]

iptables-1.2.6a-alt1

<skipped>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 252 bytes --]

Re: [sisyphus] Re: [iptables] -j REJECT

[Igor Homyakov]

On Tue, Sep 17, 2002 at 06:22:40PM +0400, Konstantin Volckov wrote:
> On Mon, 16 Sep 2002 22:30:29 +0400
> Igor Homyakov <homyakov@ramax.spb.ru> wrote:

> Hi!

> > > Вполне естественно, т.к. на kernel24-up-2.4.18-alt6master накладывался
> > > patch-o-matic.
> > это исправимо ?

> Думаю, да.

> > > ЗЫ Насколько я знаю, REJECT уже давно deprecated.
> > 
> > а что в замен ?

> Насколько я знаю, -DROP, но лучше посмотреть в документацию.

в документации тишина, всё как будто REJECT работает
и что странно в рассылке iptables тоже тишина 

--
Igor Homyakov
<homyakov at altlinux dot ru>

Re: [sisyphus] Re: [iptables] -j REJECT

[Konstantin Volckov]

[-- Attachment #1: Type: text/plain, Size: 438 bytes --]

On Mon, 16 Sep 2002 22:30:29 +0400
Igor Homyakov <homyakov@ramax.spb.ru> wrote:

Hi!

> > Вполне естественно, т.к. на kernel24-up-2.4.18-alt6master накладывался
> > patch-o-matic.
> это исправимо ?

Думаю, да.

> > ЗЫ Насколько я знаю, REJECT уже давно deprecated.
> 
> а что в замен ?

Насколько я знаю, -DROP, но лучше посмотреть в документацию.

> Успехов
> --
> Igor Homyakov
> <homyakov at altlinux dot ru>


-- 
Успехов,
Konstantin

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: [iptables] -j REJECT

[Konstantin Volckov]

[-- Attachment #1: Type: text/plain, Size: 568 bytes --]

On Tue, 17 Sep 2002 18:12:13 +0400
Igor Homyakov <homyakov@ramax.spb.ru> wrote:

Hi!

> > > > ЗЫ Насколько я знаю, REJECT уже давно deprecated.
> > > 
> > > а что в замен ?
> 
> > Насколько я знаю, -DROP, но лучше посмотреть в документацию.
> 
> в документации тишина, всё как будто REJECT работает
> и что странно в рассылке iptables тоже тишина 

Я планирую пересобрать iptables и сделать в нем автоматическую поддержку
разичных функций в зависимости от ядра (с patch-o-matic или нет).

> --
> Igor Homyakov
> <homyakov at altlinux dot ru>


-- 
Успехов,
Konstantin

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: [iptables] -j REJECT

[Ivan Zakharyaschev]

	Hello!

On Tue, 17 Sep 2002, Igor Homyakov wrote:

> On Tue, Sep 17, 2002 at 06:22:40PM +0400, Konstantin Volckov wrote:

> > > > Вполне естественно, т.к. на kernel24-up-2.4.18-alt6master
> накладывался
> > > > patch-o-matic.
> > > это исправимо ?
>
> > Думаю, да.
>
> > > > ЗЫ Насколько я знаю, REJECT уже давно deprecated.
> > >
> > > а что в замен ?
>
> > Насколько я знаю, -DROP, но лучше посмотреть в документацию.
>
> в документации тишина, всё как будто REJECT работает
> и что странно в рассылке iptables тоже тишина

-DROP не подойдёт в замен: он ведёт себя по-другому. В документации,
которую я читал (man iptables), действительно, ничего плохого про REJECT
не сказано. Может, это заблуждение, что REJECT deprecated.

-- 
С наилучшими пожеланиями,
Иван Захарьящев, Москва