* [Comm] Помогите разобраться с iptables
@ 2004-05-29 8:34 Juveman
2004-05-29 9:05 ` Andrey Brindeew
2004-05-29 10:22 ` Dmitry Lebkov
0 siblings, 2 replies; 3+ messages in thread
From: Juveman @ 2004-05-29 8:34 UTC (permalink / raw)
To: community
Разбираюсь с настройкой iptables. В связи с этим возникло пара вопросов.
Я пробую ограничить использование сети только протоколами http и ftp. ( я только разбираюсь с настройкой, поэтому целесообразность подобного шага не обсуждается :))
Для этого выполняю следующие команды:
iptables -A INPUT -p TCP -m multiport --sport 21,80 -j ACCEPT
iptables -A INPUT -p TCP -j REJECT
И вот здесь начинается самое интересное. Отрубаются практически все сетевые программы. Работает только браузер (в принципе как и было задумано). Но не работает ftp. То есть соединение с сервером происходит, успешно проходит авторизация (если нужна), но список файлов и каталогов фтп-клиент не получает. Начитавшись iptables-tutorial, разрешаю еще соединения с 20 порта. Ничего не меняется.
Там же в iptables-tutorial написано, что для с фтп через файерволл требуется дополнительный модуль ip_conntrack_ftp.
Выполняю modprobe -l
/lib/modules/2.6.3-7mdk/kernel/net/ipv4/netfilter/ip_conntrack_ftp.ko.gz
Насколько я понимаю, этот модуль загружен.
До введения этих правил соединения с фтп серверами проходили нормально. Подскажите, пожалуйста, как все-таки заставить работать фтп при таких настройках.
И еще. Очень мне понравились действия icq, которая просто переползла на использование 80 порта (если верить netstat) и, соответственно, спокойно соединилась с сервером :)) Ей как-нибудь можно заблокировать выход в сеть?
----------
С уважением, Juveman
^ permalink raw reply [flat|nested] 3+ messages in thread
* Re: [Comm] Помогите разобраться с iptables
2004-05-29 8:34 [Comm] Помогите разобраться с iptables Juveman
@ 2004-05-29 9:05 ` Andrey Brindeew
2004-05-29 10:22 ` Dmitry Lebkov
1 sibling, 0 replies; 3+ messages in thread
From: Andrey Brindeew @ 2004-05-29 9:05 UTC (permalink / raw)
To: community
[-- Attachment #1: Type: text/plain, Size: 1080 bytes --]
On Sat, May 29, 2004 at 12:34:46PM +0400, Juveman wrote:
> Там же в iptables-tutorial написано, что для с фтп через файерволл требуется дополнительный модуль ip_conntrack_ftp.
> Выполняю modprobe -l
> /lib/modules/2.6.3-7mdk/kernel/net/ipv4/netfilter/ip_conntrack_ftp.ko.gz
> Насколько я понимаю, этот модуль загружен.
lsmod подскажет точнее.
> До введения этих правил соединения с фтп серверами проходили нормально. Подскажите, пожалуйста, как все-таки заставить работать фтп при таких настройках.
> И еще. Очень мне понравились действия icq, которая просто переползла
> на использование 80 порта (если верить netstat) и, соответственно,
> спокойно соединилась с сервером :)) Ей как-нибудь можно заблокировать
> выход в сеть?
Это не очень тривиально, но можно. А вообще в организации нужно держать
один прокси-сервер и запретить вообще наружу коннекты. А на прокси
открывается только http и ftp и персонально запрещаются все подсети
mirabilis'а. :-)
--
WBR, Andrey Brindeew.
"No one person can understand Perl culture completely"
(C) Larry Wall.
[-- Attachment #2: Type: application/pgp-signature, Size: 245 bytes --]
^ permalink raw reply [flat|nested] 3+ messages in thread
* Re: [Comm] Помогите разобраться с iptables
2004-05-29 8:34 [Comm] Помогите разобраться с iptables Juveman
2004-05-29 9:05 ` Andrey Brindeew
@ 2004-05-29 10:22 ` Dmitry Lebkov
1 sibling, 0 replies; 3+ messages in thread
From: Dmitry Lebkov @ 2004-05-29 10:22 UTC (permalink / raw)
To: community
On Sat, 29 May 2004 12:34:46 +0400
Juveman <juveman@atom.ru> wrote:
> Разбираюсь с настройкой iptables. В связи с этим возникло
> пара вопросов. Я пробую ограничить использование сети только
> протоколами http и ftp. (я только разбираюсь с настройкой,
> поэтому целесообразность подобного шага не обсуждается :))
> Для этого выполняю следующие команды:
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
> iptables -A INPUT -p TCP -m multiport --sport 21,80 -j ACCEPT
iptables -A INPUT -p TCP -m multiport --sport 20,21,80 -j ACCEPT
> iptables -A INPUT -p TCP -j REJECT
> И вот здесь начинается самое интересное. Отрубаются практически
> все сетевые программы. Работает только браузер (в принципе как
> и было задумано). Но не работает ftp. То есть соединение с
> сервером происходит, успешно проходит авторизация (если нужна),
> но список файлов и каталогов фтп-клиент не получает. Начитавшись
> iptables-tutorial, разрешаю еще соединения с 20 порта. Ничего не
> меняется.
> Там же в iptables-tutorial написано, что для с фтп через файерволл
> требуется дополнительный модуль ip_conntrack_ftp.
> Выполняю modprobe -l
> /lib/modules/2.6.3-7mdk/kernel/net/ipv4/netfilter/ip_conntrack_ftp.ko.gz
> Насколько я понимаю, этот модуль загружен.
Для использования функциональности этого модуля необходимо
задействовать правила с использованием модулья state и фильтровать
соответствующие состояния соединений.
> До введения этих правил соединения с фтп серверами проходили нормально.
> Подскажите, пожалуйста, как все-таки заставить работать фтп при таких
> настройках. И еще. Очень мне понравились действия icq, которая просто
> переползла на использование 80 порта (если верить netstat) и,
> соответственно, спокойно соединилась с сервером :)) Ей как-нибудь
> можно заблокировать выход в сеть?
Блокировкой всех ip-адресов login.icq.com?
--
WBR, Dmitry Lebkov
^ permalink raw reply [flat|nested] 3+ messages in thread
end of thread, other threads:[~2004-05-29 10:22 UTC | newest]
Thread overview: 3+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2004-05-29 8:34 [Comm] Помогите разобраться с iptables Juveman
2004-05-29 9:05 ` Andrey Brindeew
2004-05-29 10:22 ` Dmitry Lebkov
ALT Linux Community general discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/community/0 community/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 community community/ http://lore.altlinux.org/community \
mandrake-russian@linuxteam.iplabs.ru community@lists.altlinux.org community@lists.altlinux.ru community@lists.altlinux.com
public-inbox-index community
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.community
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git