Re[2]: [Comm] firewall

["Denis G. Samsonenko" <earthsea@ngs.ru>]

[-- Attachment #1: Type: text/plain, Size: 1002 bytes --]

Hi!

Wednesday, March 05, 2003, 3:33:56 PM, you wrote:
> У тебя сначала цепочки INPUT разрешается куча соединений. До
> tcp_packets наверное даже не доходит.

Я уже взял за основу rc.UTIN.firewall, немного его подправив. Теперь
вроде всё правильно. Вот только что-то стало круто тормозить, т.е. при
коннекте по ssh и ftp происходит довольно ощутимая задежка, до минуты.
При этом ftp похоже вообще не дожидается ответа.

Когда уже по ssh соединение установилось, то дальше работает
нормально, без тормозов. Т.е. тормозит только при коннекте.

Ещё команда iptables -L как-то тоже тормозит, выдаёт часть списка,
замирает где-то на пол минуты и потом выдаёт остаток.

С чем это может быть связано?

> Пришли вывод 
> iptables -L --line-numbers -v
> (можно приватом) разберемся.

Положил в аттач.

> Или в джаббер постучи - быстрее будет.

Джаббера у меня нету и пользоваться им не умею. Но есть аська, правда
я ей почти не пользуюсь, номер такой: 50434180.

Best regards,

Denis

----------
earthsea@ngs.ru

[-- Attachment #2: ipt.txt --]
[-- Type: text/plain, Size: 3829 bytes --]

iptables -L --line-numbers -v

Chain INPUT (policy DROP 79 packets, 15618 bytes)
num   pkts bytes target     prot opt in     out     source               destination      
1      177 13260 bad_tcp_packets  tcp  --  any    any     anywhere             anywhere   
2        0     0 ACCEPT     all  --  lo     any     localhost.localdomain  anywhere       
3        0     0 ACCEPT     all  --  lo     any     cys.che.intra.net    anywhere         
4        2   190 ACCEPT     all  --  lo     any     cys.che.nsk.su       anywhere         
5      177 13260 tcp_packets  tcp  --  any    any     anywhere             anywhere       
6       71 14730 udp_packets  udp  --  any    any     anywhere             anywhere       
7        2   120 icmp_packets  icmp --  any    any     anywhere             anywhere      
8        5   800 LOG        all  --  any    any     anywhere             anywhere           limit: avg 3/min burst 3 LOG level debug prefix `IPT INPUT packet died: '

Chain FORWARD (policy DROP 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination      

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination      
1      212 13428 bad_tcp_packets  tcp  --  any    any     anywhere             anywhere   
2        0     0 ACCEPT     all  --  any    any     localhost.localdomain  anywhere       
3      216 13682 ACCEPT     all  --  any    any     cys.che.intra.net    anywhere         
4        4   324 ACCEPT     all  --  any    any     cys.che.nsk.su       anywhere         
5        0     0 LOG        all  --  any    any     anywhere             anywhere           limit: avg 3/min burst 3 LOG level debug prefix `IPT OUTPUT packet died: '

Chain allowed (4 references)
num   pkts bytes target     prot opt in     out     source               destination      
1        0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere           tcp flags:SYN,RST,ACK/SYN
2      169 12372 ACCEPT     tcp  --  any    any     anywhere             anywhere           state RELATED,ESTABLISHED
3        0     0 DROP       tcp  --  any    any     anywhere             anywhere         

Chain bad_tcp_packets (2 references)
num   pkts bytes target     prot opt in     out     source               destination      
1        0     0 LOG        tcp  --  any    any     anywhere             anywhere           tcp flags:!SYN,RST,ACK/SYN state NEW LOG level warning prefix `New not syn:'
2        0     0 DROP       tcp  --  any    any     anywhere             anywhere           tcp flags:!SYN,RST,ACK/SYN state NEW

Chain icmp_packets (1 references)
num   pkts bytes target     prot opt in     out     source               destination      

1        2   120 ACCEPT     icmp --  any    any     10.1.0.0/16          anywhere           icmp echo-request
2        0     0 ACCEPT     icmp --  any    any     anywhere             anywhere           icmp time-exceeded

Chain tcp_packets (1 references)
num   pkts bytes target     prot opt in     out     source               destination      
1        0     0 allowed    tcp  --  any    any     anywhere             anywhere           tcp dpt:ftp
2      169 12372 allowed    tcp  --  any    any     anywhere             anywhere           tcp dpt:ssh
3        0     0 allowed    tcp  --  any    any     anywhere             anywhere           tcp dpt:http
4        0     0 allowed    tcp  --  any    any     anywhere             anywhere           tcp dpt:auth

Chain udp_packets (1 references)
num   pkts bytes target     prot opt in     out     source               destination      
1        0     0 ACCEPT     udp  --  any    any     anywhere             anywhere           udp spt:ntp