[Sysadmins] Etcnet & iptables

[Sysadmins] Etcnet & iptables

[Alex Moskalenko]

Здравствуйте!

Пытаюсь разобраться с etcnet, и возникло несколько вопросов.

1. Захотелось прикрутить запуск файрволла к etcnet (etcnet-0.8.3-alt2). 
Наткнулся на то, что при 
создании /etc/net/ifaces/iface/fw/iptables/filter/[INPUT OUTPUT FORWARD] (и 
прочих встроенных в iptables цепочек), etcnet при старте пытается их создать, 
а при остановке - удалить, несмотря на то, что они прописаны 
в /etc/net/ifaces/default/fw/options. Вылечил ситуацию, поправив 
скрипт /etc/net/scripts/functions-fw, заменив $chain на `basename $chain` в 
2х местах проверки на принадлежность цепочки ко встроенным (строки 228 и 
319). В связи с этим вопрос - раз у всех работает, что я изначально сделал не 
так, что у меня работать отказывается?

2. Используя human syntax, написал правило на пропуск RST пакетов. Выглядит 
оно как accept if tcp ....... and tcp-flags RST RST. При этом формируется 
команда iptables -j ACCEPT --protocol tcp ...... -mtcp --tcp-flags RST RST
которую iptables-1.3.5-alt4 кушать отказывается, ругаясь на неизвестный 
аргумент RST. Вылечилось заменой условия на --tcp-flags RST RST - тогда 
etcnet не меняет его при запуске iptables (не добавляет -mtcp) и при этом все 
работает. Вопрос собственно тот же - что я делаю не так?

Заранее спасибо за ответ.

-- 
WBR, Alex Moskalenko

Re: [Sysadmins] Etcnet & iptables

[Mikhail Pokidko]

07.08.06, Alex Moskalenko<mav@elserv.msk.su> написал(а):
> Здравствуйте!
>
> Пытаюсь разобраться с etcnet, и возникло несколько вопросов.
>
> 1. Захотелось прикрутить запуск файрволла к etcnet (etcnet-0.8.3-alt2).
> Наткнулся на то, что при
> создании /etc/net/ifaces/iface/fw/iptables/filter/[INPUT OUTPUT FORWARD] (и
> прочих встроенных в iptables цепочек), etcnet при старте пытается их создать,
> а при остановке - удалить, несмотря на то, что они прописаны
> в /etc/net/ifaces/default/fw/options. Вылечил ситуацию, поправив
> скрипт /etc/net/scripts/functions-fw, заменив $chain на `basename $chain` в
> 2х местах проверки на принадлежность цепочки ко встроенным (строки 228 и
> 319). В связи с этим вопрос - раз у всех работает, что я изначально сделал не
> так, что у меня работать отказывается?

думаете, _все_ пользуются iptables через etcnet?
Пользуйтесь лучше iptables более привычным путем )

> 2. Используя human syntax, написал правило на пропуск RST пакетов. Выглядит
> оно как accept if tcp ....... and tcp-flags RST RST. При этом формируется
> команда iptables -j ACCEPT --protocol tcp ...... -mtcp --tcp-flags RST RST
> которую iptables-1.3.5-alt4 кушать отказывается, ругаясь на неизвестный
> аргумент RST. Вылечилось заменой условия на --tcp-flags RST RST - тогда
> etcnet не меняет его при запуске iptables (не добавляет -mtcp) и при этом все
> работает. Вопрос собственно тот же - что я делаю не так?
>
> Заранее спасибо за ответ.

Re: [Sysadmins] Etcnet & iptables

[Genix]

Mikhail Pokidko wrote:

> думаете, _все_ пользуются iptables через etcnet?
> Пользуйтесь лучше iptables более привычным путем )

а чем плох способ задания правил через etcnet?
думаю по некоторым пунктам автору стоит повесить багу


-- 
У каждого в башке свои тараканы...

Re: [Sysadmins] Etcnet & iptables

[Шенцев Алексей Владимирович]

В сообщении от 8 августа 2006 10:18 Genix написал(a):
> а чем плох способ задания правил через etcnet?
> думаю по некоторым пунктам автору стоит повесить багу
Он не не хуже и не лучше, он просто иной. В первую очередь конкретной 
привязкой к определённой модели. Традиционный способ работы с iptables не 
зависит от сетвой модели. будь то net-scripts, будь то etcnet. Скрипт для 
настройки iptables написанный не зависимо от сетвой модели будет работать не 
зависимо от net-scripts или от etcnet. Такой способ управления iptables 
предлагает более высокий уровень абстрагирования, чем управление через 
etcnet.
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
ICQ: 271053845

Re: [Sysadmins] Etcnet & iptables

[Mikhail Pokidko]

08.08.06, Genix<genix@list.ru> написал(а):
> Mikhail Pokidko wrote:
>
> > думаете, _все_ пользуются iptables через etcnet?
> > Пользуйтесь лучше iptables более привычным путем )
>
> а чем плох способ задания правил через etcnet?
Я и не говорил, что плох
_Лично мне_ оказалось (удобнее|эффективнее) пользоваться старым способом.
Опять же речь не о _всех_, хотя и сдается мне, что не я один такой консерватор.

> думаю по некоторым пунктам автору стоит повесить багу
>

Re: [Sysadmins] Etcnet & iptables

[Andrew Kornilov]

Alex Moskalenko wrote:

>Здравствуйте!
>
>Пытаюсь разобраться с etcnet, и возникло несколько вопросов.
>
>
>319). В связи с этим вопрос - раз у всех работает, что я изначально сделал не 
>так, что у меня работать отказывается?
>  
>
Да, это старый баг, давно уже исправлен, просто в сизифе старая версия. 
в 0.8.4 код переписан и переделан. Просто все никак свежую версию Денис 
не выпустит, хотя изменений вроде как уже и достаточно:
        new feature: bluetooth (bnep) support
        new feature: it is now possible to redefine interface groups
        bugfix: DHCP and VLAN interfaces did not work
        change: DHCPCD_GRACE_TIME becomes DHCP_GRACE_TIME
        change: firewall code refactoring and optimization
        new: scripts 'eqos' and 'efw' for QoS and firewall manual control
        new: complex example in documentation
Только что поговорил с ним, скоро будет.

>2. Используя human syntax, написал правило на пропуск RST пакетов. Выглядит 
>оно как accept if tcp ....... and tcp-flags RST RST. При этом формируется 
>команда iptables -j ACCEPT --protocol tcp ...... -mtcp --tcp-flags RST RST
>которую iptables-1.3.5-alt4 кушать отказывается, ругаясь на неизвестный 
>аргумент RST. Вылечилось заменой условия на --tcp-flags RST RST - тогда 
>etcnet не меняет его при запуске iptables (не добавляет -mtcp) и при этом все 
>работает. Вопрос собственно тот же - что я делаю не так?
>
>Заранее спасибо за ответ.
>  
>
Странно, может в старой версии ошибка была какая-то. Без проблем только 
что сделал:
 efw eth0 filter INPUT rule reject if tcp from 1.2.3.4 and tcp-flags RST RST

p.s. Сразу отвечаю на следующие письма в треде: да, сделано непривычно, 
есть свои минусы и плюсы, плюс иногда баги проскакивают. Некоторым 
подходит, некоторым нет. Оно никак не мешает, в принципе.