1

Есть сервер с установленным nginx, один сетевой интефейс eth0, nginx работает как прокси на 80 порту с контент фильтром. С отключеным фаерволом он отлично работает. Пытаюсь настроить с фаерволом ( ни как не поддается).

#! /bin/bashIPT="/sbin/iptables"$IPT -F <br>$IPT -X$IPT -P INPUT DROP $IPT -P FORWARD ACCEPT $IPT -P OUTPUT DROPTCP_PORTS="53,80,8443,22"UDP_PORTS="53,21,20"$IPT -A INPUT -i lo -j ACCEPT$IPT -A OUTPUT -o lo -j ACCEPT$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT$IPT -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT$IPT -A INPUT -p tcp -m multiport --dport $TCP_PORTS -j ACCEPT$IPT -A INPUT -p udp -m multiport --dport $UDP_PORTS -j ACCEPT

Подскажите, где может быть моя ошибка? Суть в том, что он должен пускать на 80 порт определенную сеть, но он даж так не заводится. Заранее спасибо.

1
  • А не нужно ли выпустить обратно пакеты с --sport $TCP_PORTS?
    – Dex
    30 янв 2012 в 12:57

2 ответа 2

1
  1. Вы не дали разрешение на открытие нового соединения для цепочки INPUT - --state NEW
  2. Скорее всего для цепочки OUTPUT нужно так же открыть ваши порты на выход, указав --sport или задав для нее политику по-умолчанию -P OUTPUT ACCEPT
2
  • Спасибо за помощь всем )))Тут вызвало смех следующее, настраиваем фаервол #! /bin/bashIPT="/sbin/iptables"$IPT -F <br>$IPT -X$IPT -P INPUT ACCEPT $IPT -P FORWARD ACCEPT $IPT -P OUTPUT ACCEPTВот тут у меня уже смех вызвало када так же ничего не заработало!!!!!!Когда я отключаю фаервол все работает, но при отключении (если я не ошибаюсь) политики по умолчанию все аксепт.Тут я тоже самое делаю только включаю его и политики ставлю все аксепт и к моему удивлению почему то ниче не заработало!!!У кого есть еще мысли???
    – Ruslan 1
    1 фев 2012 в 4:29
  • После того как вы это все запустили из скрипта, вы проверяли политики? Т.е. командой iptables -L или iptables -t filter -L
    – Dex
    2 фев 2012 в 17:21
0

Если сервер нагружен слабо, то можно настроить последнее правило

iptables -A FORWARD -p tcp -m tcp -s 192.168.0.0/16 --dport 25 \-j LOG --log-level debug --log-prefix "outgoing mail"

которое будет отправлять в сислог неверные пакеты и последовательно разрешать. Про полностью разрешенный файрвол - покажи еще

iptables -nL -t nat
1
  • Ваше правило отправляет пакеты в лог, идущие на 25й порт из внутренней сети, причем о неверности пакетов там ни слова. А таблица NAT вам зачем?
    – Dex
    2 фев 2012 в 17:20

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.