1

Доброго времени суток. Я только начинаю разбираться с iptables, но столкнулся с ситуацией срочной настройки доступа по порту 3050 на сервер, пока что ничего не получается, поэтому прошу помощи. На сервере крутится сервер FireBird на порту 3050. По дефолту порт открыт (iptables настроены так, что все порты закрыты, но если на порту начинает работать служба, порт открывается автоматом). В цепочке filter прописываю правило:

*filter

{Для начала разрешаю с некоего IP доступ по порту 3050}

-A INPUT -i eth0 -p tcp -m tcp -s {Входящий IP} -d {IP Сервера} --dport 3050 -j ACCEPT

{Затем дропаю все приходящие на этот порт пакеты}

-A INPUT -i eth0 -p tcp -m tcp --dport 3050 -j DROP

В итоге он полностью закрывает этот порт. Где копать? Просьба в гугль и на ман не отправлять, с утра там сижу, просто работа горит, нужно сегодня настроить. Заранее благодарю.

2 ответа 2

1

После ACCEPT, насколько я помню, обработка пакета продолжается, и следующей строкой он у вас дропается..

6
  • Из мануала:"Данная операция не имеет дополнительных ключей. Если над пакетом выполняется действие ACCEPT, то пакет прекращает движение по цепочке (и всем вызвавшим цепочкам, если текущая цепочка была вложенной) и считается ПРИНЯТЫМ (то бишь пропускается), тем не менее, пакет продолжит движение по цепочкам в других таблицах и может быть отвергнут там. Действие задается с помощью ключа -j ACCEPT."Насколько я понимаю эти слова, то после 1-го правила с -j ACCEPT фаервол должен запустить на этот порт с нужного ip, а последующий дроп будет срабатывать на остальные ip.
    – EgODiEz
    26 окт 2011 в 10:52
  • Мне кажется, что вы неверно понимаете ) 26 окт 2011 в 10:56
  • Давайте сначала.. ход мысли1.у вас все закрыто2.начинает работать софт, открывает порт 30503.тут же iptables открывает этот порт (?) для всех (?)4.вы хотите что? Открыть только для одного IP? - удалите последнее правило iptables, добавьте новое. 26 окт 2011 в 10:59
  • если взять за отправную точку что на текущий момент все у нас закрыто, то достаточно лишь строки-A INPUT -i eth0 -p tcp -m tcp -s {Входящий IP} -d {IP Сервера} --dport 3050 -j ACCEPT т.е. мы открываем только для доверенного ip 26 окт 2011 в 11:03
  • Конкретнее по пунктам.1) Все порты по дефолту закрыты.2) Открываются только те порты, на которых крутятся службы (автоматом, в iptables ничего по этим портам нет).3) Сейчас мне необходимо закрыть порт 3050 для всех, кроме нескольких IP глобально не меняя правила, чтобы не потревожить другие порты и службы.З.Ы. Даю честное человеческое, что уже сел курить мануалы и через 2 месяца буду полностью переставлять свой сервер с подъёмом своих настроек iptables различных мэйлсерверов, фтп и прочего. Прошу только сейчас помочь со временным решением, т.к. это требуется сейчас.
    – EgODiEz
    26 окт 2011 в 11:07
0

Проблема решена, Антон, большое Вам спасибо за участие, я сам себе глупый баклан, видать заработался сегодня. Пересматривал синтаксис 100500 раз, курил мануалы часа 3, а в итоге входящий IP составил из цифр IP двух разных филиалов... Трудновато склерозом не заболеть, когда один работаешь на 10 удалённых филиалов... А в итоге записано правильно, сначала правило ACCEPT, а затем DROP (см. первый пост). И прошу прощение за потраченное время.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.