iptables

Redphex

Legend
RabbitOfNegativeEuphoria

Registered: Mar 2000
Location: Kadaverstern
Posts: 11812

12.09.2001 - 22:33

hmmm ... jetzt is auch bei mir soweit dass ich kein passendes howto mit helfender antwort find ...

hab umgstellt auf neuen kernel -> verwend iptables statt ipchains, im prinzip den inhalt der einzelenen ipchains-zeilen aufs iptables übertragen.

es funzt auch eigentlich alles auch brav - bis auf ftp-data.

bis jetzt schaun die forwarding policies so aus:

#default
modprobe iptable_nat
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -i eth0 -p udp --sport bootpc --dport bootps -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport bootpc --dport bootps -j ACCEPT
iptables -A INPUT -i eth0 -p udp --sport bootps --dport bootpc -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --sport bootps --dport bootpc -j ACCEPT

#custom
iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p tcp --sport 22 --dport 22 -j ACCEPT
iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p tcp --sport 20 --dport 20 -j ACCEPT
iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p tcp --sport 21 --dport 21 -j ACCEPT
iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth0 -p tcp --sport 0:1023 --dport 0:1023 -j ACCEPT
iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth0 -p udp --sport 0:1023 --dport 0:1023 -j ACCEPT
iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p tcp --sport 0:1023 --dport 0:1023 -j DROP
iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p udp --sport 0:1023 --dport 0:1023 -j DROP

das einzige, was ich an info mit bezug auf ftp-data gfunden hab, wär' -m state --state RELATED auch reinzuhaun.
nur .. effekt hat's irgendwie keinen ghabt (fehler meinerseits nicht auszuschliessen)

weiss vielleicht irgendwer was i da überseh??

thx.

noledge

CWNE #540

Registered: Apr 2001
Location: ::1
Posts: 6837

12.09.2001 - 23:52

seas phex,

i kenn mi zwar bei iptables selber ned wirklich aus, aber was i so mitkriegt hab...

da gibts module die da ganz hilfreich sein könnten, i glaub ip_conntrack und ip_conntrack_ftp ... hast die in speicher geladen?

hast für ftp-data in output auch aufgmacht?

mal schaun, unter umständne kenn ich wen der sicj mehr auskennt.

noledge

noledge

CWNE #540

Registered: Apr 2001
Location: ::1
Posts: 6837

12.09.2001 - 23:55

ahja, gehn passive connections?

noledge

Redphex

Legend
RabbitOfNegativeEuphoria

Registered: Mar 2000
Location: Kadaverstern
Posts: 11812

13.09.2001 - 00:09

module ausprobiert --> keine änderung
passive mode geht (nicht zu jedem server :confused:

)

ftp-data output? so wie's da bei mir ausschaut, will data zu mir inputtn, kanns aber nicht.

aber probiern kost nix.

Redphex

Legend
RabbitOfNegativeEuphoria

Registered: Mar 2000
Location: Kadaverstern
Posts: 11812

13.09.2001 - 00:12

ah .. hab's scho.

das mit den modules war gut - wemma mal schaut was da noch so alles gibt

.. u.a. ip_nat_ftp ...

noledge

CWNE #540

Registered: Apr 2001
Location: ::1
Posts: 6837

13.09.2001 - 07:10

subba

noledge

Redphex Legend RabbitOfNegativeEuphoria Registered: Mar 2000 Location: Kadaverstern Posts: 11812	12.09.2001 - 22:33 hmmm ... jetzt is auch bei mir soweit dass ich kein passendes howto mit helfender antwort find ... hab umgstellt auf neuen kernel -> verwend iptables statt ipchains, im prinzip den inhalt der einzelenen ipchains-zeilen aufs iptables übertragen. es funzt auch eigentlich alles auch brav - bis auf ftp-data. bis jetzt schaun die forwarding policies so aus: #default modprobe iptable_nat echo 1 > /proc/sys/net/ipv4/ip_forward iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT iptables -A INPUT -i eth0 -p udp --sport bootpc --dport bootps -j ACCEPT iptables -A INPUT -i eth0 -p tcp --sport bootpc --dport bootps -j ACCEPT iptables -A INPUT -i eth0 -p udp --sport bootps --dport bootpc -j ACCEPT iptables -A INPUT -i eth0 -p tcp --sport bootps --dport bootpc -j ACCEPT #custom iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p tcp --sport 22 --dport 22 -j ACCEPT iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p tcp --sport 20 --dport 20 -j ACCEPT iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p tcp --sport 21 --dport 21 -j ACCEPT iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth0 -p tcp --sport 0:1023 --dport 0:1023 -j ACCEPT iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth0 -p udp --sport 0:1023 --dport 0:1023 -j ACCEPT iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p tcp --sport 0:1023 --dport 0:1023 -j DROP iptables -A INPUT -s 0.0.0.0/0.0.0.0 -d 192.168.0.0/255.255.255.0 -i eth1 -p udp --sport 0:1023 --dport 0:1023 -j DROP das einzige, was ich an info mit bezug auf ftp-data gfunden hab, wär' -m state --state RELATED auch reinzuhaun. nur .. effekt hat's irgendwie keinen ghabt (fehler meinerseits nicht auszuschliessen) weiss vielleicht irgendwer was i da überseh?? thx.
noledge CWNE #540 Registered: Apr 2001 Location: ::1 Posts: 6837	12.09.2001 - 23:52 seas phex, i kenn mi zwar bei iptables selber ned wirklich aus, aber was i so mitkriegt hab... da gibts module die da ganz hilfreich sein könnten, i glaub ip_conntrack und ip_conntrack_ftp ... hast die in speicher geladen? hast für ftp-data in output auch aufgmacht? mal schaun, unter umständne kenn ich wen der sicj mehr auskennt. noledge
noledge CWNE #540 Registered: Apr 2001 Location: ::1 Posts: 6837	12.09.2001 - 23:55 ahja, gehn passive connections? noledge
Redphex Legend RabbitOfNegativeEuphoria Registered: Mar 2000 Location: Kadaverstern Posts: 11812	13.09.2001 - 00:09 module ausprobiert --> keine änderung passive mode geht (nicht zu jedem server ) ftp-data output? so wie's da bei mir ausschaut, will data zu mir inputtn, kanns aber nicht. aber probiern kost nix.
Redphex Legend RabbitOfNegativeEuphoria Registered: Mar 2000 Location: Kadaverstern Posts: 11812	13.09.2001 - 00:12 ah .. hab's scho. das mit den modules war gut - wemma mal schaut was da noch so alles gibt .. u.a. ip_nat_ftp ...
noledge CWNE #540 Registered: Apr 2001 Location: ::1 Posts: 6837	13.09.2001 - 07:10 subba noledge

iptables

Forum Index > Software > Windows

Redphex

noledge

noledge

Redphex

Redphex

noledge