On Tue, 14 Dec 2004, Patrycjusz Fudała wrote:
Witam wszystkich.
Mam problem z filtrowaniem pakietów na iptables, a mianowicie:
ustawiam regułę na INPUT :
iptables -A INPUT -p tcp -i eth0 -s 192.168.0.2/32 --dport 22 -m state --state
NEW -j ACCEPT
a regułę na OUTPUT:
iptables -A OUTPUT -p tcp -o eth0 -m state --state ESTABLISHED,RELATED -j
ACCEPT.
efekt jest taki że nie moge się połączyć przez ssh do serwera, natomiast jeśli
pozbędę się w łańcuchu na INPUT
parametru -m state --state NEW nie ma problemu z połączeniem. Posiadam kernel
2.6.8-4 i iptables 1.2.11
Rozumiem że na końcu łańcucha INPUT masz -j DROP?
Przecież musisz jakoś przesyłać do serwera dane - albo dodaj -m state
--state ESTABLISHED,RELATED -j ACCEPT do łańcucha INPUT, albo usuń -m state
--state NEW i zostaw samo --dport 22 -j ACCEPT.
Czy to błąd w module state w obsłude protokołu tcp gdyż analogiczne reguły na
protokuł icmp działają prawidłowo.
W ICMP idzie do serwera jeden pakiet - a potem jest odbijany z powrotem.
Gdyby ICMP ustanawiało sesję i wysyłało dalej dane (tak jak SSH) to by nie
działało.
P.S. To wszystko tak na mój mały rozumek - może czegoś nie rozumiem, ale to
mi się wydaje oczywiste ;)
Pozdrawiam,
--
Jacek Osiecki [EMAIL PROTECTED] GG:3828944
"Poglądy polityczne mają takie znaczenie w sejmie jak upierzenie u krokodyla"
(c) Tomasz Olbratowski 2004
_______________________________________________
pld-users-pl mailing list
[EMAIL PROTECTED]
http://lists.pld-linux.org/mailman/listinfo/pld-users-pl
