Ahojte,
poprosím vás o pomoc.
Z mojej aplikácie pristupujem pomocou knižnice JSCH na vzdialený SFTP server (port 22). Problém nastáva pri pokuse zahadzovať v IPTABLES všetku komunikáciu (INPUT). Po načítaní pravidiel (iptables-restore) komunikácia s SFTP trvá cca. 2 minúty.
Pokúšal som sa povoliť port 22, ale neúspešne.
Viete mi poradiť na čo by som sa mal zamerať?
Ďakujem.
# Generated by iptables-save v1.4.14 on Thu Feb 12 10:43:35 2015 *filter :INPUT DROP [30:2635] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [8:608] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p icmp -m state --state NEW -j ACCEPT -A INPUT -s 10.10.10.2 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -N LOGGING -A INPUT -j LOGGING -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables-Dropped: " --log-level 4 -A LOGGING -j DROP COMMIT # Completed on Thu Feb 12 10:43:35 2015
Hod sem logy aspoň.
a co chces dosiahnut, vobec mi to nie je z tvojho dotazu jasne
Snažím sa zablokovať všetku komunikáciu smerom dnu. Po povolení pravidla pre IPTABLES sa všetko čo ide dnu zahadzuje, ale prihlásenie na vzdialený SFTP server z tohto zariadenia trvá cca. 2 minúty (predpokladám do vypršania nejakého timeoutu)
-A INPUT -p tcp --dport 22 -j ACCEPT
vďaka, ale bez zmeny. 192.168.1.14 je môj notebook....jediné čo v logu vidím je localhost. Po povolení 127.0.0.1 samozrejme pripojenie na vzdialené SFTP funguje, ale tak isto sa dokážem pripojiť aj na ostatné porty.
Len tak trepnem, ale skús povoliť na INPUT loopback, toto daj niekam na začiatok:
A pravidlo:
môžeš zredukovať na:
lebo RELATED,ESTABLISHED matchne už v prvom pravidle, takže je to redundantné a môže ťa to zmiasť
to pravidlo som úplne odstránil, mal som ho tam len dočasne na test
Toto je stav, kedy sa aplikácia (v raspberry) k SFTP serveru (vzdialený) pripojí bez zdržania, ale ja sa dokážem zároveň pripojiť do raspberry (čomu sa snažím zabrániť).
stále sa to správa rovnako - SFTP sa aplikácia pripojí rýchlo, ale zároveň sa aj ja dokážem pripojiť na zariadenie (čo chcem eliminovať).
a co tak
posledné pravidlo, ktoré som sem pridal sa chová presne ako potrebujem, ale iba pri prvom načítaní (iptables-restore volám z mojej aplikácie). Po načítaní pravidla na povolene všetkej komunikácie a znovu načítanie pravidla na zakázanie INPUT komunikácie už nefunguje tak ako by som potreboval. Nebude problém niekde tu?
Načítané pravidlo pre zakázanie INPUT:
pi@raspberrypi ~ $ sudo iptables -nvL Chain INPUT (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 6 328 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 75 6355 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW 0 0 LOGGING all -- * * 0.0.0.0/0 0.0.0.0/0 Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination Chain OUTPUT (policy ACCEPT 110 packets, 15639 bytes) pkts bytes target prot opt in out source destination Chain LOGGING (1 references) pkts bytes target prot opt in out source destination 0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 limit: avg 2/min burst 5 LOG flags 0 level 4 prefix "IPTables-Dropped: " 0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0ok, ďakujem všetkým za pomoc - problém bol v tom, že som si komunikáciu overoval z pripojenej aplikácie (putty) - po načítaní pravidla komunikácia s SFTP funguje, pokusy o nové pripojenia k raspberry sú zablokované.
Ak to správne chápem, tak toto pravidlo udržiava nadviazané pripojenia povolené.Ešte raz vďaka za pomoc.