Newsgroup: it.comp.os.linux.iniziare
Titolo: problema iptables

Ho un problema con una macchina che lavora da firewall utilizzando 
iptables su fedora 2.
Sono abbastanza ignorante in materia di linux per cui spero di riuscire 
ad essere sufficientemente chiaro, anche perché non sono riuscito a
individuare il problema.
La macchina monta 2 schede di rete, una collegata al router con un
indirizzo ip pubblico, l'altra collegata allo switch della rete locale.
Sulla macchina è installata la configurazione di base di fedora 2
(togliendo tutte le opzioni dall'installazione all'inizio!)
iptables è configurato in modo da nattare tutta la classe interna su un
unico indirizzo pubblico. vi elenco sotto i comandi lanciati dagli 
script che ho preparato che vengono lanciati all'avvio del computer.
prima degli script descrivo il problema:
la macchina sembra funzionare regolarmente. a volte però succede che 
solo nei confronti di un solo client (indirizzo ip credo?) della rete 
interna, l'interfaccia interna non risulta raggiungibile.
mi spiego meglio. x es ho il mio firewall in una rete con due client a e 
b che hanno come default gw il firewall stesso. ogni tanto succede che 
per esempio solo a, per un paio di minuti non vede più il firewall. in 
quei minuti a vede b e b vede a. chiaramente insieme al firewall non 
riesce più a vedere neanche niente che sia su internet. dopo questi 
minuti la cosa si sblocca e funziona tutto regolarmente come se niente 
fosse.
credo che il problema non sia da imputare all'hardware né ad un client
specifico perché:
1) il problema si manifesta indifferentemente a turno su ogni client.
2) ho 3 macchine diverse su 3 reti diverse, client diversi (windows e 
mac), configurazioni hardware completamente diverse, in comune solo il
software. e su tutte e 3 le macchine riscontro lo stesso problema.
spero che qualcuno sappia aiutarmi, o almeno indirizzarmi.
grazie a tutti per l'attenzione.
ciao
davide
ps: seguono i comandi dati all'avvio...
ifconfig $WAN_IFACE $WAN_IP netmask $WAN_NETMASK
ifconfig $LAN_IFACE $LAN_IP netmask $LAN_NETMASK
route add default gw $DEF_GW
hostname $MY_HOSTNAME
nameserver $DNS_1 > /etc/resolv.conf
nameserver $DNS_2 >> /etc/resolv.conf
/sbin/iptables -N rrcin
/sbin/iptables -A INPUT -j rrcin
/sbin/iptables -A FORWARD -j rrcin
/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -A rrcin -i eth0 -j ACCEPT
/sbin/iptables -A rrcin -i eth1 -m state --state ESTABLISHED,RELATED -j 
ACCEPT
/sbin/iptables -A rrcin -i eth1 -p udp --sport domain -j ACCEPT
/sbin/iptables -A rrcin -i lo -j ACCEPT
/sbin/modprobe ip_conntrack_ftp
/sbin/iptables -t nat -F
/sbin/iptables -t nat -X
#Policy per nat in uscita
/sbin/iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 62.94.92.146
#Carica moduli per ftp attivo
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
echo 1 >/proc/sys/net/ipv4/ip_forward

Trovi un della documentazione su:
http://www.valperix.gabama.com
e se hai problemi chiedi pure al webmaster hunted che è un mago di iptables.
ciao


Quoto tutto perchè ho il tuo stesso identico problema e ce l'ho sia con
fedora core 2 sia con gentoo.
Ho provato di tutto ma non c'è stato niente da fare.
L'unica cosa di particolare è che mi sembra che se si fa solo il NAT (quindi
accettando tutto dalle due interfacce, in pratica non usare il firewall) il
sistema funziona regolarmente.
Hai risolto? Qualcuno sa cosa può essere?
Grazie a tutti.
Ciao.
 
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 ha scritto:

Quoto l'intero messaggio perchè anch'io ho lo stesso identico problema.
Oltre all'hardware ed ai settaggi dei client escluderei anche la
distribuzione linux perchè io ho il medesimo problema sia su fedora core 2
sia su gentoo.
C'è solo una cosa, dopo sbattimenti infiniti per risolvere il problema: ci
sono dei momenti in cui l'interruzione momentanea è abbastanza frequente
(ogni 15-30 min) e dei momenti in cui passano anche 2 ore senza problemi e
se si aprono completamente le due interfacce (quindi ACCEPT su tutto, come
se non ci fosse il firewall) e si lascia solo il NAT non ci sono
interruzioni (akmeno in 4-5 ore di prove).
Hai risolto in qualche modo? Qualcuno può aiutarmi. Sono tre settimane che
mi sbatto per questo problema (ho letto anche la bibbia ed il corano :) ).


 ha scritto:

allora, subito dopo aver postato anche il mio aiuto ho trovato la soluzione:
bisogna settare ad uno la funzione arp_filter delle schede di rete.
se le schede di rete sono eth0 ed eth1 bisogna fare così:
echo "1" /proc/sys/net/ipv4/conf/eth0/arp_filter
echo "1" /proc/sys/net/ipv4/conf/eth1/arp_filter
(Mettetele in uno script di avvio altrimenti ad ogni riavvio perderete
l'impostazione).
That's all!
Ci ho messo 3 settimane per trovare questa "banale" soluzione.....quanto
sono ignorantone!
