Newsgroup: it.comp.os.linux.sys
Titolo: iptables

ciao a tutti.
ho un fedora core 2 con iptables configurato
io ho aggiunto un intervallo di indirizzi a cui ho permesso l'accesso
al server.
con iptables -L vedo la configurazione corretta ma non sembra
funzionare - non riesco a pingare ...
ho fatto semplicemente un iptables -A INPUT -s 
192.168.0.0/24
 -j
ACCEPT
devo riavviare il servizio? devo modificare qualche file ?
Come faccio a rendere definitiva la configurazione anche dopo un
eventuale riavvio. Corro qualche rischio se faccio queste operazione
(che comportano solo delle 'concessioni') da remoto ?
non sono molto esperto, quindi abbiate pazienza
saluti
giovanni rastelli

 non sono molto esperto, quindi abbiate pazienza
Per questo esiste it.comp.os.linux.iniziare
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 Con Fedora ed altre RH-based basta fare un service iptables save
TNX :-)


Allora...
ecco qua la configurazione che ho ripescato
[root@nome root]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  
10.223.27.0/24
       anywhere
ACCEPT     all  --  
80.1-174-92-56.staticnet.ngi.it/29
  anywhere
ACCEPT     all  --  anywhere             anywhere            state
RELATED,ESTABLISHED
ACCEPT     all  --  
10.193.0.0/16
        anywhere
Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  
80.1-174-92-56.staticnet.ngi.it/29
  anywhere
ACCEPT     all  --  anywhere             anywhere            state
RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere            state
NEW,RELATED,ESTABLISHED
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
L'ultima riga della catena Input (si dice così?) è quella che ho
aggiunto e che mi interessa
Saluti

Sicuramente hai ragione.. e ti do ragione pure io
è una configurazione che ho ereditato da un'altra ditta e non me ne
assumo la responsabilità
fatto sta che io non riesco ad accedere dal range 
10.193.0.0/16
,
mentre da 
10.223.27.0/24
 tutto ok...
help...

che altri controlli posso fare ?

 mentre da 
10.223.27.0/24
 tutto ok...
Che sia un problema di routing? Traceroute?


UPDATE:
Eccovi una configurazione più verbose, che fornisce qualche
informazione in più
[root@nome root]# iptables -v -nL
Chain INPUT (policy DROP 6 packets, 692 bytes)
 pkts bytes target     prot opt in     out     source
destination
  144  191K ACCEPT     all  --  lo     *       
0.0.0.0/0
0.0.0.0/0
 5888  631K ACCEPT     all  --  eth0   *       
10.223.27.0/24
0.0.0.0/0
    0     0 ACCEPT     all  --  eth1   *       
81.123.123.123/29
0.0.0.0/0
   51  4098 ACCEPT     all  --  *      *       
0.0.0.0/0
0.0.0.0/0
                                     state
RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  *      *       
10.193.0.0/16
0.0.0.0/0
Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source
destination
    0     0 ACCEPT     all  --  eth1   *       
81.123.123.123/29
0.0.0.0/0
    0     0 ACCEPT     all  --  eth1   *       
0.0.0.0/0
0.0.0.0/0
                                     state
RELATED,ESTABLISHED
    0     0 ACCEPT     all  --  eth0   *       
0.0.0.0/0
0.0.0.0/0
                                     state
NEW,RELATED,ESTABLISHED
Chain OUTPUT (policy ACCEPT 2367 packets, 576K bytes)
 pkts bytes target     prot opt in     out     source
destination
  144  191K ACCEPT     all  --  *      lo      
0.0.0.0/0
0.0.0.0/0
Da quello che ho capito (prendetelo con la pinza) sembra che i
pacchetti entrino, ma non riescano ad uscire (ho trovato solo quello
entrante con tcpdump).




0.0.0.0/0
                                     state
NEW,RELATED,ESTABLISHED
Chain OUTPUT (policy ACCEPT 2367 packets, 576K bytes)





0.0.0.0/0
                                     state
NEW,RELATED,ESTABLISHED
Chain OUTPUT (policy ACCEPT 2367 packets, 576K bytes)


Le regole di iptables, sono delle catene, infatti si chiamano anche CHAINS
Se tu aggiungi in fondo alla catena una regola, ma prima ne viene eseguita
una che scarta i tuoi pacchetti, alla fine non otterrai quello che volevi.
Infatti c'è il comando per inserire una regola in una certa posizione della
catena. Se posti l'elenco delle regole, è più facile che qualcuno possa
aiutarti.
Per rendere effettive le modifiche devi riavviare iptables, e per renderle
permanenti anche dopo il riavvio, le devi salvare. Per salvarle c'è un
comando, su redhat se mi ricordo bene, mi sembra che dovevi eseguire lo
script di avvio del demone con il comando save ( invece di start, restart o
stop)
Se non lo sapete, giorasta va in giro per it.comp.os.linux.sys a spifferare
che:

-- 
Website:              
http://www.albireosrl.net
eBay Shop: 
http://stores.ebay.it/Albireo-Store

 Per rendere effettive le modifiche devi riavviare iptables
Sicuro? Io non ho bisogno di riavviare... mi è capitato tante volte di
fare qualcosa tipo
# iptables -I INPUT -i eth0 -j DROP
quando eth0 è l'interfaccia pubblica è il server è $tantoLontano
:-D
Enrico

 quando eth0 è l'interfaccia pubblica è il server è $tantoLontano
Vedi perché è utile usare shorewall con l'opzione adminabsentminded abilitata?


 abilitata?
Mah, sinceramente a me piace giocare direttamente con iptables... con i
danni che comporta :-D
Enrico

@ Stefano Busnelli
le regole le ho postate: per ben tre volte (perchè mi sono anche
sbagliato)
Se ci fosse un ordine, come le posso correggere ? Ho dei dubbi circa
questa tua affermazione, altrimenti la mia configurazione dovrebbe
funzionare e invece non è così
Nella configurazione (più completa) che ho postato, ci sono anche i
riferimenti alla scheda di rete a cui devono essere applicati. Secondo
me qualcosa c'entra. Qualche aiuto ? Non posso creare una regola: per
questo range di indirizzi ip, lascia passare tutto ?
Devo per caso modificare l'ultima riga?
ACCEPT     all  --  *      lo      
0.0.0.0/0
'lo' per cosa sta ??? devo modificare quello ?
mi consigliate qualche manuale di iptables, in modo che la prossima
volta non vi stresso?

 'lo' per cosa sta ??
Localhost. E' il nome dell'interfaccia di loopback.
Enrico

 volta non vi stresso?
http://netfilter.org/documentation/index.html


 funzionare e invece non è così
Io per prima cosa verificherei che i pacchetti arrivino dove devono
arrivare. Perchè non cambi quella regola, ed invece di ACCEPT non ci metti
LOG ? Così ti vai a vedere nel log se i pacchetti arrivano almeno, perchè
se fosse un problema di routing ed i pacchetti non arrivano nemmeno al tuo
firewall, è inutile parlarne ;)


 + con iptables, al limite le cancelli e le rifai nell'ordine giusto.
--line-numbers
              When listing rules, add line numbers to the  beginning  of  each
              rule, corresponding to that rule’s position in the chain.
-I, --insert chain [rulenum] rule-specification
              Insert one or more rules in the selected chain as the given rule
              number.   So,  if  the  rule  number is 1, the rule or rules are
              inserted at the head of the chain.  This is also the default  if
              no rule number is specified.
Enrico

 [root@nome root]# iptables -L
Sempre meglio -vnL, per far capire davvero al prossimo tuo.