Newsgroup: it.comp.os.linux.sys
Titolo: Stranezze iptables

Ho problemi a raggiungere paypal da un singolo host.
 
# curl -v 
https://api-3t.paypal.com/nvp
 
* About to connect() to 
api-3t.paypal.com
 port 443 (#0)
*   Trying 173.0.84.101...
^C
 
 
 
lo stesso, identico, comando eseguito da un altro host facente parte della stessa vlan (e tra l'altro ip consecutivo, per quel che può contare) funziona perfettamente.
 
L'host problematico raggiunge la destinazione, facendo lo stesso identico giro dell'host funzionante (testato con mtr)
 
# iptables -L OUTPUT -vn | grep 
173.0.80.0/20
 
   48  2880 ACCEPT     tcp  --  *      eth0    
0.0.0.0/0
 
173.0.80.0/20
       multiport dports 80,443 
 
 
 
La regola viene 'utilizzata', il traffico si incrementa quando eseguo curl.
 
In input:
 
iptables -I INPUT -s 
173.0.80.0/20
 -j LOG --log-prefix "PAYPAL: "
 
quindi, anche nel caso ci fosse una regola sbagliata a livello di firewall, il log dovrebbe funzionare, dato che è la primissima regola della INPUT.
 
Non mi logga nulla, quindi sembra che paypal non risponda alle richieste.
Sapete se c'è qualcuno da contattare? E' come se fosse blacklistato.
Non pingo, non raggiungo nessuna porta etc etc. Tutto ciò funziona perfettamente da un IP diverso.
 
P.S: ho anche provato a mettere INPUT ed OUTPUT in ACCEPT, stesso risultato.

 Non pingo, non raggiungo nessuna porta etc etc. Tutto ciò funziona perfettamente da un IP diverso.
 
hping3 -S -p 443 --traceroute -n 173.0.84.101, così vedi se e dove ti fermi...
Potresti dover andare di CTRL+Z per incrementare il ttl, su certi hop.

 Potresti dover andare di CTRL+Z per incrementare il ttl, su certi hop.
 
Mi fermo qui: 144.232.11.178 (Sprint) sia con il server che non accede, sia con il server che accede correttamente. Entrambi si fermano nello stesso posto, ma uno si connette correttamente e l'altro no.


E se provi con tcptraceroute ?
 
# tcptraceroute 173.0.84.101 443
 

 # tcptraceroute 173.0.84.101 443
 
Si ferma sempre li.
Ma ambo i server si fermano li, solo che uno porta a termine la connessione http/https l'altro no. Non torna indietro il traffico di risposta, ho controllato anche sui border router (che non hanno firewall in forwarding), vedo il mio traffico che esce ma non torna indietro nulla.

 in forwarding), vedo il mio traffico che esce ma non torna indietro nulla.
 
Queste cose le ho viste succedere solo con line Telecom.
Rientravano nel giro di un paio di giorni ...
 
E mi hanno sempre lasciato basito.
 

 stesso posto, ma uno si connette correttamente e l'altro no.
 
Almeno sul server che si connette dovrebbe andare fino in fondo.
Dacci di CTRL+Z fino a quando non cominci a ricevere i SYNACK.
 
Fabio
 

 Dacci di CTRL+Z fino a quando non cominci a ricevere i SYNACK.
 
Ne avrò dati 100-120, mi fa male il dito, devo continuare ?

 Rientravano nel giro di un paio di giorni ...
 
Io non ho telecom, e qui i giorni cominciano ad essere 5-6.
E trattandosi di paypal, i clienti si stanno già incazzando, non
ricevono le notifiche negli ecommerce.

 Dacci di CTRL+Z fino a quando non cominci a ricevere i SYNACK.
 
Questo è dal server dove funziona:
 
hop=13 TTL 0 during transit from ip=144.232.5.115
hop=13 hoprtt=148.7 ms
hop=14 TTL 0 during transit from ip=144.232.11.227
hop=14 hoprtt=155.1 ms
hop=15 TTL 0 during transit from ip=144.232.11.178
hop=15 hoprtt=151.1 ms
17: 
22: len=46 ip=173.0.84.101 ttl=231 DF id=43929 sport=443 flags=SA seq=37 win=1608 rtt=199.5 ms
len=46 ip=173.0.84.101 ttl=231 DF id=63050 sport=443 flags=SA seq=38 win=1608 rtt=201.3 ms
len=46 ip=173.0.84.101 ttl=232 DF id=14606 sport=443 flags=SA seq=39 win=1608 rtt=198.7 ms
len=46 ip=173.0.84.101 ttl=231 DF id=3396 sport=443 flags=SA seq=40 win=1608 rtt=200.0 ms
len=46 ip=173.0.84.101 ttl=232 DF id=58373 sport=443 flags=SA seq=41 win=1608 rtt=197.4 ms
len=46 ip=173.0.84.101 ttl=231 DF id=26332 sport=443 flags=SA seq=42 win=1608 rtt=200.4 ms
len=46 ip=173.0.84.101 ttl=231 DF id=49318 sport=443 flags=SA seq=43 win=1608 rtt=204.5 ms
len=46 ip=173.0.84.101 ttl=231 DF id=50576 sport=443 flags=SA seq=44 win=1608 rtt=202.0 ms
len=46 ip=173.0.84.101 ttl=231 DF id=29561 sport=443 flags=SA seq=45 win=1608 rtt=199.3 ms
len=46 ip=173.0.84.101 ttl=232 DF id=63508 sport=443 flags=SA seq=46 win=1608 rtt=200.7 ms
len=46 ip=173.0.84.101 ttl=231 DF id=11755 sport=443 flags=SA seq=47 win=1608 rtt=200.2 ms
len=46 ip=173.0.84.101 ttl=231 DF id=23282 sport=443 flags=SA seq=48 win=1608 rtt=199.3 ms
len=46 ip=173.0.84.101 ttl=232 DF id=8581 sport=443 flags=SA seq=49 win=1608 rtt=197.7 ms
len=46 ip=173.0.84.101 ttl=232 DF id=57557 sport=443 flags=SA seq=50 win=1608 rtt=197.8 ms
len=46 ip=173.0.84.101 ttl=231 DF id=11091 sport=443 flags=SA seq=51 win=1608 rtt=199.7 ms
len=46 ip=173.0.84.101 ttl=232 DF id=37009 sport=443 flags=SA seq=52 win=1608 rtt=197.9 ms
len=46 ip=173.0.84.101 ttl=231 DF id=60628 sport=443 flags=SA seq=53 win=1608 rtt=199.3 ms
len=46 ip=173.0.84.101 ttl=231 DF id=19660 sport=443 flags=SA seq=54 win=1608 rtt=199.7 ms
len=46 ip=173.0.84.101 ttl=231 DF id=7165 sport=443 flags=SA seq=55 win=1608 rtt=199.1 ms
len=46 ip=173.0.84.101 ttl=231 DF id=16303 sport=443 flags=SA seq=56 win=1608 rtt=199.5 ms
len=46 ip=173.0.84.101 ttl=231 DF id=33509 sport=443 flags=SA seq=57 win=1608 rtt=198.9 ms
len=46 ip=173.0.84.101 ttl=232 DF id=19983 sport=443 flags=SA seq=58 win=1608 rtt=198.4 ms
len=46 ip=173.0.84.101 ttl=231 DF id=2545 sport=443 flags=SA seq=59 win=1608 rtt=199.9 ms
len=46 ip=173.0.84.101 ttl=232 DF id=12965 sport=443 flags=SA seq=60 win=1608 rtt=198.8 ms

 22: len=46 ip=173.0.84.101 ttl=231 DF id=43929 sport=443 flags=SA seq=37 win=1608 rtt=199.5 ms
 
Mi sembra di capire che sull'altro server non arrivi al SYNACK. Questo,
quanto meno, esclude problemi legati a eventuali diverse configurazioni 
dello stack tcp/ip tra i due server (le richieste hping sono uguali sui
due server).
 
Una soluzione che potresti adottare potrebbe essere quella di proxare o
rimbalzare il traffico diretto verso paypal originato da quel server su
un altro tuo server che riesca a raggiungere i loro host.
 
Ciao, auguri
 
 
Fabio

 un altro tuo server che riesca a raggiungere i loro host.
 
'vacca boia!
Vedo e spero di farlo con iptables.

 Ne avrò dati 100-120, mi fa male il dito, devo continuare ?
 
Allora sembrerebbe che ti filtrino quell'ip in particolare.

 Vedo e spero di farlo con iptables.
 
A, server che non va, B, server che va
 
ip route add 173.0.84.101 via ip_server_B
 
Su server B
 
iptables -A FORWARD -s ip_server_A -d 173.0.84.101  -j ACCEPT
iptables -t nat -A POSTROUTING -s ip_server_A -d 173.0.84.101 -j SNAT --to ip_server_B
 
per esempio...
 
(ho usato -A ma tu inserisci le regole in posizione opportuna con -I)

 iptables -t nat -A POSTROUTING -s ip_server_A -d 173.0.84.101 -j SNAT --to ip_server_B
 
Si, è ciò che sto usando da oggi pomeriggio, ma questo è esattamente ciò che si definisce una porcata di prima categoria.
E' vero che risolve il problema, ma resta comunque una porcata dover raggiungere paypal transitando da un altro mio server.
 
C'è qualche scimmia che posso contattare per chiedere chiarimenti?
 
P.S: dici che se aggiungo un altro IP a serverA ed applico le stesse identiche regole ma sempre su serverA, funziona? E' una cosa che non ho mai fatto, sinceramente.

 P.S: dici che se aggiungo un altro IP a serverA ed applico le stesse identiche regole ma sempre su serverA, funziona? E' una cosa che non ho mai fatto, sinceramente.
 
Ma certo, non hai bisogno neanche di iptables, se il problema è effettivamente il ban sull'ip.
ip route add 173.0.84.101 via tuo_default_gw src ip_server_A_secondario
e via.

 e via.
 
Ecco, questa soluzione è migliore, almeno non devo smanettare su due server.
In serata provo.