Newsgroup: it.comp.os.linux.sys
Titolo: Problema iptables

Salve a tutti,
ho  un problema con la configurazione di una postazione Slack9.1 con
iptables...
più che altro non riesco a far abilitare il telnet nella sezione CONSOLE,
sembra che blocchi cmq l'accesso.
Qualcuno di voi può darmi una mano e dirmi cosa non và bene??
grazie!
# CLEAR RULES
/usr/sbin/iptables -F
/usr/sbin/iptables -F -t nat
/usr/sbin/iptables -P INPUT ACCEPT
/usr/sbin/iptables -P OUTPUT ACCEPT
/usr/sbin/iptables -P FORWARD ACCEPT
/usr/sbin/iptables -t nat -P POSTROUTING ACCEPT
/usr/sbin/iptables -t nat -P PREROUTING ACCEPT
/usr/sbin/iptables -t nat -P OUTPUT ACCEPT
#   NAT
/usr/sbin/iptables -t nat -A POSTROUTING -p tcp -o eth1 -j MASQUERADE
/usr/sbin/iptables -t nat -A PREROUTING -p tcp -d 192.168.10.250 --dport
80 -j DNAT --to-destination 
172.16.0.100:80
/usr/sbin/iptables -t nat -A OUTPUT -p tcp --dport 80 -j ACCEPT
#   CONSOLE
/usr/sbin/iptables -A INPUT -p tcp -s 
172.16.0.100/32
 --dport 20:23 -j
ACCEPT
/usr/sbin/iptables -A INPUT -p udp -s 
172.16.0.100/32
 --dport 20:23 -j
ACCEPT
/usr/sbin/iptables -t nat -A PREROUTING -p tcp --dport 23 -j ACCEPT
#  DROP RULES
usr/sbin/iptables -A INPUT -p tcp --dport ! 80 -j DROP
/usr/sbin/iptables -A INPUT -p udp -j DROP
/usr/sbin/iptables -A FORWARD -p tcp --dport  1:79 -j DROP
/usr/sbin/iptables -A FORWARD -p tcp --dport  81:1023 -j DROP
/usr/sbin/iptables -A FORWARD -p udp -j DROP
/usr/sbin/iptables -A OUTPUT -p tcp --dport ! 80 -j DROP
/usr/sbin/iptables -A OUTPUT -p udp -j DROP
/usr/sbin/iptables -t nat -A PREROUTING -p tcp --dport ! 80 -j DROP
/usr/sbin/iptables -t nat -A POSTROUTING -p tcp -d ! 80 -j DROP
/usr/sbin/iptables -t nat -A OUTPUT -p tcp -d ! 80 -j DROP
/usr/sbin/iptables -t nat -A PREROUTING -p udp -j DROP
/usr/sbin/iptables -t nat -A POSTROUTING -p udp -j DROP
/usr/sbin/iptables -t nat -A OUTPUT -p udp -j DROP

 
questo ultimo set di regole, mi lascia piuttosto perplesso, dato che non 
riesco a capirle.
mi puoi spegare come mai le hai inserite?
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
| (fake address in reply-to field!)
+-------

> /usr/sbin/iptables -t nat -A OUTPUT -p udp -j DROP
devono collegarsi solo alla porta 80, il resto deve essere tutto lockato.

andrea wrote:
[SNIP]
A occhiometro, visto che le chain sono in DROP, direi che manca
la regola per accettare i pacchetti relativi a connessioni stabilite,
da mettere preferibilmente in testa alla chain:
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
bye G.L.
-- 
- Renaissance, aka Gian Luca Sole -
Cit. « E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
                                         (Woody Allen)

/usr/sbin/iptables -A OUTPUT -p udp -j DROP
C'è un problema
Sei tu che blocchi l'output di telnet. In pratica la chiamata arriva ma non
torna indietro.

 A occhiometro, visto che le chain sono in DROP,
Pardon, ritiro cio' che ho detto... sono tutte in ACCEPT: IMHO Icestorm 
ha azzeccato
il problema.


 /usr/sbin/iptables -t nat -A OUTPUT -p udp -j DROP
Questo vuol dire farsi del male... :-P
nella doc di iptables è scritto a caratteri cubitali che non è il caso di
fare drop in (pre|post)routing, salvo necessità esoteriche, per una lunga
serie di motivi.
In ogni caso, prerouting è la prima chain che viene incocciata dai
pacchetti in ingresso o in forward, prima ancora delle rispettive INPUT e
FORWARD.
è facilmente desumibile che se non passano qui, alle altre non ci
arriveranno mai...
Hola..
-- 
Afterlife confessions
Tell me who you used to be
Looking on in wonder
As I show you it was me

 torna indietro.
Hai perfettamente ragione... non sò come cavolo non ci sono arrivato!
Dev'essere la tipa scosciata che era di fianco mentre "operavo" sul pc!!
8-)°°°°

 8-)°°°°
Ah beh, allora hai tutte le ragioni :-)