"Dennis Jørgensen" wrote:
> Bemærk: Jeg er _ikke_ iptables mester.
>> -A INPUT -p tcp -s 213.237.12.252 --dport 22 -j ACCEPT
>> -A INPUT -p tcp --dport 22 --syn -j REJECT
>
> Nu ved jeg ikke hvad du ellers har af regler, men det der ser
> umiddelbart ikke forkert ud[1]. Står reglerne præcis sådan, eller er
> noget af det sat ind som variable? I så fald, er variabelnavnene
> skrevet rigtigt?
Det er klippet direkte fra /etc/sysconfig/iptables, det er de eneste
parametre jeg har omkring port 22
> Jeg ville nok have lavet det sådan:
>
> -A INPUT -m state --state NEW -p tcp -s <ip> --dport ssh -j ACCEPT
> -A INPUT -p tcp --dport ssh -j REJECT
>
> Men forskellen til din er vist til at overse.
Det skal jeg vidst lige læse på state, aner heller ikke, hvad det gør
> Hvis du bruger de to regler skal en af dine første[2] INPUTregler være
> noget i retning af:
>
> -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
>
> Ellers er det helt sikkert at det ikke virker.
Det har jeg lige i tankerne så.
> Hvis du kun har de to regler til forskel for om du har adgang eller
> ej, må det jo være den sidste der ødelægger det, så prøv at skifte
> den ud med en log-regel:
>
> -A INPUT tcp --dport 22 --syn -j LOG --log-prefix "AURGH: "
>
> Så kan du greppe efter 'AURGH' i /var/log/messages efter du har logget
> ind, og se om du kan tyde hvad der sker.
okay, interessant, det vil jeg prøve
> Hvis det ikke virker, og der samtidig ikke er logget noget, så er det
> en anden regel der spiser din forbindelse.
Øhh, hvad mener du med spiser?
>> Burde give min IP adgang og afvise alle andre, men efterfølgende får
>> jeg overhovedet ikke adgang til svinet, hvad enten jeg har REJECT
>> reglen øverst eller nederst. Overskriver regel 2 den første regel
>> eller?
>
> Reglerne tjekkes fra første regel i kæden til sidste, og den første
> der hopper (-j) til ACCEPT, REJECT eller DROP kommer til at gælde, de
> næste regler bliver ikke set. -A sætter regler ind til sidst i kæden,
> så REJECTreglen skal nederst.
Ahh.. så burde dette vel virke?:
-A INPUT -p tcp -s 213.237.12.252 --dport 22 --syn ACCEPT
-A INPUT -p tcp --dport 22 --syn -j REJECT
Jeg tror jeg piller en udfaset server herhjemme frem og smider iptables på,
så jeg er fri for ræse til Glostrup fra Amager, hvis jeg igen skulle komme
til at låse mig ude...
Men underligt at der ikke er masser af eksempler
på dette på nettet, man skulle tro mange gerne ville have denne begrænsning?
> Jeg mener iøvrigt at det er omtrent omvendt i openbsds pf: Den sidste
> regel der matcher kommer til at gælde, med mindre man bruger
> "quick". Det virker lidt usmart på mig, men der er nok noget jeg
> overser.
Det nævnte min kollega også, men det er en RedHat9, der er tale om. Om man
skal tænke "luk alt, giv derefter specifik adgang" eller "giv specifik
adgang og afvis derefter alt" er nok en religionssnak. Når jeg konfigurerer
f.eks. Routere så bruger jeg første metode.
> [1]Der er dog ingen grund til --syn i den anden regel: Det er vel
> _alting_ til sshporten fra resten af verden du ikke vil se, ikke bare
> forsøg på at starte nye forbindelser. Du har jo tilladt den maskine du
> gerne vil snakke med.
tjaeee... jeg fik i hvert fald ingen adgang overhovedet, da jeg
fjernede --syn fra REJECT reglen:
-A INPUT -p tcp -s 213.237.12.252 --dport 22 --syn -j ACCEPT
-A INPUT -p tcp --dport 22 -j REJECT
og så fik jeg SLET ikke adgang
--
Take Care
Kim Emax - master|minds - Vi tænker IT for dig...
http://www.masterminds.dk -
http://www.emax.dk