Всем привет!
использую следующие правила:
iptables -P INPUT DROP
iptables -I INPUT -p tcp 22 -j ACCEPT
iptables -I INPUT -p tcp -j DROP
iptables -I INPUT -p upd -j DROP
iptables -I INPUT -p ICMP -j ACCEPT

проблема в том что nmap говорит что 22 порт открыт, а при ssh'иться я к нему немогу.
помогите новичку!

• проблема с правилами и ssh,angra, 04:45 , 10-Июл-08
  • проблема с правилами и ssh,piroman17, 08:50 , 10-Июл-08
  • проблема с правилами и ssh,piroman17, 08:51 , 10-Июл-08
• проблема с правилами и ssh,онанимус, 10:24 , 10-Июл-08
  • проблема с правилами и ssh,piroman17, 13:23 , 10-Июл-08
• проблема с правилами и ssh,piroman17, 14:10 , 10-Июл-08
• Зачем *так* сложно-то?...,Andrey Mitrofanov, 15:57 , 10-Июл-08

А что с правилами на OUTPUT. Вообще лучше показывайте вывод iptables-save, мало ли в каком порядке правила и что еще у вас там есть. Также стоит проверить что sshd действительно слушает 22 порт, покажите вывод netstat -apn| grep -i listen| grep :22

OUTPUT пока чист, политика ACCEPT, я только INPUT ещё делал. Это все правила что есть в файерволе, и порядок точно тот, ssh слушает иименно 22 порт.
Если сделать "iptables -D INPUT -p tcp -j DROP" ssh опять начинает работать.
P.S. кстати а он правила что но с начала списка читает?

>А что с правилами на OUTPUT. Вообще лучше показывайте вывод iptables-save, мало
>ли в каком порядке правила и что еще у вас там
>есть. Также стоит проверить что sshd действительно слушает 22 порт, покажите
>вывод netstat -apn| grep -i listen| grep :22

вывод netstat -apn| grep -i listen| grep :22 отпишу попозже, когда буду у близко к той машине.

iptables -I INPUT -p tcp 22 -j ACCEPT
разве критерий --dport не надо явно указывать?

>iptables -I INPUT -p tcp 22 -j ACCEPT
>разве критерий --dport не надо явно указывать?

я в сообщении описался, там есть --dport 22

пороверил - тоже самое и с 80-м портом

>[оверквотинг удален]
>использую следующие правила:
>iptables -P INPUT DROP
>iptables -I INPUT -p tcp 22 -j ACCEPT
>iptables -I INPUT -p tcp -j DROP
>iptables -I INPUT -p upd -j DROP
>iptables -I INPUT -p ICMP -j ACCEPT
>
>проблема в том что nmap говорит что 22 порт открыт, а при
>ssh'иться я к нему немогу.
>помогите новичку!

Требуйте книгу "Как я перестал беспокоиться о правилах iptables и стал настраивать файерволы" в союзпечатях города!

_Три_ строки конфигурации -- и готовый файервол:

Script started on Чтв 10 Июл 2008 15:47:46
# cat ./firehol-ssh-example
version 5

interface any myserver
    server "ssh ping" accept
# firehol ./firehol-ssh-example debug | ./explain-sorter
-N out_myserver_ping_s2
-A out_myserver_ping_s2 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT
-N in_myserver_ping_s2
-A in_myserver_ping_s2 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT
-N out_myserver_ssh_s1
-A out_myserver_ssh_s1 -p tcp --sport 22 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT
-N in_myserver_ssh_s1
-A in_myserver_ssh_s1 -p tcp --sport 1024:65535 --dport 22 -m state --state NEW\,ESTABLISHED -j ACCEPT
-N out_myserver
-A out_myserver -j out_myserver_ssh_s1
-A out_myserver -j out_myserver_ping_s2
-A out_myserver -m state --state RELATED -j ACCEPT
-A out_myserver -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'OUT-myserver\':\'
-A out_myserver -j DROP
-N in_myserver
-A in_myserver -j in_myserver_ssh_s1
-A in_myserver -j in_myserver_ping_s2
-A in_myserver -m state --state RELATED -j ACCEPT
-A in_myserver -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'IN-myserver\':\'
-A in_myserver -j DROP
-A FORWARD -m state --state RELATED -j ACCEPT
-A FORWARD -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'PASS-unknown:\'
-A FORWARD -j DROP
-A OUTPUT -j out_myserver
-A OUTPUT -m state --state RELATED -j ACCEPT
-A OUTPUT -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'OUT-unknown:\'
-A OUTPUT -j DROP
-A INPUT -j in_myserver
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'IN-unknown:\'
-A INPUT -j DROP
-P INPUT "${FIREHOL_INPUT_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-5471-642-25046/firehol-out.sh.log 2>&1
-P OUTPUT "${FIREHOL_OUTPUT_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-5471-642-25046/firehol-out.sh.log 2>&1
-P FORWARD "${FIREHOL_FORWARD_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-5471-642-25046/firehol-out.sh.log 2>&1
# exit

Script done on Чтв 10 Июл 2008 15:48:18