форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение		[ Отслеживать ]

"Iptabler + DNS .... нерезолвяться имена"

Сообщение от Doc (ok) on 19-Май-08, 22:48

арод помогите на серваке установлен bind без включеного фарвола iptables зоны резолвяться нормально кактолько включаю iptables коннект к серваку проходит но на резолв имен пишет таймаут вот конфиг . подскажите плиз в чем ошибка? komplexb:~ # iptables -L Chain INPUT (policy DROP) target     prot opt source               destination ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED ACCEPT     tcp  --  anywhere             anywhere            tcp flags:ACK/ACK ACCEPT     tcp  --  anywhere             anywhere            tcp multiport dports ftp-data,ftp,smtp,ni-ftp,domain,http,pop3,ident,imap,https,pptp ACCEPT     tcp  --  213.221.6.0/24       anywhere            tcp multiport dports ssh,44337,ndmp,mysql ACCEPT     tcp  --  10.111.0.0/16        anywhere            tcp multiport dports ssh,44337,ndmp,mysql ACCEPT     udp  --  anywhere             anywhere            udp spt:domain dpts:1024:65535 ACCEPT     icmp --  anywhere             anywhere            icmp echo-reply ACCEPT     icmp --  anywhere             anywhere            icmp echo-request ACCEPT     icmp --  anywhere             anywhere            icmp destination-unreachable ACCEPT     icmp --  anywhere             anywhere            icmp source-quench ACCEPT     icmp --  anywhere             anywhere            icmp time-exceeded ACCEPT     icmp --  anywhere             anywhere            icmp parameter-problem ACCEPT     all  --  anywhere             anywhere ACCEPT     tcp  --  anywhere             anywhere            tcp dpts:1024:iad1 Chain FORWARD (policy ACCEPT) target     prot opt source               destination Chain OUTPUT (policy ACCEPT) target     prot opt source               destination DROP       tcp  --  anywhere            !10.111.0.0/16       tcp dpt:ftp ACCEPT     tcp  --  anywhere             komplexb.butovonet.ru tcp dpt:http ACCEPT     tcp  --  anywhere             nai-update.kerio.com tcp dpt:http DROP       tcp  --  anywhere             anywhere            tcp dpt:http DROP       tcp  --  anywhere             anywhere            tcp dpt:30375

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Iptabler + DNS .... нерезолвяться имена"

Сообщение от angra (??) on 20-Май-08, 02:50

Лучше бы конечно вывод iptables-save, так как без -v вывод iptales -L не полон, но судя по имеющемуся проблем быть не должно, а именно: 1. В цепочке INPUT предпоследнее правило делает все остальные и политику DROP несостоятельными, все равно все будет ACCEPT 2. В цеочке OUTPUT дефолтным стоит ACCEPT и под дропающие правила dns трафик не попадает. Возможно вывод iptables-save поможет найти проблему. Ну и наконец всегда есть tcpdump для тонкой диагностики.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Iptabler + DNS .... нерезолвяться имена"
	Сообщение от Doc (ok) on 20-Май-08, 11:29
	>Лучше бы конечно вывод iptables-save, так как без -v вывод iptales -L >не полон, но судя по имеющемуся проблем быть не должно, а >именно: >1. В цепочке INPUT предпоследнее правило делает все остальные и политику DROP >несостоятельными, все равно все будет ACCEPT >2. В цеочке OUTPUT дефолтным стоит ACCEPT и под дропающие правила dns >трафик не попадает. > >Возможно вывод iptables-save поможет найти проблему. Ну и наконец всегда есть tcpdump >для тонкой диагностики. вот полный вывод а то что предпоследние касаеться только интерфейса lo Chain INPUT (policy DROP 103K packets, 4305K bytes) pkts bytes target     prot opt in     out     source               destination 2979K  184M ACCEPT     all  --  any    any     anywhere             anywhere            state RELATED,ESTABLISHED 17580  996K ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp flags:ACK/ACK 39798 2032K ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp multiport dports ftp-data,ftp,smtp,ni-ftp,domain,http,pop3,ident,imap,https,pptp     7   336 ACCEPT     tcp  --  any    any     213.221.6.0/24       anywhere            tcp multiport dports ssh,44337,ndmp,mysql     5   240 ACCEPT     tcp  --  any    any     10.111.0.0/16        anywhere            tcp multiport dports ssh,44337,ndmp,mysql     0     0 ACCEPT     udp  --  any    any     anywhere             anywhere            udp spt:domain dpts:1024:65535     0     0 ACCEPT     icmp --  any    any     anywhere             anywhere            icmp echo-reply    46 10003 ACCEPT     icmp --  any    any     anywhere             anywhere            icmp echo-request     0     0 ACCEPT     icmp --  any    any     anywhere             anywhere            icmp destination-unreachable     0     0 ACCEPT     icmp --  any    any     anywhere             anywhere            icmp source-quench     1   576 ACCEPT     icmp --  any    any     anywhere             anywhere            icmp time-exceeded     0     0 ACCEPT     icmp --  any    any     anywhere             anywhere            icmp parameter-problem   160  9600 ACCEPT     all  --  lo     any     anywhere             anywhere         0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpts:1024:iad1 Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) pkts bytes target     prot opt in     out     source               destination Chain OUTPUT (policy ACCEPT 4367K packets, 5872M bytes) pkts bytes target     prot opt in     out     source               destination   429 25740 DROP       tcp  --  any    any     anywhere            !10.111.0.0/16       tcp dpt:ftp     0     0 ACCEPT     tcp  --  any    any     anywhere             komplexb.butovonet.ru tcp dpt:http     6   507 ACCEPT     tcp  --  any    any     anywhere             nai-update.kerio.com tcp dpt:http    73  4300 DROP       tcp  --  any    any     anywhere             anywhere            tcp dpt:http     2   120 DROP       tcp  --  any    any     anywhere             anywhere            tcp dpt:30375
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Iptabler + DNS .... нерезолвяться имена"

Сообщение от skgennady (ok) on 20-Май-08, 10:00

>ACCEPT     udp  --  anywhere             anywhere            udp spt:domain dpts:1024:65535 Вот это разрешает ответы ДНС серверов на запросы вашего сервера. А разрешения на входящие запросы к ДНС серверу нет.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Iptabler + DNS .... нерезолвяться имена"
	Сообщение от Doc (ok) on 20-Май-08, 11:22
	>>ACCEPT     udp  --  anywhere             anywhere            udp spt:domain dpts:1024:65535 > >Вот это разрешает ответы ДНС серверов на запросы вашего сервера. А разрешения >на входящие запросы к ДНС серверу нет. ACCEPT     tcp  --  anywhere             anywhere            tcp multiport dports ftp-data,ftp,smtp,ni-ftp,       domain      ,http,pop3,ident,imap,https,pptp а разве слово domain неразришает в этом правеле?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "Iptabler + DNS .... нерезолвяться имена"
	Сообщение от reader (ok) on 20-Май-08, 12:23
	>[оверквотинг удален] >>Вот это разрешает ответы ДНС серверов на запросы вашего сервера. А разрешения >>на входящие запросы к ДНС серверу нет. > >ACCEPT     tcp  --  anywhere   >          anywhere >           >tcp multiport dports ftp-data,ftp,smtp,ni-ftp,       domain >     ,http,pop3,ident,imap,https,pptp > >а разве слово domain неразришает в этом правеле? Протокол должен быть udp. angra правельно сказал. Правила не красивые, но с ними DNS должен работать. Покажите вывод iptables-save.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "Iptabler + DNS .... нерезолвяться имена"
	Сообщение от Doc (ok) on 20-Май-08, 13:28
	>[оверквотинг удален] >>           >>tcp multiport dports ftp-data,ftp,smtp,ni-ftp,       domain >>     ,http,pop3,ident,imap,https,pptp >> >>а разве слово domain неразришает в этом правеле? > >Протокол должен быть udp. > >angra правельно сказал. Правила не красивые, но с ними DNS должен работать. >Покажите вывод iptables-save. Добавил UDP 53 порт  и все заработало! Спасибо! komplexb:~ # iptables-save # Generated by iptables-save v1.3.5 on Tue May 20 15:29:08 2008 *filter :INPUT DROP [8:1081] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [10110:13973110] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p tcp -m tcp --tcp-flags ACK ACK -j ACCEPT -A INPUT -p tcp -m tcp -m multiport --dports 20,21,25,47,53,80,110,113,143,443,1723 -j ACCEPT -A INPUT -s 213.221.6.0/255.255.255.0 -p tcp -m tcp -m multiport --dports 22,44337,10000,3306 -j ACCEPT -A INPUT -s 10.111.0.0/255.255.0.0 -p tcp -m tcp -m multiport --dports 22,44337,10000,3306 -j ACCEPT -A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT -A INPUT -p udp -m udp --dport 53 -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 12 -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -p tcp -m tcp --dport 1024:1030 -j ACCEPT -A OUTPUT -d ! 10.111.0.0/255.255.0.0 -p tcp -m tcp --dport 21 -j DROP -A OUTPUT -d 62.117.107.40 -p tcp -m tcp --dport 80 -j ACCEPT -A OUTPUT -d 10.111.2.100 -p tcp -m tcp --dport 80 -j ACCEPT -A OUTPUT -p tcp -m tcp --dport 80 -j DROP -A OUTPUT -p tcp -m tcp --dport 30375 -j DROP COMMIT # Completed on Tue May 20 15:29:08 2008 # Generated by iptables-save v1.3.5 on Tue May 20 15:29:08 2008 *nat :PREROUTING ACCEPT [526:31806] :POSTROUTING ACCEPT [2:1582] :OUTPUT ACCEPT [2:1582] COMMIT # Completed on Tue May 20 15:29:08 2008 # Generated by iptables-save v1.3.5 on Tue May 20 15:29:08 2008 *mangle :PREROUTING ACCEPT [6486:415963] :INPUT ACCEPT [6186:398451] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [10110:13973110] :POSTROUTING ACCEPT [10110:13973110] COMMIT # Completed on Tue May 20 15:29:08 2008
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Iptabler + DNS .... нерезолвяться имена"
	Сообщение от angra (ok) on 22-Май-08, 14:25
	Вот теперь вам будет видна причина почему предпочтительней iptables-save. Обратите внимание на следущую строчку в начальном сообщении: ACCEPT     all  --  anywhere             anywhere Исходя из нее можно сделать вывод что разрешен весь INPUT. Однако на самом деле она относится к следующему правилу: -A INPUT -i lo -j ACCEPT То есть на самом деле все разрешено только для loopback. Сделать такой вывод из информации в начальном сообщении просто невозможно.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "Iptabler + DNS .... нерезолвяться имена"
	Сообщение от skgennady (ok) on 20-Май-08, 14:04
	>[оверквотинг удален] >>Вот это разрешает ответы ДНС серверов на запросы вашего сервера. А разрешения >>на входящие запросы к ДНС серверу нет. > >ACCEPT     tcp  --  anywhere   >          anywhere >           >tcp multiport dports ftp-data,ftp,smtp,ni-ftp,       domain >     ,http,pop3,ident,imap,https,pptp > >а разве слово domain неразришает в этом правеле? Запросы к вашему серверу по udp делаются, а не по tcp. Tcp в этом правиле разрешает трансфер зоны.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]