The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"проблема с правилами и ssh"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Информационная безопасность (Public)
Изначальное сообщение [ Отслеживать ]

"проблема с правилами и ssh"  
Сообщение от piroman17 email(ok) on 09-Июл-08, 20:31 
Всем привет!
использую следующие правила:
iptables -P INPUT DROP
iptables -I INPUT -p tcp 22 -j ACCEPT
iptables -I INPUT -p tcp -j DROP
iptables -I INPUT -p upd -j DROP
iptables -I INPUT -p ICMP -j ACCEPT

проблема в том что nmap говорит что 22 порт открыт, а при ssh'иться я к нему немогу.
помогите новичку!

Высказать мнение | Ответить | Правка | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "проблема с правилами и ssh"  
Сообщение от angra (ok) on 10-Июл-08, 04:45 
А что с правилами на OUTPUT. Вообще лучше показывайте вывод iptables-save, мало ли в каком порядке правила и что еще у вас там есть. Также стоит проверить что sshd действительно слушает 22 порт, покажите вывод netstat -apn| grep -i listen| grep :22

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "проблема с правилами и ssh"  
Сообщение от piroman17 (ok) on 10-Июл-08, 08:50 
OUTPUT пока чист, политика ACCEPT, я только INPUT ещё делал. Это все правила что есть в файерволе, и порядок точно тот, ssh слушает иименно 22 порт.
Если сделать "iptables -D INPUT -p tcp -j DROP" ssh опять начинает работать.
P.S. кстати а он правила что но с начала списка читает?

>А что с правилами на OUTPUT. Вообще лучше показывайте вывод iptables-save, мало
>ли в каком порядке правила и что еще у вас там
>есть. Также стоит проверить что sshd действительно слушает 22 порт, покажите
>вывод netstat -apn| grep -i listen| grep :22

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "проблема с правилами и ssh"  
Сообщение от piroman17 (ok) on 10-Июл-08, 08:51 
вывод netstat -apn| grep -i listen| grep :22 отпишу попозже, когда буду у близко к той машине.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "проблема с правилами и ssh"  
Сообщение от онанимус on 10-Июл-08, 10:24 
iptables -I INPUT -p tcp 22 -j ACCEPT
разве критерий --dport не надо явно указывать?
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "проблема с правилами и ssh"  
Сообщение от piroman17 email(ok) on 10-Июл-08, 13:23 
>iptables -I INPUT -p tcp 22 -j ACCEPT
>разве критерий --dport не надо явно указывать?

я в сообщении описался, там есть --dport 22

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "проблема с правилами и ssh"  
Сообщение от piroman17 email(ok) on 10-Июл-08, 14:10 
пороверил - тоже самое и с 80-м портом
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "Зачем *так* сложно-то?..."  
Сообщение от Andrey Mitrofanov on 10-Июл-08, 15:57 
>[оверквотинг удален]
>использую следующие правила:
>iptables -P INPUT DROP
>iptables -I INPUT -p tcp 22 -j ACCEPT
>iptables -I INPUT -p tcp -j DROP
>iptables -I INPUT -p upd -j DROP
>iptables -I INPUT -p ICMP -j ACCEPT
>
>проблема в том что nmap говорит что 22 порт открыт, а при
>ssh'иться я к нему немогу.
>помогите новичку!

Требуйте книгу "Как я перестал беспокоиться о правилах iptables и стал настраивать файерволы" в союзпечатях города!

_Три_ строки конфигурации -- и готовый файервол:

Script started on Чтв 10 Июл 2008 15:47:46
# cat ./firehol-ssh-example
version 5

interface any myserver
    server "ssh ping" accept
# firehol ./firehol-ssh-example debug | ./explain-sorter
-N out_myserver_ping_s2
-A out_myserver_ping_s2 -p icmp -m state --state ESTABLISHED --icmp-type echo-reply -j ACCEPT
-N in_myserver_ping_s2
-A in_myserver_ping_s2 -p icmp -m state --state NEW\,ESTABLISHED --icmp-type echo-request -j ACCEPT
-N out_myserver_ssh_s1
-A out_myserver_ssh_s1 -p tcp --sport 22 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT
-N in_myserver_ssh_s1
-A in_myserver_ssh_s1 -p tcp --sport 1024:65535 --dport 22 -m state --state NEW\,ESTABLISHED -j ACCEPT
-N out_myserver
-A out_myserver -j out_myserver_ssh_s1
-A out_myserver -j out_myserver_ping_s2
-A out_myserver -m state --state RELATED -j ACCEPT
-A out_myserver -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'OUT-myserver\':\'
-A out_myserver -j DROP
-N in_myserver
-A in_myserver -j in_myserver_ssh_s1
-A in_myserver -j in_myserver_ping_s2
-A in_myserver -m state --state RELATED -j ACCEPT
-A in_myserver -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'\'IN-myserver\':\'
-A in_myserver -j DROP
-A FORWARD -m state --state RELATED -j ACCEPT
-A FORWARD -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'PASS-unknown:\'
-A FORWARD -j DROP
-A OUTPUT -j out_myserver
-A OUTPUT -m state --state RELATED -j ACCEPT
-A OUTPUT -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'OUT-unknown:\'
-A OUTPUT -j DROP
-A INPUT -j in_myserver
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -m limit --limit 1/second --limit-burst 5 -j LOG --log-level warning --log-prefix=\'IN-unknown:\'
-A INPUT -j DROP
-P INPUT "${FIREHOL_INPUT_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-5471-642-25046/firehol-out.sh.log 2>&1
-P OUTPUT "${FIREHOL_OUTPUT_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-5471-642-25046/firehol-out.sh.log 2>&1
-P FORWARD "${FIREHOL_FORWARD_ACTIVATION_POLICY}" >/tmp/.firehol-tmp-5471-642-25046/firehol-out.sh.log 2>&1
# exit

Script done on Чтв 10 Июл 2008 15:48:18

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2021 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру