Исходное сообщение
"помогите открыть SSH при DROP политиках" Отправлено Гусище, 15-Ноя-10 20:49
Исходящие пакеты с локального приложения, поступают на другое локальное приложение, через внутренний логический интерфейс loopback. Хорошо бы обеспечить ему беспрепятственную работу: Это полностью открывает loopback-интерфейс для общения приложений на локалхосте через "сеть", для всех протоколов и портов: > iptables -A INTUT -i lo -j ACCEPT > iptables -A OUTPUT -o lo -j ACCEPT Это для того, чтобы к вам на веб-сервер пакеты проходили из вне: > iptables -A INPUT -p tcp --dport 80 -j ACCEPT разрешаем так же ответы на http-запросы: > iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT __________________________________________________________________________________ С FTP там какие-то заморочки с портами будут. Не помню... :-) тут вот пишут: http://slacksite.com/other/ftp.html Нужно будет задействовать механизм отслеживания состояний соединений (conntrack), чтобы с FTP работать, вроде бы... типа вот такого решения: Пускаем входящие пакеты только на 20 и 21 порт для установки соединения: >iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT пропускаем все остальные пакеты в рамках уже установленных соединений на любой порт: >iptables -A INPUT -p tcp -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT и выпускаем тоже: >iptables -A OUTPUT -p tcp -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT (И кстати если вся эта конструкция будет работать, то правило iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT окажется не нужным вовсе, т.к. это тоже по логике пакеты в рамках уже установленных соединений, конечно если вы не собираетесь с вашего сервера на http чужие заходить, никому не раздаёте тырнеты и пр... )) вообще я не разбираюсь, так что могу и нагнать. :-)))))

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Исходящие пакеты с локального приложения, поступают на другое локальное приложение, через > внутренний логический интерфейс loopback. Хорошо бы обеспечить ему беспрепятственную > работу: > Это полностью открывает loopback-интерфейс для общения приложений на локалхосте через > "сеть", для всех протоколов и портов: >> iptables -A INTUT -i lo -j ACCEPT >> iptables -A OUTPUT -o lo -j ACCEPT > Это для того, чтобы к вам на веб-сервер пакеты проходили из вне: >> iptables -A INPUT -p tcp --dport 80 -j ACCEPT > разрешаем так же ответы на http-запросы: >> iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT > __________________________________________________________________________________ > С FTP там какие-то заморочки с портами будут. Не помню... :-) > тут вот пишут: > http://slacksite.com/other/ftp.html > Нужно будет задействовать механизм отслеживания состояний соединений (conntrack), чтобы > с FTP работать, вроде бы... > типа вот такого решения: > Пускаем входящие пакеты только на 20 и 21 порт для установки соединения: >>iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT > пропускаем все остальные пакеты в рамках уже установленных соединений на любой порт: >>iptables -A INPUT -p tcp -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT > и выпускаем тоже: >>iptables -A OUTPUT -p tcp -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT > (И кстати если вся эта конструкция будет работать, то правило iptables -A > OUTPUT -p tcp --sport 80 -j ACCEPT окажется не нужным вовсе, > т.к. это тоже по логике пакеты в рамках уже установленных соединений, > конечно если вы не собираетесь с вашего сервера на http чужие > заходить, никому не раздаёте тырнеты и пр... )) > вообще я не разбираюсь, так что могу и нагнать. :-)))))
	Введите код, изображенный на картинке: