ssh loginprompt verschijnt pas na lange tijd

[glrfndl]

Hoi, ik heb een firewallscript gebouwd die volgens mij het systeem wel goed dicht gooit, maar het probleem is nu dat het lang duurt voordat het loginscherm tevoorschijn komt als ik een ssh verbinding maak naar die bak. Iemand enig idee waar dat door komt? Ik gebruik iptables op een linux 2.4.2 kernel. Ik wil het firewall script evt. wel posten, maar het is een vrij lange tekst.

[Verwijderd]

Ligt waarschijnlijk niet aanje firewall script, aangezien hij na verloop van tijd wel te voorschijn komt.

Is het zo dat je wel in kan loggen en dat het dan pas een hele tijd durt voordat de prompt tevoorschijn komt?

Zo ja, dan het je een DNS-probleem. Zodra je inlogt wordt er een reverse DNS lookup gedaan. JE kan dit oplossen door te zorgen dat je een goede interne DNS0-server hebt draaien of gewoon veel simpeler alle interne hosts toevoegen aan het bestandeje /etc/hosts.
Zet daar dus de hostnamen met bijbehorende IP-nummers in. Probleem is dan in 1 keer opgelost

[glrfndl]

Hmm, misschien had ik ff wat duidelijker moeten zijn, maar voordat ik die firewall rules had ingesteld ging het inloggen wel snel. Dus ik denk toch dat het daar wat mee te maken heeft. Het is dus zo dat het lang duurt voordat het loginscherm komt, maar daarna gaat het wel snel allemaal.

[Verwijderd]

Blokkeer je niet toevallig je eigen nameserver (poort 53 TCP/UDP) voor je clients?

[glrfndl]

hmm, wat bedoel je daarmee? Ik heb inbound traffic beperkt tot ftp, ssh en http en outbound geen restricties, moet ik hier nog wat aan veranderen ofzo?

[Xu]

Post je firewallscriptje maar....

[Verwijderd]

Op woensdag 07 maart 2001 17:53 schreef fkooman het volgende:
Blokkeer je niet toevallig je eigen nameserver (poort 53 TCP/UDP) voor je clients?

Dat gok ik dus ook. Ik heb nog steeds geen antwoord gehad op mijn vraag! Duurt het pas lang nadat je je wachtwoord hebt ingevoerd of er voor?

Ik gok dat het eerste het geval is en dan ligt het dus gewoon aan het feit dat er geen rerverse lookup gedaan kan worden. Dit kan inderdaad komen door het feit dat je per ongelijk de DNS-poort hebt geblokkeerd met je firewall. Oplossingen zijn dan die poort weer openen in de firewall voor betreffende clients of gewoon de clients aan /etc/hosts toevoegen.

[glrfndl]

ok, hier komt ie

code:

#!/bin/sh

# Main configuration, modify to suit your setup
IPTABLES="/usr/local/sbin/iptables"             # set to your iptables location, must be set
TCP_ALLOW="21 22 80 443"                        # TCP ports to allow
UDP_ALLOW=""                                    # UDP ports to allow
INET_IFACE="eth0"                               # the interface your internet's on (one only), must be set
USE_SSH1="TRUE"                                 # set to TRUE if you use "real" SSH1 (anything else is interpreted as FALSE)
USE_OPENSSH="FALSE"                             # set to TRUE if you use OpenSSH (anything else is interpreted as FALSE)

DROP="REJECT"                                  # What to do with packets we don't want: DROP, REJECT, TREJECT (Reject with tcp-reset for TCP),
 LDROP (log and drop), LREJECT (log and reject), TLREJECT (log and reject with tcp-reset)
DENY_ALL=""                                     # Internet hosts to explicitly deny from accessing your system at all
DENY_HOSTWISE_TCP=""                            # Specific hosts to deny access to specific TCP ports; format is "IP>PORT"
DENY_HOSTWISE_UDP=""                            # Specific hosts to deny access to specific UDP ports; format is "IP>PORT"
ALLOW_HOSTWISE_TCP=""
                                                # Specific hosts allowed access to specific TCP ports; format is "IP>PORT"
ALLOW_HOSTWISE_UDP=""                           # Specific hosts allowed access to specific UDP ports; format is "IP>PORT"
ALLOW_OUT_TCP=""                                # Internal hosts allowed to be forwarded out on TCP (internet censorship!) (do not put this/th
ese host/s in INTERNAL_LAN, but do define their method of access [snat, masq] if not a public ip)
TCP_FW=""                                       # TCP port forwards (will pick reverse masquerading if you use masquerading or snat), form is
"SPORT:DPORT>IP"
UDP_FW=""                                       # UDP port forwards (will pick reverse masquerading if you use masquerading or snat), form is
"SPORT:DPORT>IP"
MANGLE_TOS_OPTIMIZE="TRUE"                      # TOS Optimizations on or off (TRUE/FALSE toggle)


# Only modify these if you have a genuine need, the defaults should be fine for a personal firewall
LOG_FLOOD="2/s"                                 # Limit on logging (for LREJECT and LDROP, the packet will always take the policy regardless o
f logging)
SYN_FLOOD="4/s"                                 # GLOBAL limit on SYN packets (will probably need increased for a server since this matches AL
L SYN packets)
PING_FLOOD="1/s"                                # Limit on icmp-echo requests to reply to

FILTER_CHAINS="INETIN INETOUT TCPACCEPT UDPACCEPT LDROP LREJECT TREJECT LTREJECT"

# Let's load it!
echo "Loading iptables firewall:"

# Configuration Sanity Checks
echo -n "Checking configuration..."
if ! [ -x $IPTABLES ] ; then
        echo
        echo "ERROR IN CONFIGURATION: IPTABLES doesn't exist or isn't executable!"
        exit 1
fi
echo "passed"

# Turn on IP forwarding
echo -n "Checking IP Forwarding..."
if [ -e /proc/sys/net/ipv4/ip_forward ] ; then
        echo 1 > /proc/sys/net/ipv4/ip_forward
        echo "enabled."
else
        echo "support not found! This will probably cause problems!"
fi

# Enable TCP Syncookies
echo -n "Checking IP SynCookies..."
if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
        echo 1 > /proc/sys/net/ipv4/tcp_syncookies
        echo "enabled."
else
        echo "support not found, but that's OK."
fi

# Flush everything
# If you need compatability, you can comment some or all of these out,
# but remember, if you re-run it, it'll just add the new rules in, it
# won't remove the old ones for you then, this is how it removes them.
echo -n "Flush: "
${IPTABLES} -t filter -F INPUT
echo -n "INPUT "
${IPTABLES} -t filter -F OUTPUT
echo -n "OUTPUT1 "
${IPTABLES} -t filter -F FORWARD
echo -n "FORWARD "
${IPTABLES} -t mangle -F PREROUTING
echo -n "PREROUTING2 "
${IPTABLES} -t mangle -F OUTPUT
echo -n "OUTPUT3"
echo

# Create new chains
# Output to /dev/null in case they don't exist from a previous invocation
echo -n "Creating chains: "
for chain in ${FILTER_CHAINS} ; do
        ${IPTABLES} -t filter -F ${chain} > /dev/null 2>&1
        ${IPTABLES} -t filter -X ${chain} > /dev/null 2>&1
        ${IPTABLES} -t filter -N ${chain}
        echo -n "${chain} "
done
echo

# Default Policies
# INPUT is still ACCEPT, the INETIN chain (defined above and jumped to later)
# is given a policy of DROP at the end
# Policy can't be reject becuase of kernel limitations
echo -n "Default Policies: "
${IPTABLES} -t filter -P INPUT ACCEPT
echo -n "INPUT:ACCEPT "
${IPTABLES} -t filter -P OUTPUT ACCEPT
echo -n "OUTPUT:ACCEPT "
${IPTABLES} -t filter -P FORWARD DROP
echo -n "FORWARD:DROP "
echo


# ===============================================
# -------Chain setup before jumping to them------
# ===============================================


# Set up INET chains
echo -n "Setting up INET chains: "
${IPTABLES} -t filter -A INPUT -i ${INET_IFACE} -j INETIN
echo -n "INETIN "
${IPTABLES} -t filter -A OUTPUT -o ${INET_IFACE} -j INETOUT
echo -n "INETOUT "
echo
#These logging chains are valid to specify in DROP= above
#Set up LDROP
echo -n "Setting up drop chains chains: "
${IPTABLES} -t filter -A LDROP -p tcp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "TCP Dropped "
${IPTABLES} -t filter -A LDROP -p udp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "UDP Dropped "
${IPTABLES} -t filter -A LDROP -p icmp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "ICMP Dropped "
${IPTABLES} -t filter -A LDROP -f -m limit --limit ${LOG_FLOOD} -j LOG --log-level warning --log-prefix "FRAGMENT Dropped "
${IPTABLES} -t filter -A LDROP -j DROP
echo -n "LDROP "

#And LREJECT too
${IPTABLES} -t filter -A LREJECT -p tcp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "TCP Rejected "
${IPTABLES} -t filter -A LREJECT -p udp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "UDP Rejected "
${IPTABLES} -t filter -A LREJECT -p icmp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "ICMP Dropped "
${IPTABLES} -t filter -A LREJECT -f -m limit --limit ${LOG_FLOOD} -j LOG --log-level warning --log-prefix "FRAGMENT Rejected "
${IPTABLES} -t filter -A LREJECT -j REJECT
echo -n "LREJECT "

#Don't forget TREJECT
${IPTABLES} -t filter -A TREJECT -p tcp -j REJECT --reject-with tcp-reset
${IPTABLES} -t filter -A TREJECT -p ! tcp -j REJECT --reject-with icmp-port-unreachable
${IPTABLES} -t filter -A TREJECT -j REJECT
echo -n "TREJECT "

#And LTREJECT
${IPTABLES} -t filter -A LTREJECT -p tcp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "TCP Rejected "
${IPTABLES} -t filter -A LTREJECT -p udp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "UDP Rejected "
${IPTABLES} -t filter -A LTREJECT -p icmp -m limit --limit ${LOG_FLOOD} -j LOG --log-level info --log-prefix "ICMP Dropped "
${IPTABLES} -t filter -A LTREJECT -f -m limit --limit ${LOG_FLOOD} -j LOG --log-level warning --log-prefix "FRAGMENT Rejected "
${IPTABLES} -t filter -A LTREJECT -p tcp -j REJECT --reject-with tcp-reset
${IPTABLES} -t filter -A LTREJECT -p ! tcp -j REJECT --reject-with icmp-port-unreachable
${IPTABLES} -t filter -A LTREJECT -j REJECT
echo -n "LTREJECT "

#newline
echo


# Set up the per-proto ACCEPT chains
echo -n "Setting up per-proto ACCEPT: "

# TCPACCEPT
# SYN Flood Protection
${IPTABLES} -t filter -A TCPACCEPT -p tcp --syn -m limit --limit ${SYN_FLOOD} -j ACCEPT
${IPTABLES} -t filter -A TCPACCEPT -p tcp ! --syn -j ACCEPT
# Log anything that hasn't matched yet and ${DROP} it since we don't know what it is
${IPTABLES} -t filter -A TCPACCEPT -m limit --limit ${LOG_FLOOD} -j LOG --log-prefix "Mismatch in TCPACCEPT "
${IPTABLES} -t filter -A TCPACCEPT -j ${DROP}
echo -n "TCPACCEPT "

#UDPACCEPT
${IPTABLES} -t filter -A UDPACCEPT -p udp -j ACCEPT
# Log anything not UDP (it shouldn't be here), and ${DROP} it since it's not supposed to be here
${IPTABLES} -t filter -A UDPACCEPT -m limit --limit ${LOG_FLOOD} -j LOG --log-prefix "Mismatch on UDPACCEPT "
${IPTABLES} -t filter -A UDPACCEPT -j ${DROP}
echo -n "UDPACCEPT "

#Done
echo

# -------------------------------------------------
# =================================================
#Explicit denies
if [ "$DENY_ALL" != "" ] ; then
        echo -n "Denying hosts: "
        for host in ${DENY_ALL} ; do
                ${IPTABLES} -t filter -A INETIN -s ${host} -j ${DROP}
                echo -n "${host}:${DROP}"
        done
        echo
fi

if [ "$DENY_HOSTWISE_TCP" != "" ] ; then
        echo -n "Hostwise TCP Denies: "
        for rule in ${DENY_HOSTWISE_TCP} ; do
                echo "$rule" | {
                        IFS='>' read host port
                        ${IPTABLES} -t filter -A INETIN -p tcp -s ${host} --dport ${port} -j ${DROP}
                        echo -n "${rule} "
                }
        done
        echo
fi

if [ "$DENY_HOSTWISE_UDP" != "" ] ; then
        echo -n "Hostwise UDP Denies: "
        for rule in ${DENY_HOSTWISE_UDP} ; do
                echo "$rule" | {
                        IFS='>' read host port
                        ${IPTABLES} -t filter -A INETIN -p udp -s ${host} --dport ${port} -j ${DROP}
                        echo -n "${rule} "
                }
        done
        echo
fi

#Invalid packets are always annoying
#echo -n "${DROP}ing invalid packets..."
#${IPTABLES} -t filter -A INETIN -m state --state INVALID -j ${DROP}
#echo "done"



# ================================================================
# ------------Allow stuff we have chosen to allow in--------------
# ================================================================

#Start allowing stuff

# Flood "security"
# You'll still respond to these if they comply with the limits
# Default limits are 1/sec for ICMP pings
# SYN Flood is on a per-port basis because it's a security hole to put it here!
# This is just a packet limit, you still get the packets on the interface and
#    still may experience lag if the flood is heavy enough
echo -n "Flood limiting: "
# Ping Floods (ICMP echo-request)
${IPTABLES} -t filter -A INETIN -p icmp --icmp-type echo-request -m limit --limit ${PING_FLOOD} -j ACCEPT
echo -n "ICMP-PING "
echo
echo -n "Allowing the rest of the ICMP messages in..."
${IPTABLES} -t filter -A INETIN -p icmp --icmp-type ! echo-request -j ACCEPT
echo "done"

if [ "$TCP_ALLOW" != "" ] ; then
        echo -n "TCP Input Allow: "
        for port in ${TCP_ALLOW} ; do
                if [ "0$port" = "021" ]; then #Active FTP (thanks steff)
                   ${IPTABLES} -t filter -A INETIN -p tcp --sport 20 --dport 1024:65535 ! --syn -j TCPACCEPT
                fi
                ${IPTABLES} -t filter -A INETIN -p tcp --dport ${port} -j TCPACCEPT
                echo -n "${port} "
        done
        echo
fi

if [ "$UDP_ALLOW" != "" ] ; then
        echo -n "UDP Input Allow: "
        for port in ${UDP_ALLOW} ; do
                ${IPTABLES} -t filter -A INETIN -p udp --dport ${port} -j UDPACCEPT
                echo -n "${port} "
        done
        echo
fi

#SSH Rulesets
if [ $USE_SSH1 = TRUE ] || [ $USE_OPENSSH = TRUE ]; then
         echo -n "Accounting for SSH..."
        if [ $USE_SSH1 = TRUE ]; then #SSH1
                ${IPTABLES} -t filter -A INETIN -p tcp --sport 22 --dport 513:1023 ! --syn -j TCPACCEPT
                echo -n "SSH1 "
        fi
        if [ $USE_OPENSSH = TRUE ] ; then #OpenSSH
                ${IPTABLES} -t filter -A INETIN -p tcp --sport 22 --dport 1024:65535 ! --syn -m state --state RELATED -j TCPACCEPT
                echo -n "OpenSSH "
        fi
        echo
fi

#Hostwise allows
if [ "$ALLOW_HOSTWISE_TCP" != "" ] ; then
        echo -n "Hostwise TCP Allows: "
        for rule in ${ALLOW_HOSTWISE_TCP} ; do
                echo "$rule" | {
                        IFS='>' read  host port
                        ${IPTABLES} -t filter -A INETIN -p tcp -s ${host} --dport ${port} -j ACCEPT
                        echo -n "${rule} "
                }
        done
        echo
fi

if [ "$ALLOW_HOSTWISE_UDP" != "" ] ; then
        echo -n "Hostwise UDP Allows: "
        for rule in ${ALLOW_HOSTWISE_UDP} ; do
                echo "$rule" | {
                        IFS='>' read  host port
                        ${IPTABLES} -t filter -A INETIN -p udp -s ${host} --dport ${port} -j ACCEPT
                        echo -n "${rule} "
                }
        done
        echo
fi


#echo -n "Allowing established outbound connections back in..."
#${IPTABLES} -t filter -A INETIN -m state --state ESTABLISHED -j ACCEPT
#echo "done"

# Type of Service mangle optimizations (the ACTIVE FTP one will only work for uploads)
if [ "$MANGLE_TOS_OPTIMIZE" != "" ] ; then
        echo -n "Optimizing traffic: "
        ${IPTABLES} -t mangle -A OUTPUT -p tcp --dport 22 -j TOS --set-tos Minimize-Delay
        echo -n "ssh "
        ${IPTABLES} -t mangle -A OUTPUT -p tcp --dport 20 -j TOS --set-tos Maximize-Throughput
        echo -n "ftp "
        echo
fi

#What to do on those INET chains when we hit the end
echo -n "Setting up INET policies: "
#Drop if we cant find a valid inbound rule.
${IPTABLES} -t filter -A INETIN -j ${DROP}
echo -n "INETIN:${DROP} "
#We can send what we want to the internet
${IPTABLES} -t filter -A INETOUT -j ACCEPT
echo -n "INETOUT:ACCEPT "
echo

#All done!
echo "Done loading the firewall!"

[pjottum]

kun je voor het gemak je ip er ook nog even bij geven ?

Hoe dan ook, het is een dns probleem, je moet zorgen dat je firewall je dns kan resolven, of dat je /etc/hosts aanpast en daarin je sshclient zet. (dus zeg maar
10.0.0.2 windoos.inter.net windoos erin flatsen) En dan heb je geen probleem meer.

[glrfndl]

Het is dus zo dat het lang duurt voordat het loginscherm komt, maar daarna gaat het wel snel allemaal.

Dat gok ik dus ook. Ik heb nog steeds geen antwoord gehad op mijn vraag! Duurt het pas lang nadat je je wachtwoord hebt ingevoerd of er voor?

Hmm, ik meende dat ik zo wel duidelijk genoeg was, maar goed. Het duurt gewoon lang voordat het loginscherm tevoorschijn komt. Ik laat putty connecten op de server, dat scherm blijft ongeveer een minuut zwart ofzo en dan staat het loginscherm er pas, dus username en password invullen. Daarna gaat alles wel gewoon snel, dus password checken, commando's uitvoeren etc. etc. Hoop dat ik zo genoeg info heb gegeven.
En in ieder geval iedereen nu al bedankt voor de hulp

[Verwijderd]

Op woensdag 07 maart 2001 21:23 schreef pjottum het volgende:
kun je voor het gemak je ip er ook nog even bij geven ?

Hoe dan ook, het is een dns probleem, je moet zorgen dat je firewall je dns kan resolven, of dat je /etc/hosts aanpast en daarin je sshclient zet. (dus zeg maar
10.0.0.2 windoos.inter.net windoos erin flatsen) En dan heb je geen probleem meer.

Tja volgens mij heb ik dat inmiddels ook al twee keer gezegd:?

[jurri@n]

Ik krijg hier hetzelfde probleem als m'n nameserver niet goed werkt... ik zou idd poort 53 weer openzetten... Helpt vast!

[Verwijderd]

Gebruik je toevallig openssh op de server?

Zo ja, dan zou ik hetvolgende bovenaan in dat script maar eens op true zetten:
use_openssh="true"

code:

if [ $USE_SSH1 = TRUE ] || [ $USE_OPENSSH = TRUE ]; then
  echo -n "Accounting for SSH..."
  if [ $USE_SSH1 = TRUE ]; then   
     #SSH1
     ${IPTABLES} -t filter -A INETIN -p tcp --sport 22 --dport 513:1023 ! --syn -j TCPACCEPT
     echo -n "SSH1 "
  fi
  if [ $USE_OPENSSH = TRUE ] ; then 
     #OpenSSH
     ${IPTABLES} -t filter -A INETIN -p tcp --sport 22 --dport 1024:65535 ! --syn -m state --state RELATED -j TCPACCEPT
     echo -n "OpenSSH " 
  fi
  echo
fi

Dit laatste if-statement betekent dat je een reeds bestaande verbinding een nieuwe verbinding op een hoge poort laat openen. Ik gok dat het daarom zo lang duurt. Als ik me niet vergis is dit ook precies wat er gebeurt bij openssh

[edit: Wat is GOT traag de laatste tijd:( Je kunt niet eens fantsoenlijk een foutje verbeteren]

[pjottum]

Op woensdag 07 maart 2001 21:27 schreef nelske het volgende:

[..]

Tja volgens mij heb ik dat inmiddels ook al twee keer gezegd:?

Ja .. hij weet het gewoon beter, blijkbaar ..
Is toch echt dns..

[Verwijderd]

Op donderdag 08 maart 2001 14:44 schreef pjottum het volgende:

[..]

Ja .. hij weet het gewoon beter, blijkbaar ..
Is toch echt dns..

Dat begin ik me eigenlijk een beetje af te vragen. Ik geloof dat die reverse lookup pas gedaan wordt nadat je ingelogd hebt en niet ervoor. Hij geeft aan dat het heel lang duurt voordat hij uberhaupt in kan loggen.

Dat kan toch wel eens met bovenstaande firewall-rules te maken hebben. Zeker aangezien er rules inzitten die over reeds bestaande en nieuwe verbindingen gaan.

[glrfndl]

Nou het werkt al weer, ik heb poort 53 open gezet, ff kernel opnieuw gecompiled en nu werkt het. Maar ik denk dat het toch idd de dns was die niet werkte. Iig bedankt iedereen