[CentOS] Kan CentOS niet bereiken op poort 9200

[Storm90]

Hallo allemaal,

Ik krijg het niet voor elkaar om mijn CentOS virtual machine te bereiken via poort 9200. Dit is de poort welke ElasticSearch gebruikt. Dit is mijn iptables bestand:



Zoals je kunt zien heb ik geprobeerd poort 9200 open te zetten, zonder succes. Vanaf de CentOS host kan ik een curl uitvoeren op localhost:9200, waarbij ik een json object terugkrijg, maar als ik dit op 192.168.2.229:9200 probeer krijg ik een foutmelding terug: curl:(7) couldn't connect to host. 192.168.2.229 is het adres van eth0 en vanaf mijn Windows host kan ik de apacheserver bereiken door naar dat adres te surfen. Maar zodra ik naar 192.168.2.229:9200 probeer te surfen krijg ik niets terug (ook wel logisch, gezien dit vanaf de CentOS host zelf ook niet lukt). Ook pingen gaat zonder succes, maar poort 80 lukt weer wel.

Mijn netstat resultaten:


EDIT: Oplossing is al gevonden: http://unix.stackexchange...20183?noredirect=1#120183

Het probleem is dat elasticsearch normaal gesproken slechts lokale verbindingen toestaat. Ik diende in de elasticsearch.yml het lokale IP adres te veranderen van 127.0.0.1 naar het publieke adres 192.168.2.229. Nu werkt het wel.

[ Voor 21% gewijzigd door Storm90 op 18-03-2014 11:26 ]

[Hero of Time]

Als je de uitvoer van je netstat beter had begrepen, had je al gelijk je probleem kunnen zien en hoefde je nergens verder naar te zoeken.

Voor de volgende keer kan je ook gewoon de tekst selecteren en in code of cmd tags plaatsen. Maakt het een stuk vriendelijker om te lezen en is het nog zichtbaar voor hen die zonder plaatjes surft. Je achtergrond is trouwens super lelijk. Ik zie Windows.

[Storm90]

Als je de uitvoer van je netstat beter had begrepen, had je al gelijk je probleem kunnen zien en hoefde je nergens verder naar te zoeken.

Voor de volgende keer kan je ook gewoon de tekst selecteren en in code of cmd tags plaatsen. Maakt het een stuk vriendelijker om te lezen en is het nog zichtbaar voor hen die zonder plaatjes surft.

Okee, zal er aan denken.

Je achtergrond is trouwens super lelijk. Ik zie Windows.

En bedankt voor deze nuttige info...

[Whieee]

Als ik naar je IPtables config kijk zie ik dat de regel

-A INPUT -j REJECT --reject-with icmp-host-prohibited

voor de regel staat die verkeer op port 9200/tcp toestaat.

Dit zou technisch gezien dus nooit mogen werken. Maar als ik je goed begrijp, werkt het nu, met louter de aanpassing in de config van Elasticsearch, dus wel? Wat is de uitvoer van:

iptables -nvL

[Storm90]

Als ik naar je IPtables config kijk zie ik dat de regel
-A INPUT -j REJECT --reject-with icmp-host-prohibited

voor de regel staat die verkeer op port 9200/tcp toestaat.

Dit zou technisch gezien dus nooit mogen werken. Maar als ik je goed begrijp, werkt het nu, met louter de aanpassing in de config van Elasticsearch, dus wel? Wat is de uitvoer van:
iptables -nvL

Klopt! Iemand op stackoverflow gaf ook al aan dat de -A (append) vervangen moest worden door -I (insert), om dezelfde reden die jij nu dus aangeeft. Dat heb ik dus ook gedaan voordat ik de aanpassing maakte in elasticsearch.

Dit is de uitvoer van iptables -nvL:

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination                                                                                                                           
    0     0 ACCEPT     tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     tcp dpt:9200 state NEW,ESTABLISHED
  598 61360 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     state RELATED,ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0                                                                                                                             
  107  6420 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0                                                                                                                             
 2258  177K ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     state NEW udp dpt:137
   32  1664 ACCEPT     tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     tcp dpt:80 state NEW,ESTABLISHED
  149 31990 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     state NEW udp dpt:138
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     state NEW tcp dpt:139
    1    52 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     state NEW tcp dpt:22
  721  140K REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     reject-with icmp-host-prohibited
    0     0 ACCEPT     tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     tcp dpt:3306
    0     0 ACCEPT     tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     tcp dpt:3306

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination                                                                                                                           
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0                                                                                                                                     reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT 798 packets, 277K bytes)
 pkts bytes target     prot opt in     out     source               destination                                                                                               

[ Voor 9% gewijzigd door Storm90 op 20-03-2014 08:45 ]

[Kees]

Ik zou niet -I en -A door elkaar gaan gebruiken maar gewoon de regels verplaatsen in je script. Anders word het erg onoverzichterlijk.

Verder; als je problemen met je firewall denkt te hebben, dan is een --jump LOG erg handig (vlak voor je --jump DROP/REJECT plaatsen) zodat je kan zien wat er gedropt word.

[Storm90]

Ik zou niet -I en -A door elkaar gaan gebruiken maar gewoon de regels verplaatsen in je script. Anders word het erg onoverzichterlijk.

Okee, heb het direct maar even aangepast door 9200 regel boven de "REJECT --reject-with icmp-host-prohibited" regel te plaatsen. Met een -A natuurlijk

Verder; als je problemen met je firewall denkt te hebben, dan is een --jump LOG erg handig (vlak voor je --jump DROP/REJECT plaatsen) zodat je kan zien wat er gedropt word.

Bedankt voor de tip, zal het onthouden

[Rainmaker]

Hero of Time schreef op dinsdag 18 maart 2014 @ 12:01:
Als je de uitvoer van je netstat beter had begrepen, had je al gelijk je probleem kunnen zien en hoefde je nergens verder naar te zoeken.

Ehmm, sorry hoor, maar men skipped hier over het (in mijn ogen juiste) antwoord van Hero of Time heen. Ik zal het dan maar verklappen: volgens de netstat output luistert de daemon alleen op loopback.

Kun je nog zoveel iptables regels erin zetten, maar ik zou daar even mee beginnen...

[Hero of Time]

Rainmaker schreef op donderdag 20 maart 2014 @ 21:45:
[...]


Ehmm, sorry hoor, maar men skipped hier over het (in mijn ogen juiste) antwoord van Hero of Time heen. Ik zal het dan maar verklappen: volgens de netstat output luistert de daemon alleen op loopback.

Kun je nog zoveel iptables regels erin zetten, maar ik zou daar even mee beginnen...

Ehm, je mist even het punt dat de TS dat ook al door had voordat ik had gereageerd . Het gaat nu om iptables in geval je daemon wel goed is ingesteld, maar alsnog problemen hebt met het verbinden ernaar, omdat je firewall niet goed is ingesteld. Er zijn zat systemen die door onkunde een hele zwik aan troep in de iptables config hebben waardoor het systeem bagger reageert over 't netwerk, terwijl 't met maar een paar regels al doet wat 't moet doen, met prima performance.