Na restart geen enkele service meer bereikbaar binnen LAN

[FutureCow]

Het hele netwerk thuis liep "vast". Geen enkel apparaat (bedraad of draadloos) kon elkaar nog zien. Na een reboot van de switch/router zelfde probleem.
Na het eruit pluggen van de netwerkkabel van de server, werkte alles weer naar behoren. Opnieuw netwerkkabel erin pluggen zorgde er voor dat direct alles weer stopte.

Toen maar besloten om een shutdown -r uit te voeren op de server. Na een restart draaien alle services op de server gewoon zoals het hoort, maar zijn vanaf de andere PC's/Laptops in het netwerk niet te benaderen. Op de server kan ik via bijv. cURL wel verbinding maken, waardoor ik kan zien dat het wel draait.

Het gaat om verschillende services op verschillende porten die niet werken zoals:
- apache (80+433)
- sabnzbd (8082)
- unifi (8443)
- tvheadnend (9981)
etc etc.
Op de server dus bereikbaar, maar daarbuiten niet.

Echter kan ik wel verbinding maken met de services die in een container op docker draaien en SSH werkt ook gewoon.
Normaal kan ik prima het een en ander debuggen, maar ik weet niet gewoon even niet waar ik moet beginnen om te kijken waardoor ik geen verbinding kan maken. Had al even naar de iptables gekeken of daat iets geks in staat:

code:

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N DOCKER
-N DOCKER-ISOLATION-STAGE-1
-N DOCKER-ISOLATION-STAGE-2
-N DOCKER-USER
-A INPUT -i lo -j ACCEPT
-A INPUT -s 127.0.0.0/8 ! -i lo -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p icmp -m state --state NEW -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p icmp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eno1 -p tcp -m state --state NEW,ESTABLISHED -m tcp --dport 22 -j ACCEPT
-A INPUT -i eno1 -p udp -m state --state NEW,ESTABLISHED -m udp --dport 1194 -j ACCEPT
-A INPUT -i eno1 -p udp -m state --state ESTABLISHED -m udp --sport 53 -j ACCEPT
-A INPUT -i eno1 -p tcp -m state --state ESTABLISHED -m tcp --sport 80 -j ACCEPT
-A INPUT -i eno1 -p tcp -m state --state ESTABLISHED -m tcp --sport 443 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A INPUT -m limit --limit 3/min -j LOG --log-prefix "iptables_INPUT_denied: "
-A INPUT -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A FORWARD -o br-19e7349f6a0e -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o br-19e7349f6a0e -j DOCKER
-A FORWARD -i br-19e7349f6a0e ! -o br-19e7349f6a0e -j ACCEPT
-A FORWARD -i br-19e7349f6a0e -o br-19e7349f6a0e -j ACCEPT
-A FORWARD -i br-1152771838ba -o br-1152771838ba -j ACCEPT
-A FORWARD -m limit --limit 3/min -j LOG --log-prefix "iptables_FORWARD_denied: "
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p icmp -j ACCEPT
-A OUTPUT -o eno1 -p tcp -m state --state ESTABLISHED -m tcp --sport 22 -j ACCEPT
-A OUTPUT -o eno1 -p udp -m state --state ESTABLISHED -m udp --sport 1194 -j ACCEPT
-A OUTPUT -o eno1 -p udp -m state --state NEW,ESTABLISHED -m udp --dport 53 -j ACCEPT
-A OUTPUT -o eno1 -p tcp -m state --state NEW,ESTABLISHED -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eno1 -p tcp -m state --state NEW,ESTABLISHED -m tcp --dport 443 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A OUTPUT -m limit --limit 3/min -j LOG --log-prefix "iptables_OUTPUT_denied: "
-A OUTPUT -j REJECT --reject-with icmp-port-unreachable
-A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 8989 -j ACCEPT
-A DOCKER -d 172.19.0.2/32 ! -i br-19e7349f6a0e -o br-19e7349f6a0e -p tcp -m tcp --dport 24224 -j ACCEPT
-A DOCKER -d 172.19.0.3/32 ! -i br-19e7349f6a0e -o br-19e7349f6a0e -p tcp -m tcp --dport 8447 -j ACCEPT
-A DOCKER -d 172.19.0.3/32 ! -i br-19e7349f6a0e -o br-19e7349f6a0e -p tcp -m tcp --dport 8446 -j ACCEPT
-A DOCKER -d 172.19.0.4/32 ! -i br-19e7349f6a0e -o br-19e7349f6a0e -p udp -m udp --dport 2055 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -i br-19e7349f6a0e ! -o br-19e7349f6a0e -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 ! -s 172.18.0.0/16 -o br-1152771838ba -j DROP
-A DOCKER-ISOLATION-STAGE-1 ! -d 172.18.0.0/16 -i br-1152771838ba -j DROP
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -o br-19e7349f6a0e -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN

Wie kan mij even verder helpen om te kijken waar het mis gaat?

System:
Debian 10
Intel i3 8100

[igmar]

De firewall staat open op poort 22, 1194, 53, 80 en 443. De rest staat dicht.

[Hero of Time]

En wat zegt een 'netstat -tlnp'? Wat is het IP adres van je server en hoe proberen je andere apparaten de server te bereiken? Heb je met de curl optie localhost geprobeerd, of echt z'n IP adres of hostnaam (die ook echt herleidt naar z'n IP en niet localhost)?

[DataGhost]

Je rules zien er sowieso een beetje apart uit, maar goed. Maar je 80 en 443 staan gewoon dicht hoor. Kijk maar:

code:

-A INPUT -i eno1 -p tcp -m state --state ESTABLISHED -m tcp --sport 80 -j ACCEPT
-A INPUT -i eno1 -p tcp -m state --state ESTABLISHED -m tcp --sport 443 -j ACCEPT

Hoe ga je die ooit in state ESTABLISHED krijgen?
Edit: Euh, trouwens, je hebt hier sport en niet dport staan. Ik denk dat je even met een kammetje door je rules heen moet om te kijken of wat er staat wel is wat je bedoelt. Deze twee regels zijn in deze vorm in ieder geval behoorlijk nutteloos op INPUT.

[ Voor 27% gewijzigd door DataGhost op 21-06-2019 20:45 ]

[FutureCow]

Had idd met verkeerde iptables te maken, geen idee hoe die op deze manier erin gekomen zijn. Na een flush van de iptables werkt alles in ieder geval weer. Ben alleen nog wel benieuwd waar het oorspronkelijke probleem vandaan is gekomen dat hele netwerk plat lag.

[DataGhost]

Je beseft je hopelijk dat een flush alleen de iptables in de kernel leeg gooit, en dat een kernel na elke reboot met compleet lege/default tables begint? Je regels komen dus ergens vandaan on-boot, vanuit een file of door een script, anders had je dit probleem niet. Als je daar niks mee gedaan hebt (is niet helemaal duidelijk uit je post) zullen ze volgende reboot allemaal weer terug zijn.

[vso]

rc.iptabels / rc.firewall /rc.local oid ?

[FutureCow]

Yep, staat in:
/etc/iptables/rules.v4 en v6
deze ook even aangepast...