[Debian]Apt-get werkt niet na iptables configuratie

[Brainwaste]

Zoals de topic titel al doet vermoeden kan ik na de configuratie van iptables op m'n webserver geen gebruik meer maken van apt-get. Apt-get krijgt geen verbinding meer met het internet.
Ook connecten naar m'n ftp-server verloopt moeizaam, hij lijkt wel een connectie te maken maar het lukt em niet om een file list weer te geven.
Het lukt wel om met SSH in te loggen op m'n server en ook de webserver draait gewoon.

Ik maak gebruik van de kernel 2.4.22 met het volgende script voor de configuratie van iptables:

code:

# location of iptables program
IPTABLES="/sbin/iptables"

# static ip on internet
INET_IP="xxx.xxx.xxx.xxx"

# interface for internet
INET_INTERFACE="eth0"


echo "iptables firewall/masquerading script started..."

# flush all rules in filter/NAT table
$IPTABLES --flush


# Deny everything else
$IPTABLES --policy INPUT DROP

#
# ICMP rules
#

# Echo request
$IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT

# Time to Live (TTL)
$IPTABLES -A INPUT -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT


#
# TCP rules
#

# ftp-data (20) and ftp (21)
$IPTABLES --append INPUT --protocol tcp --dport 20 --jump ACCEPT
$IPTABLES --append INPUT --protocol tcp --dport 21 --jump ACCEPT

# ssh (22)
$IPTABLES --append INPUT --protocol tcp --dport 22 --jump ACCEPT

# http (80)
$IPTABLES --append INPUT --protocol tcp --dport 80 --jump ACCEPT

# webmin (81)
$IPTABLES --append INPUT --protocol tcp --dport 81 --jump ACCEPT


echo "done."

Kunnen jullie hier aan zien wat er aan veranderd zou moeten worden ?


PS. Ik vroeg me af of dit in NOS of in NT moest......

[Creepy]

Zet poort 53 eens open zodat DNS het ook goed

[Brainwaste]

Voor het openzetten van DNS moet ik deze regel in m'n script zetten en dat dan runnen zeker ?

# dns (53)
$IPTABLES --append INPUT --protocol tcp --dport 53 --jump ACCEPT

edit:

Regel toegevoegd en script opnieuw gerunned maar nog steeds hetzelfde probleem.

[ Voor 23% gewijzigd door Brainwaste op 22-10-2003 15:27 . Reden: getest ]

[BoAC]

Volgens mij heb je hier wel wat aan:
http://www.netfilter.org/...et-filtering-HOWTO-5.html
Je moet ook de ESTABLISHED en RELATED connecties toelaten.

[Brainwaste]

Oke, dat is denk wel nuttige info.

Ik neem aan dat ik deze regels toe moet voegen:

iptables -N block
iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT


maar wat moet ik met deze:

iptables -A block -m state --state NEW -i ! ppp0 -j ACCEPT

Ik heb namelijk geen PPP verbinding, of zou ik van die ppp0 eth0 moeten maken ?

[Valium]

Denk even na wat die regel iptables -N block doet.
Die moet je dus niet hebben.

Je moet die 2e regel hebben en enigszins aanpassen op jouw situatie:
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

informatie over wat alles betekent kun je opzoeken met de gebruikelijke commando's (man iptables helpt hier)

Misschien is een kant-en-klare oplossing voor jou beter, zoals bijvoorbeeld de rc.firewall van monmotha. Of een programmaatje zoals firestarter.

edit:

Nou okee, we leggen die ppp-regel even uit:
[code]iptables -A block -m state --state NEW -i ! ppp0 -j ACCEPT[/code]
Die -A block betekent gewoon "toevoegen aan de chain block, dus bij jou zou het INPUT moeten zijn.

-m state start een bepaalde module om pakketten te kunnen herkennen. Zie manual voor meer info.

--state NEW lijkt me duidelijk. Alle nieuwe verbindingen.

-i ! ppp0 betekent interface ongelijk aan ppp0. Het voorbeeld wat jij leest gebruikt blijkbaar ppp0 als internetverbinding.

De hele regel betekent dus: Nieuwe verbindingen van alle NICs behalve de internetverbinding (ppp0) altijd toestaan.

[ Voor 41% gewijzigd door Valium op 22-10-2003 15:59 . Reden: extra uitleg ]

[Brainwaste]

Voor deze regel moet je zeker nog wat compileren in de kernel:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

hoorde iets over mangeling wat in de kernel zou moeten zitten hiervoor, is dat zo? Als dat het geval is dan ga ik even een nieuwe kernel compilen daarvoor.