iptables werkt niet?

[Sir Isaac]

Op mijn workstation gebruik ik firestarter voor de configuratie van netfilter. Sinds een poosje merk ik dat mijn firewall gewoon niet werkt. Mijn eerste gedachte was dat firestarter iets verkeerd doet maar daar lijkt het nu niet op als ik met de hand poort 22 open zet krijg ik nog steeds een "connection refused" als ik naar mijn computer ssh:

code:

iptables -t filter -A INPUT -p tcp --src 192.168.0.1 --dport 22 -j ACCEPT

Hetzelfde gebeurt met andere poorten. In /var/log/messages, syslog en kern.log verschijnen geen meldingen als ik een iptables filter regel toevoeg.
Ik gebruik Debian Sarge, kernel 2.6.8-1-k7 (van Debian) en 2.6.9 (zelf gecompileerd uit de Debian kernel source), iptables versie 1.2.11. De volgende kernel modules zijn geladen:

code:

lsmod | grep ipt
ipt_limit               2368  7
iptable_mangle          2752  0
ipt_LOG                 6976  7
ipt_MASQUERADE          3776  0
iptable_nat            25416  1 ipt_MASQUERADE
ipt_TOS                 2368  0
ipt_REJECT              6784  0
ipt_state               1856  4
ip_conntrack           47156  5 ipt_MASQUERADE,iptable_nat,ip_conntrack_irc,ip_conntrack_ftp,ipt_state
iptable_filter          2880  1
ip_tables              18368  9 ipt_limit,iptable_mangle,ipt_LOG,ipt_MASQUERADE,iptable_nat,ipt_TOS,ipt_REJECT,ipt_state,iptable_filter

[WHiZZi]

Draait je SSHD wel ?

Daarnaast is het handiger als je je iptables-save effe ergens online zet

[blaataaps]

Je appendt de regel, iptables werkt op first-match basis, dus als er ergens in je ruleset een regel staat die dat verkeer verbiedt, schiet je er niks mee op. Oplossing: niet -A doen, maar de regel bovenaan inserten ipv appenden.

[TrailBlazer]

doe anders een iptables -nvL input en kijk wat je ziet

[wacko]

Je hebt ook een paar opties in /proc die je op 1 moet zetten alvorens het werkt. Check eens de volgende waarden van deze files, en pas ze zonodig aan:

code:

echo 1 > /proc/sys/net/ipv4/ip_forward
for f in /proc/sys/net/ipv4/conf/*/rp_filter ; do echo 1 > $f ; done

[Verwijderd]

De topicstarter is volgens mij niet uit op portforwarding, dus

echo 1 > /proc/sys/net/ipv4/ip_forward
for f in /proc/sys/net/ipv4/conf/*/rp_filter ; do echo 1 > $f ; done

lijken mij niet echt nuttig. De tip van blaataaps lijkt me wel waardevol, je kunt een rule invoegen op de eerste plek (waarbij dus alle rules een plekje opschuiven) door te doen:

iptables -I INPUT -p tcp --src 192.168.0.1 --dport 22 -j ACCEPT

Let wel, de optie "-I" (hoofdletter "i") heeft een optionele parameter die de positie van de nieuwe rule aangeeft. Als je dat getalletje niet meegeeft, is de default op positie 1, vooraan de chain dus.
Is het trouwens niet zo dat de filter table de default is? Volgens mij hoef je niet telkens "-t filter" op te geven bij elke rule.

[Sir Isaac]

Port forwarding heb ik inderdaad niet nodig op mijn computer. sshd, draait, met telnet krijg ik hetzelfde resultaat.
Ik heb nu een regel ge-insert (zoals gesuggereerd door Blaataaps en Cyberknutselaar), maar dat maakt niets uit.
iptables -nvL geeft wel een interessante output: "iptables: Table does not exist (do you need to insmod?)" Er mist blijkbaar een module. Ik ben aan het zoeken welke.
Ik heb de output van iptables-save even online gezet.

Toevoeging:
op een andere computer met een vergelijkbare setup zijn dezelfde modules geladen. Op deze computer werkt alles wel. Verder is daar af_packet geladen. Heeft die wat met iptables te maken?

[ Voor 18% gewijzigd door Sir Isaac op 09-01-2005 01:00 ]

[Verwijderd]

Kan er naast zitten maar kijk ook een je /etc/hosts.allow na.
sshd : ALL : ALLOW

[Sir Isaac]

hosts.allow en hosts.deny zijn leeg. Ik heb deze regel even toegevoegd, maar dat maakt niets uit.

[TrailBlazer]

Sir Isaac schreef op zondag 09 januari 2005 @ 00:38:

iptables -nvL geeft wel een interessante output: "iptables: Table does not exist (do you need to insmod?)" Er mist blijkbaar een module. Ik ben aan het zoeken welke.
Ik heb de output van iptables-save even online gezet.

je moet wel hoofdletter gebruiken bij INPUT

[Sir Isaac]

Heb ik toch gedaan?

[bolluserectus]

zei er nou iemand telnet?

[TrailBlazer]

Sir Isaac schreef op maandag 10 januari 2005 @ 00:29:
Heb ik toch gedaan?

wist ik niet in mijnvraag stond het fout namelijk

[Verwijderd]

Als je ssh naar die bak krijg je dan helemaal geen meldingen in je log files?

Ja je kan ook ff telnet localhost 22 om te kijken of de sshd wel werkt.

[ Voor 34% gewijzigd door Verwijderd op 10-01-2005 21:57 ]