Iptables -p Input Drop

[Fedorowicz]

Witam

Ostatnimi czasy moja przygoda z Linuxem FC2 sprowadza się do starań o udostępnienie łącza internetowego drugiemu kompowi , który używa moja żonka. Wprowadziłem odpowiedni wpis do pliku /etc/rc.d/rc.local, udostępniający sieć.

 

PROBLEM: W tymże pliku, ustawiłem domyślną politykę dla pakietów na odrzucającą przez zastosowanie wpisu:

iptables -P INPUT DROP

No i każdorazowo, przy odpalaniu, gdy FC2 wczytuje instrukcje fc.local, komp się wiesza na tej linii!

 

Robiłem testy, które wykazały, że jeśli owa linia JEST w pliku rc.local, to komp się wiesza, a jeśli jej nie ma, to komp się NIE wiesza. Oczywiście testowałem drogą haszowania tej linii.

 

Będę wdzięczny za każdą sugestię, co zrobić, by się nie wieszał. Oto ten plik rc.local:

 iptables -F
iptables -F -t nat
iptables -X
iptables -X -t nat

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc

echo "1" > /proc/sys/net/ipv4/ip_forward
echo "0" > /proc/sys/net/ipv4/tcp_ecn

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

:lammer:

[mynus]

a sprobuj oprocz odrucania lancuchow przychodzachych dodac linije dla petli loopback

 

iptables -P INPUT DROP
iptables -A INPUT   -i lo -j ACCEPT

[Fedorowicz]

Linia

iptables -A INPUT  -i lo -j ACCEPT

rzeczywiscie zlikwidowała problem wieszania się. Dzięki! Tylko udostepnianie łącza jeszcze nie chodzi. Co prawda wpisywalem 'ping 192.168.0.2' i ping działał, ale drugi komp nie ma internetu. Probuję dalej. Jak coś wymyślę to napiszę!

[mynus]

sprawdz ping w obie strony, jesli nie dochodzi w jedna to dodaj jeszcze linjke dla karty sieciowej do ktorej masz podlaczony drugi komp, jesli to jest eth0 to tak

iptables -A INPUT   -i eth0 -j ACCEPT

 

a jesli eth 1 to zamien eth0 na eth1

-----------------------

załącz wynik polecenia route z linuksa

[Fedorowicz]

iptables -A INPUT   -i eth1 -j ACCEPT

Dodałem tę linię, z eth1, bo sieciówkę udostępniającą łącze mam teraz jako eth1. ( Zamieniłem sieciówki w slotach pci, w stosunku do tego jak miałem poprzednio )

Obecnie, jak jest ta linia w 'rc.local'. to zaczal tez dzialac ping 192.168.0.1 wpisywany na tamtym kompie. Internetu nadal nie ma na tamtym kompie.

 

załącz wynik polecenia route z linuksa

[root@localhost root]# route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.0.0     *               255.255.255.0   U     0      0        0 eth1
10.0.0.0        *               255.255.0.0     U     0      0        0 eth0
169.254.0.0     *               255.255.0.0     U     0      0        0 eth1
127.0.0.0       *               255.0.0.0       U     0      0        0 lo
default         10.0.0.1        0.0.0.0         UG    0      0        0 eth0
[root@localhost root]#

[mynus]

sprawdz na drugim kompie czy DNS sa prawidlowo ustawione (i bramka czyli numer IP karty sieciowej tej na linuksie), sprawdz w przegladarce czy otwiera sie jakas strona gdy wpiszesz sam adres IP (np 213.180.130.200 - dla onetu)

 

169.254.0.0    *              255.255.0.0    U    0      0        0 eth1

ten wpis jest niepotrzebny (nie wiem czemu on sie zawsze wlacza)

[ati]

sprawdz na drugim kompie czy DNS sa prawidlowo ustawione (i bramka czyli numer IP karty sieciowej tej na linuksie), sprawdz w przegladarce czy otwiera sie jakas strona gdy wpiszesz sam adres IP (np 213.180.130.200 - dla onetu)

 

169.254.0.0     *               255.255.0.0     U     0      0        0 eth1

ten wpis jest niepotrzebny (nie wiem czemu on sie zawsze wlacza)

Dlaczego komputer ma adres IP z podsieci 169.254.0.0?

 

Powodem, dla którego komputer posiada adres z tej podsieci jest fakt, że został on skonfigurowany do uzyskania adresu IP z serwera DHCP i nie może się z nim skontaktować. W takim przypadku na komputerze klienckim zostaje uruchomiony mechanizm APIPA (Automatic Private IP Adressing), który przydziela do interfejsu unikatowy adres z zakresu 169.254.0.1 do 169.254.255.254. Najczęściej w przypadku braku odpowiedzi z serwera DHCP błąd jest po stronie serwera i to od niego należy rozpocząć diagnozowanie problemu.

 

W (_linuxie_ → Linuksie) ORT dodali to do tablicy routingu chyba po to zeby było kompatybilnie z MS

[Fedorowicz]

Mynus

sprawdz na drugim kompie czy DNS sa prawidlowo ustawione (i bramka czyli numer IP karty sieciowej tej na linuksie)

Na drugim kompie wszystko jest prawidłowo ustawione, bo jak na moim włączę windę, to tam internet chodzi normalnie

Nie wiem jak ten DNS na drugim kompie sprwdzic. Jak daje 'Właściwości' protokołu TCP/IP w oknie 'Właściwości' 'Otoczenia sieciowego', to w zakładce 'Konfiguracja DNS", zaznaczone jest 'Disable'. Z kolei jak dam windową komendę 'winipcfg' to nie ma nic nt. DNS. Natomiast bramka jest prawidlowo tam ustawiona: 192.168.0.1.

Mynus

sprawdz w przegladarce czy otwiera sie jakas strona gdy wpiszesz sam adres IP (np 213.180.130.200 - dla onetu)

Tak! Tu mamy sukces:). Wpisane normalnie się nie otwiera, ale z adresu IP otwiera sie okno onetu!

 

Mam problemy z teoretycznym ogarnięciem problemu DNS. Ale czy filtry iptables, jakoś nie blokują komunikacji z DNS?

 

ati

Najczęściej w przypadku braku odpowiedzi z serwera DHCP błąd jest po stronie serwera i to od niego należy rozpocząć diagnozowanie problemu.

Serwer providera jest w porzadku, bo internet na moim kompie chodzi bez zastrzezń...

[mynus]

a w jaki sposob udostepniles polaczenie z windowsa windowsowi ?

moze w tym jest problem, ze windows windzie przekazuje adresy serwerow dns, a (_linuks_ → Linux) ORT tego nie robi (do tego potrzebny by byl serwer dhcpd, ale dla jednego kompa nie warto)

 

spróbuj wpisac adresy dns recznie dla drugiego komputera

(niepamietam dokladnie jak to leci -> wlasciwosci polaczenia lokalnego -> protokol tcp/ip i tam zakldaka dns, ustaw primary dns np tpsy: albo lepiej Twojego providera)

 

dns tpsy:

nameserver 194.204.152.34

nameserver 194.204.159.1

 

---

albo zainstalowac pakiet dhcpd na fedorce i uruchomic usluge dhcpd dla danego interfejsu (chociaz (_linuks_ → Linux) ORT powinien sie skapnac dla ktorego) przy starcie systemu i stworzyc pli /etc/dhcpd.conf takiej tresci:

 
# dhcpd.conf #
subnet 192.168.0.0 netmask 255.255.255.0
{
  range 192.168.0.2 192.168.0.2;
  default-lease-time 21600;
  max-lease-time 86400;
  option domain-name-servers 194.204.152.34,194.204.159.1;
  option routers 192.168.0.1;

 option subnet-mask 255.255.255.0;
 option broadcast-address 192.168.0.255;
}

option domain-name-servers 194.204.152.34,194.204.159.1;

ta linijka to adresy serwerow DNS (w tym wypadku tpsy, mozesz zmienic je na providera), na windzie zaznaczysz opcje pobierz IP z serwera i powinno dzialac

[Fedorowicz]

a w jaki sposob udostepniles polaczenie z windowsa windowsowi ?

moze w tym jest problem, ze windows windzie przekazuje adresy serwerow dns, a (_linuks_ → Linux) ORT tego nie robi (do tego potrzebny by byl serwer dhcpd, ale dla jednego kompa nie warto)

tak chyba wlasnie jest w windzie98, ze pobiera adresy DNS od ICS nadrzędnego kompa i nie raczy ich potem wyświetlić. To temat dla specjalistów od windy

 

Dzieki za wskazówki. Wykonałem mniej więcej Twoje rady, ale mialem parę wątpliwości i działałem trochę na czuja. Efektem jest, że DNS drugiego kompa dalej nie dziala.

 

spróbuj wpisac adresy dns recznie dla drugiego komputera

(niepamietam dokladnie jak to leci -> wlasciwosci polaczenia lokalnego -> protokol tcp/ip i tam zakldaka dns, ustaw primary dns np tpsy: albo lepiej Twojego providera)

 

dns tpsy:

nameserver 194.204.152.34

nameserver 194.204.159.1

Czy powyzsze komendy 'nameserver' to maja byc wpisane w (_linuxie_ → Linuksie) ORT w pliku '/etc/resolv.conf'?

 

i uruchomic usluge dhcpd dla danego interfejsu (chociaz (_linuks_ → Linux) ORT powinien sie skapnac dla ktorego)

Jak mozna uruchomić tę usługę? Patrzyłem w okienkach linuxowych: 'Ustawienia systemowe'--> 'Ustawienia serwera'--> "Usługi" i tam tej usługi nie ma.

[mynus]

czy na windowsie dla karty siecowej i protokolu TCP/IP jest zaznaczona opcja pobierz IP z serwera? czy reczne przydzielenie adresu IP?

 

nameserver 194.204.152.34

nameserver 194.204.159.1

Czy powyzsze komendy 'nameserver' to maja byc wpisane w (_linuxie_ → Linuksie) ORT w pliku '/etc/resolv.conf'?

tak, ja mam je wpisane w /etc/resolv.conf, jednak skoro DNS dzialaja na linuksie, (mozna otwierac strony), to lepiej pozostawic takie jakie sa (czyli pewnie DNS providera). Podałem te numery DNS żeby wpisać je w konfiguracji karty na windowsie.

 

Jak mozna uruchomić tę usługę? Patrzyłem w okienkach linuxowych: 'Ustawienia systemowe'--> 'Ustawienia serwera'--> "Usługi" i tam tej usługi nie ma.

trzeba doinstalowac pakiet z płytki u mnie nazywa się:

dhcp-(nie wiem jaka jest aktualnie wersja)

[Fedorowicz]

Działa!! Hurra! Poszedłem tym tropem:

tak, ja mam je wpisane w /etc/resolv.conf, jednak skoro DNS dzialaja na linuksie, (mozna otwierac strony), to lepiej pozostawic takie jakie sa (czyli pewnie DNS providera).

W pliku '/etc/resolv.conf' był wpisany adres 10.0.0.1 ( notabene to host providera i serwer proxy ) i wpisałem ten IP w konfiguracji DNS na kompie z windą! I ruszyło. Ciekawostka, że jak tam były wpisane IP DNS tepsy to niestety DNS nie działał.

 

Jestem niezmiernie wdzięczny, Panie mynus i mam nadzieję, że ten wątek pomoże też innym, którzy mają internet z kabla!