<tt><font size=2>sysadmins-bounces@lists.altlinux.org написано
05.07.2013 13:48:45:<br>
<br>
> От: Viacheslav Dubrovskyi <dubrsl@gmail.com></font></tt>
<br><tt><font size=2>> Кому: sysadmins@lists.altlinux.org, </font></tt>
<br><tt><font size=2>> Дата: 05.07.2013 13:49</font></tt>
<br><tt><font size=2>> Тема: Re: [Sysadmins] проблема с
iptables</font></tt>
<br><tt><font size=2>> Отправитель: sysadmins-bounces@lists.altlinux.org</font></tt>
<br><tt><font size=2>> <br>
> 05.07.2013 10:03, Vladislav Y Gusev wrote:</font></tt>
<br><tt><font size=2>> День добрый! <br>
> <br>
> Не подскажете по iptables? <br>
> Не удаётся наладить нормальную работу
одной железяки за натом. <br>
> Железяке нужен неограниченных доступ
к определённому хосту в сети <br>
> Интернет, с которым устройство поднимает
защищённого ipsec-соединение. <br>
> Обычно в подобных случаях я добавлял
правило в таблицу filter/<br>
> FORWARD вида "-i eth1 -o eth0 -s <внутр.адрес
железяки> -d <хост в <br>
> сети Интернет> -j ACCEPT" <br>
> И это всегда работало. Всё работало поначалу
и с этим устройством, а<br>
> потом вдруг начались проблемы: разрывы
сессии, невозможность <br>
> соединиться с хостом... <br>
> При включении устройства напрямую мимо
ната в шлюз провайдера с <br>
> выделением отдельного "белого"
ip-адреса устройство работает идеально.
<br>
> При работе за аппаратным натом (примитивный
роутер tp-link) - тоже <br>
> никаких проблем. <br>
> А вот через linux-шлюз работать не получается.
<br>
> Если добавить аналогичное правило только
с "-j LOG", то видно, что <br>
> правило срабатывает и пакеты отправляются.
<br>
> Jul 2 18:17:27 alt-serv kernel: IN=eth1 OUT=eth0 SRC=192.168.153.<br>
> 250 DST=<host> LEN=33 TOS=0x00 PREC=0xC0 TTL=254 ID=51 PROTO=UDP
<br>
> SPT=4500 DPT=4500 LEN=13 <br>
> <br>
> Не подскажите, в чём может быть загвоздка?
Я даже не пойму, в какую <br>
> сторону смотреть. <br>
> Особенно сбивает с толку, что устройство
нормально проработало за <br>
> iptables почти месяц, а теперь ни в какую...
</font></tt>
<br><tt><font size=2>> Для лучшего понимания не
плохо бы увидать вывод команд:<br>
> <br>
> # ip a<br>
> </font></tt>
<br>
<br><tt><font size=2># ip a</font></tt>
<br><tt><font size=2>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc
noqueue state UNKNOWN</font></tt>
<br><tt><font size=2> link/loopback 00:00:00:00:00:00 brd
00:00:00:00:00:00</font></tt>
<br><tt><font size=2> inet 127.0.0.1/8 scope host lo</font></tt>
<br><tt><font size=2>2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu
1500 qdisc pfifo_fast state UP qlen 1000</font></tt>
<br><tt><font size=2> link/ether 00:13:20:6d:3f:28 brd ff:ff:ff:ff:ff:ff</font></tt>
<br><tt><font size=2> inet ххх.ххх.ххх.ххх/29
brd ххх.ххх.ххх.ххх scope global eth0</font></tt>
<br><tt><font size=2>3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu
1500 qdisc pfifo_fast state UNKNOWN qlen 1000</font></tt>
<br><tt><font size=2> link/ether f0:7d:68:c8:ab:77 brd ff:ff:ff:ff:ff:ff</font></tt>
<br><tt><font size=2> inet 192.168.153.11/24 brd 192.168.153.255
scope global eth1</font></tt>
<br><tt><font size=2><br>
> #iptables -L -n -v<br>
> </font></tt>
<br><tt><font size=2>]# iptables -L -n -v</font></tt>
<br><tt><font size=2>Chain INPUT (policy ACCEPT 665K packets, 40M bytes)</font></tt>
<br><tt><font size=2> pkts bytes target prot opt in
out source
destination</font></tt>
<br><tt><font size=2> 0 0 DROP
all -f * *
0.0.0.0/0 0.0.0.0/0</font></tt>
<br><tt><font size=2> 11M 4087M ACCEPT all --
* * 0.0.0.0/0
0.0.0.0/0
state RELATED,ESTABLISHED</font></tt>
<br><tt><font size=2> 668K 41M ULOG all
-- * * 0.0.0.0/0
0.0.0.0/0
ULOG copy_range 48 nlgroup 1 prefix `icount' queue_threshold 50</font></tt>
<br><tt><font size=2> 1194 34304 ACCEPT icmp -- eth0
* 0.0.0.0/0
0.0.0.0/0</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
all -- eth1 * 192.168.153.250
0.0.0.0/0 <--- это добавил уже от безысходности</font></tt>
<br><tt><font size=2> 8 2912 ACCEPT all
-- eth0 * 83.149.6.20
0.0.0.0/0 <--- это добавил уже от
безысходности</font></tt>
<br><tt><font size=2> 2310 303K DROP all
-- eth0 * 0.0.0.0/0
0.0.0.0/0</font></tt>
<br>
<br><tt><font size=2>Chain FORWARD (policy ACCEPT 702K packets, 107M bytes)</font></tt>
<br><tt><font size=2> pkts bytes target prot opt in
out source
destination</font></tt>
<br><tt><font size=2> 468 142K ACCEPT all --
eth1 eth0 192.168.153.250 0.0.0.0/0
<--- вот это правило, я даже его сделал с
разрешением на все хосты</font></tt>
<br><tt><font size=2> 0 0 DROP
all -f * *
0.0.0.0/0 0.0.0.0/0</font></tt>
<br><tt><font size=2> 205K 47M ACCEPT all --
* * 0.0.0.0/0
0.0.0.0/0
state RELATED,ESTABLISHED</font></tt>
<br><tt><font size=2> 740K 110M ULOG all
-- * * 0.0.0.0/0
0.0.0.0/0
ULOG copy_range 48 nlgroup 1 prefix `fcount' queue_threshold 50</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
all -- eth0 * 0.0.0.0/0
ххх.ххх.ххх.ххх/29</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
all -- * * 0.0.0.0/0
0.0.0.0/0
PHYSDEV match --physdev-is-bridged</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
all -- eth0 * 0.0.0.0/0
0.0.0.0/0
state RELATED,ESTABLISHED</font></tt>
<br><tt><font size=2> 0 0 DROP
all -- eth0 * 0.0.0.0/0
0.0.0.0/0</font></tt>
<br><tt><font size=2> 21 1176 ACCEPT icmp
-- eth1 eth0 0.0.0.0/0
0.0.0.0/0</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
tcp -- eth1 eth0 192.168.153.3
0.0.0.0/0 tcp dpt:53</font></tt>
<br><tt><font size=2>21890 1411K ACCEPT udp -- eth1
eth0 192.168.153.3 0.0.0.0/0
udp dpt:53</font></tt>
<br><tt><font size=2> 1 52 ACCEPT
tcp -- eth1 eth0 192.168.153.6
0.0.0.0/0 tcp dpt:53</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
udp -- eth1 eth0 192.168.153.6
0.0.0.0/0 udp dpt:53</font></tt>
<br><tt><font size=2> 220 11440 ACCEPT tcp --
eth1 eth0 0.0.0.0/0
206.201.227.186 tcp dpt:443</font></tt>
<br><tt><font size=2> 228 11856 ACCEPT tcp --
eth1 eth0 0.0.0.0/0
206.201.228.186 tcp dpt:443</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
tcp -- eth1 eth0 192.168.153.13
0.0.0.0/0 multiport dports
80,443</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
udp -- eth1 eth0 192.168.153.13
0.0.0.0/0 udp dpt:123</font></tt>
<br><tt><font size=2> 36 1872 ACCEPT tcp
-- eth1 eth0 0.0.0.0/0
46.17.141.40 tcp dpt:80</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
udp -- eth1 eth0 0.0.0.0/0
83.137.219.5 udp
dpt:24400</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
udp -- eth1 eth0 0.0.0.0/0
195.2.80.62 udp
dpt:24400</font></tt>
<br><tt><font size=2> 23 1196 ACCEPT tcp
-- eth1 eth0 0.0.0.0/0
83.137.219.5 tcp dpt:24400</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
tcp -- eth1 eth0 0.0.0.0/0
195.2.80.62 tcp
dpt:24400</font></tt>
<br><tt><font size=2> 6 288 ACCEPT tcp
-- eth1 eth0 192.168.153.31
46.61.141.84/30 tcp dpt:80</font></tt>
<br><tt><font size=2> 8 384 ACCEPT tcp
-- eth1 eth0 192.168.153.31
94.25.1.54 tcp dpt:80</font></tt>
<br><tt><font size=2> 9 432 ACCEPT tcp
-- eth1 eth0 192.168.153.31
188.254.60.162 tcp dpt:80</font></tt>
<br><tt><font size=2> 10 480 ACCEPT tcp
-- eth1 eth0 192.168.153.31
188.254.71.178 tcp dpt:80</font></tt>
<br><tt><font size=2> 12 576 ACCEPT tcp
-- eth1 eth0 192.168.153.31
188.254.71.182 tcp dpt:80</font></tt>
<br><tt><font size=2> 146 7008 ACCEPT tcp --
eth1 eth0 192.168.153.31
91.213.144.0/24 multiport dports 80,443,110,1101,25,251,8585</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
tcp -- eth1 eth0 192.168.153.31
193.148.44.0/24 multiport dports 80,443</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
tcp -- eth1 eth0 192.168.153.31
85.158.55.0/28 tcp dpt:8585</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
tcp -- eth1 eth0 192.168.153.0/24
89.253.38.5 tcp dpt:5900</font></tt>
<br><tt><font size=2> 4 176 ACCEPT tcp
-- eth1 eth0 192.168.153.23
87.245.160.53 multiport dports 5100,40001</font></tt>
<br><tt><font size=2>15833 854K DROP all --
eth1 eth0 0.0.0.0/0
0.0.0.0/0</font></tt>
<br>
<br><tt><font size=2>Chain OUTPUT (policy ACCEPT 1052K packets, 66M bytes)</font></tt>
<br><tt><font size=2> pkts bytes target prot opt in
out source
destination</font></tt>
<br><tt><font size=2> 0 0 DROP
all -f * *
0.0.0.0/0 0.0.0.0/0</font></tt>
<br><tt><font size=2> 12M 6323M ACCEPT all --
* * 0.0.0.0/0
0.0.0.0/0
state RELATED,ESTABLISHED</font></tt>
<br><tt><font size=2>1052K 66M ULOG all --
* * 0.0.0.0/0
0.0.0.0/0
ULOG copy_range 48 nlgroup 1 prefix `ocount' queue_threshold 50</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
all -- * eth1 0.0.0.0/0
192.168.153.250 <--- это добавил
уже от безысходности</font></tt>
<br><tt><font size=2> 0 0 ACCEPT
all -- * eth0 0.0.0.0/0
83.149.6.20 <--- это добавил
уже от безысходности<br>
</font></tt>
<br><tt><font size=2>> #iptables -L -n -v -t nat<br>
> </font></tt>
<br>
<br><tt><font size=2># iptables -L -n -v -t nat</font></tt>
<br><tt><font size=2>Chain PREROUTING (policy ACCEPT 249K packets, 16M
bytes)</font></tt>
<br><tt><font size=2> pkts bytes target prot opt in
out source
destination</font></tt>
<br>
<br><tt><font size=2>Chain POSTROUTING (policy ACCEPT 822K packets, 49M
bytes)</font></tt>
<br><tt><font size=2> pkts bytes target prot opt in
out source
destination</font></tt>
<br><tt><font size=2> 178K 14M MASQUERADE all --
* eth0 0.0.0.0/0
0.0.0.0/0</font></tt>
<br>
<br><tt><font size=2>Chain OUTPUT (policy ACCEPT 937K packets, 58M bytes)</font></tt>
<br><tt><font size=2> pkts bytes target prot opt in
out source
destination</font></tt>
<br><tt><font size=2><br>
> и указать адреса "железяки" и "хост
в сети Интернет"<br>
</font></tt>
<br><tt><font size=2>192.168.153.250 и 83.149.6.20</font></tt>
<br>
<br><font size=2 face="Courier New">Спасибо за желание
помочь разобраться с проблемой!</font>
<br>
<br>
<br><font size=2 face="Courier New">-- <br>
С уважением, <br>
Гусев Владислав Юрьевич <br>
</font>