iptables+ssh+torrent

[k20]

Исходные данные:
Имеется рабочая станция (debian squeeze), которая находится в локальной сети. Взаимодействие с WAN осуществляется через маршрутизатор (IpCop).

Задача:
Настроить iptables таким образом, чтобы можно было получать доступ к SSH извне, и качать торренты.

Что пытался делать:
SSH:
1. Если в консоли вбить ssh 127.0.0.1 все работает отлично
2. Если попытаться ssh 192.168.X.X то получаю

Код: Выделить всё

ssh: connect to host 192.168.X.X port 22: Connection timed out

3. На маршрутизаторе проброшен порт, чтобы можно было ходить из внешки на компьютер-жертву (yyy.yyy.yyy.yyy:port#1 -> 192.168.X.X:22).
и при попытки с компьютера-жертвы зайти на самого себя ( ssh -p port#1 yyy.yyy.yyy.yyy) получаю то же самое, что и в пункте 2.

Torrents:
В клиенте (torrentflux - работает на базе bittornado) указываю диапозон портов: 9881-9889. Закачка не начинается, показывает статус "connecting to peers"

Iptables:
1. если снести все правила iptables-а, то все начинает работать замечательно, но это, помоему не совсем верный путь.
2. Далее привожу правила, которые в данный момент работают в системе:

Код: Выделить всё

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  localhost            anywhere
ACCEPT     all  --  192.168.X.1  anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:www
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www
ACCEPT     tcp  --  192.168.X.0/24     anywhere            tcp dpt:microsoft-ds
ACCEPT     tcp  --  192.168.X.0/24     anywhere            tcp spt:microsoft-ds
ACCEPT     all  --  192.168.X.100      anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:https
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp dpts:9881:9889
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:8112
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh

Chain FORWARD (policy DROP)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

P.S.
В настройке iptables-а я новичок, так что прошу сильно не бить ногами в пузо.

[rm_]

TLDR
по сабжу: чего только не придумают, лишь бы не пользоваться IPv6.

[k20]

TLDR
по сабжу: чего только не придумают, лишь бы не пользоваться IPv6.

Если честно, не до конца понял реплику.

[NSV]

Исходные данные:
Имеется рабочая станция (debian squeeze), которая находится в локальной сети. Взаимодействие с WAN осуществляется через маршрутизатор (IpCop).

Задача:
Настроить iptables таким образом, чтобы можно было получать доступ к SSH извне, и качать торренты.

Что пытался делать:
SSH:
1. Если в консоли вбить ssh 127.0.0.1 все работает отлично
2. Если попытаться ssh 192.168.X.X то получаю

Код: Выделить всё

ssh: connect to host 192.168.X.X port 22: Connection timed out

Проверьте значение ListenAddress :: в настройках ssh демона. (/etc/ssh/sshd_config)

...
если снести все правила iptables-а, то все начинает работать замечательно, но это, помоему не совсем верный путь.

Почему? У Вас запущено много сетевых сервисов, через которые возможен взлом/утечка инфы?

[k20]

Проверьте значение ListenAddress :: в настройках ssh демона. (/etc/ssh/sshd_config)

Проверил. Не помоголо.
Я очень сильно подозреваю, что дело именно в iptables. А думаю я так, потомучто если убить правила, то все работает, а если восстановить, но снова не работает; при этом конфиги sshd не меняются

Почему? У Вас запущено много сетевых сервисов, через которые возможен взлом/утечка инфы?

Из сервисов, к которым можно получить доступ извне открыты только web-сервер(для интерфейса torrent-клиента) и в данный момент я пытаюсь открыть ssh. А взлом изнутри очень маловероятен. Я о том и говорю, что необходимо настроить iptables только для парочки сервисов для тренировки по избежанию "взломов/утечек"

[arkhnchul]

при попытки с компьютера-жертвы зайти на самого себя ( ssh -p port#1 yyy.yyy.yyy.yyy) получаю то же самое, что и в пункте 2.

еще бы.

а все потому, что

Chain FORWARD (policy DROP)
target prot opt source destination

и как, позвольте, пакеты через это пройдут без единого разрешающего правила?

а, стоп, мне взбрело в голову, что эти правила - на маршрутизаторе. Извиняюсь

добавьте в самое начало цепочки INPUT правило типа -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

[k20]

при попытки с компьютера-жертвы зайти на самого себя ( ssh -p port#1 yyy.yyy.yyy.yyy) получаю то же самое, что и в пункте 2.

еще бы.

а все потому, что

Chain FORWARD (policy DROP)
target prot opt source destination

и как, позвольте, пакеты через это пройдут без единого разрешающего правила?

а, стоп, мне взбрело в голову, что эти правила - на маршрутизаторе. Извиняюсь

добавьте в самое начало цепочки INPUT правило типа -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Спасибо, за ответ. Попробую. Но не могли бы вы в двух строчках объяснить, что это правило делает Буду очень признателен.

[oper777]

Спасибо, за ответ. Попробую. Но не могли бы вы в двух строчках объяснить, что это правило делает Буду очень признателен.

http://www.opennet.ru/docs/RUS/iptables/#USERLANDSTATES

[arkhnchul]

в двух словах разрешает прохождение пакетов _уже_установленных_ соединений.

[k20]

Спасибо, за ответ. Попробую. Но не могли бы вы в двух строчках объяснить, что это правило делает Буду очень признателен.

http://www.opennet.ru/docs/RUS/iptables/#USERLANDSTATES

К тому моменту как прочитать ваш пост я уже проштудировал этот раздел статьи. Понял конечно не все, но общее представление появилось о механизме состояний. Только я одного не понял, вся эта кухня с состояниями имеет связь с портами или речь идет о соединении исключительно между двумя узлами.
А вообще решение с

Код: Выделить всё

iptables -I INPUT -m state --state RELATED, ESTABLISHED -j ACCEPT

...помогло

[SLEDopit]

Если честно, не до конца понял реплику.

version6.ru/why

[patrius]

Спасибо, за ответ. Попробую. Но не могли бы вы в двух строчках объяснить, что это правило делает Буду очень признателен.

http://www.opennet.ru/docs/RUS/iptables/#USERLANDSTATES

К тому моменту как прочитать ваш пост я уже проштудировал этот раздел статьи. Понял конечно не все, но общее представление появилось о механизме состояний. Только я одного не понял, вся эта кухня с состояниями имеет связь с портами или речь идет о соединении исключительно между двумя узлами.
А вообще решение с

Код: Выделить всё

iptables -I INPUT -m state --state RELATED, ESTABLISHED -j ACCEPT

...помогло

как уже приводилось выше. Читаем тут.
не на досуге по чуть чуть, а вдумчиво. от КОРКИ до КОРКИ.
Ибо без полных знаний никогда в части не разберешся.