Hinweis: Das Forum wird geschlossen! Neue Registrierungen sind nicht mehr möglich!

 Zurück zu Pro-Linux   Foren-Übersicht   FAQ     Suchen    Mitgliederliste
ipchains , aber eins verstehe ich nicht
Gehen Sie zu Seite 1, 2, 3  Weiter
 
Neuen Beitrag schreiben   Auf Beitrag antworten    Pro-Linux Foren-Übersicht -> Netzwerk
Vorheriges Thema anzeigen :: Nächstes Thema anzeigen  
Autor Nachricht
krizz
Gast





BeitragVerfasst am: 14. Jan 2002 13:00   Titel: ipchains , aber eins verstehe ich nicht

Hallo...


habe jetzt auch endlich mal Linux installiert....Hab mir zuhause nen DSL Router gebastelt, was auch alles sehr gut funzt. Jetzt habe ich folgendes Problem. Ich möchte einen Quakeserver auf dem Router laufen lassen (Redhat 7.2), aber leider kommt niemand übers Internet auf meinen Server. Wenn ich aber von meiner Win98 WS draufgehe über die interne IP , dann isses kein Problem. Ich kann auch von meiner Win98 WS quake im internet spielen. Deswegen gehe ich davon aus das der Port offen ist. Muss ich den quake port noch auf meinen Router mappen??? Wenn ja , wie geht das? Und läuft dann mein Quake auf der WIn98 WS noch im internet???
Oder ist das Problem ein ganz anderes?

Auch gerne per Email krizzbeatz@web.de
 

slartibartfas



Anmeldungsdatum: 02.06.2000
Beiträge: 38

BeitragVerfasst am: 14. Jan 2002 13:11   Titel: Re: ipchains , aber eins verstehe ich nicht

Es gibt nicht nur Ports und IP-Adressen, sondern auch noch Flags und Devices. Deine Firewall wird den Verbindungsaufbau über das Internet-Device verbieten (Stichwort SYN-Flag).
_________________
--
Wie funktioniert Routing? www.e-bits.de
 
Benutzer-Profile anzeigen Private Nachricht senden

krizz
Gast





BeitragVerfasst am: 14. Jan 2002 13:26   Titel: Re: ipchains , aber eins verstehe ich nicht

Danke, aber ich komme ins Internet, auch über den Clientrechner Win98....das routing mit maskierung funzt also. Ich gehe davon aus das du meinst, das der Routerrechner im Internet nicht accessable ist?? Weil raus kommt er und anpingen kann ich ihn auch.

Gibts da nicht nen Newbie-Easy-trick um das Problem zu beheben ...und vor allem wo?? Ich find bei ipchains nix.....

danke man
 

slartibartfas



Anmeldungsdatum: 02.06.2000
Beiträge: 38

BeitragVerfasst am: 14. Jan 2002 13:41   Titel: Re: ipchains , aber eins verstehe ich nicht

Ok, war ein bischen misverständlich. Ich meinte Rechner aus dem Internet können wegen deiner FW-Regeln nicht auf deinen Router zugreifen. Mach mal ein 'ipchains -L' (ich hoffe die syntax stimmt, bin mehr ein iptables-Mensch). Dort wirst du sehen, daß Pakete mit dem SYN-Flag nicht über das ppp0-Device auf deinen Router zugreifen dürfen. Du musst vor dieser Regel eine weitere einfügen, die den Quakeport auch für Pakete mit diesem Flag erlaubt. Steht eigentlich alles in 'man ipchains'.
_________________
--
Wie funktioniert Routing? www.e-bits.de


Zuletzt bearbeitet von slartibartfas am 14. Jan 2002 13:41, insgesamt 1-mal bearbeitet
 
Benutzer-Profile anzeigen Private Nachricht senden

krizz
Gast





BeitragVerfasst am: 14. Jan 2002 13:49   Titel: Re: ipchains , aber eins verstehe ich nicht

Ja, schau ich mal nach, wenn ich wieder zuhause bin. Dank dir!
Also muss ich jetzt quasi nur noch den quakeport für SYN aufmachen?

hab folgendes gefundes, demnach würde ich jetzt einfach folgendes in meine Chain hinzufügen

ipchains -A input -p TCP -s 0/0 -d 0/0 quakeport -y -j ACCEPT

oder ist das wieder blödsinn?

------------------------------
TCP SYN Pakete (gerichteter Verbindungsaufbau)

ipchains -A chain -p TCP -s source-ip -y
Bei TCP wird der Verbindungsauf- und abbau gezielt signalisiert. Dazu verfügt der TCP-Header über Flags wie SYN und ACK. Das allererste Paket wird oft auch als SYN-Paket bezeichnet, da es den Verbindungsaufbau einleitet und damit auch die Richtung der Verbindung kennzeichnet. Dabei ist das SYN-Flag gesetzt und das ACK-Flag gelöscht.
Diese Darstellung in der Literatur ist etwas irreführend. Der Zielrechner antwortet nämlich auf das erste Paket ebenfalls mit dem gesetzten SYN-Flag, allerdings bei gleichzeitig gesetztem ACK-Flag. Das entscheidende Flag ist deshalb das ACK-Flag, das nur beim allerersten Paket nicht gesetzt ist. Es hat sich aber trotzdem eingebürgert, vom SYN-Paket zu sprechen, weil damit die Richtung des Verbindungsaufbaues hinreichend beschrieben wird.

In der Filterregel bezeichnet '-y' das erste Paket mit SYN gesetzt und ACK (und FIN) gelöscht. Die Negierung '! -y' (siehe weiter unten) bezeichnet Pakete, bei denen das ACK-Flag gesetzt ist, d.h. die Verbindung bereits besteht.

Das Flag '-y' macht von den Eigenschaften von TCP Gebrauch und kann deshalb nur in Verbindung mit -p TCP benutzt werden.

Denkbar wäre auch auch eine Filterregel, die sich statt auf eine IP-Adresse auf ein Interface bezieht.

Beispiel:

ipchains -A input -p TCP -y -i eth0

trifft auf Verbindungen zu, die über das Interface eth0 ankommen und eine Verbindung initialisieren wollen.
 

slartibartfas



Anmeldungsdatum: 02.06.2000
Beiträge: 38

BeitragVerfasst am: 14. Jan 2002 14:00   Titel: Re: ipchains , aber eins verstehe ich nicht

Vom Prinzip her richtig. Nur musst du darauf achten, daß -A (für Append) die Regel am Schluss anhängt. Dh, falls vorher eine Regel für SYN-Pakete diese ablehnt, erreicht das Paket die Quake-Regel gar nicht. Der Port ist übrigens 26000 (quake) und gilt für tcp und udp (also beide Protokolle eintragen).
_________________
--
Wie funktioniert Routing? www.e-bits.de
 
Benutzer-Profile anzeigen Private Nachricht senden

krizz
Gast





BeitragVerfasst am: 14. Jan 2002 14:14   Titel: Re: ipchains , aber eins verstehe ich nicht

Also so in etwa müsste es bei mir zuhause aussehen..ich häng ganz unten die regeln für quake drann(/etc/sysconfig/iptables)
eth1 ist mein internes Netz ....eth0 internet

:input ACCEPT
:forward ACCEPT
-A forward -p all -j ACCEPT
:output ACCEPT
-A input -s 0/0 -d 0/0 80 -p tcp -y -j ACCEPT
-A input -s 0/0 -d 0/0 22 -p tcp -y -j ACCEPT
-A input -s 0/0 67:68 -d 0/0 67:68 -p udp -i eth0 -j ACCEPT
-A input -s 0/0 67:68 -d 0/0 67:68 -p udp -i eth1 -j ACCEPT
-A input -s 0/0 -d 0/0 -i lo -j ACCEPT
-A input -s 0/0 -d 0/0 -i eth1 -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 0:1023 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 2049 -y -j REJECT
-A input -p udp -s 0/0 -d 0/0 0:1023 -j REJECT
-A input -p udp -s 0/0 -d 0/0 2049 -j REJECT
-A input -p tcp -s 0/0 -d 0/0 6000:6009 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 7100 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 26000 -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 26000 -y -j ACCEPT

Was ich nicht verstehe ist....sperrt die firewall generell erstmal alle ports?? und ich mache mit iptables die auf die ich brauche? Wenn es so ist, weisst du wo er bei RH7.2 alles sperrt??

Was währe, wenn ich GARKEINE Regel hier reinschreibe??? sondern nur das FORWARDING lasse??
 

krizz
Gast





BeitragVerfasst am: 14. Jan 2002 14:17   Titel: Re: ipchains , aber eins verstehe ich nicht

die letzte zeile muss natürlich udp sein )
 

krizz
Gast





BeitragVerfasst am: 14. Jan 2002 14:20   Titel: Re: ipchains , aber eins verstehe ich nicht

SORRY ....nicht iptables sondern IPCHAINS ....bin etwas durchn wind stressig heute hier
 

krizz
Gast





BeitragVerfasst am: 14. Jan 2002 14:22   Titel: Re: ipchains , aber eins verstehe ich nicht

JETZT REICHTS..hier die richtige Version

Also so in etwa müsste es bei mir zuhause aussehen..ich häng ganz unten die regeln für quake drann(/etc/sysconfig/iptchains)


eth1 ist mein internes Netz ....eth0 internet


:input ACCEPT
:forward ACCEPT
-A forward -p all -j MASQ
:output ACCEPT
-A input -s 0/0 -d 0/0 80 -p tcp -y -j ACCEPT
-A input -s 0/0 -d 0/0 22 -p tcp -y -j ACCEPT
-A input -s 0/0 67:68 -d 0/0 67:68 -p udp -i eth0 -j ACCEPT
-A input -s 0/0 67:68 -d 0/0 67:68 -p udp -i eth1 -j ACCEPT
-A input -s 0/0 -d 0/0 -i lo -j ACCEPT
-A input -s 0/0 -d 0/0 -i eth1 -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 0:1023 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 2049 -y -j REJECT
-A input -p udp -s 0/0 -d 0/0 0:1023 -j REJECT
-A input -p udp -s 0/0 -d 0/0 2049 -j REJECT
-A input -p tcp -s 0/0 -d 0/0 6000:6009 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 7100 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 26000 -y -j ACCEPT
-A input -p udp -s 0/0 -d 0/0 26000 -y -j ACCEPT

Was ich nicht verstehe ist....sperrt die firewall generell erstmal alle ports?? und ich mache mit ipchains die auf die ich brauche? Wenn es so ist, weisst du wo er bei RH7.2 alles sperrt??

Was währe, wenn ich GARKEINE Regel hier reinschreibe??? sondern nur das FORWARDING lasse??
 

trinity



Anmeldungsdatum: 12.10.2001
Beiträge: 821

BeitragVerfasst am: 14. Jan 2002 16:03   Titel: Re: ipchains , aber eins verstehe ich nicht

Was _ich_ mich bei deinen Regeln Frage ist:
was sind das für merkwürdige Zeilen:
:input ACCEPT
:forward ACCEPT
:output ACCEPT

Deine Regeln finde ich persönlich sehr interessant, du gibst HTTP, SSH und DHCP für externe frei, und sperrst danach Ports auf denen i.d. R. eh nicht läuft?
_________________
"Korrekt, Freundlich, Kostenfrei", wähle genau zwei. (Lutz Donnerhacke in dcsf)
 
Benutzer-Profile anzeigen Private Nachricht senden

krizz
Gast





BeitragVerfasst am: 14. Jan 2002 16:05   Titel: Re: ipchains , aber eins verstehe ich nicht

Ich raff es halt nicht...diese Zeilen mit :input Accept , die standen schon drinn in der ipchains bei redhat7.2......

und die anderen zeilen hat auch der firewallconfig von redhat erzeugt....

meine zeilen sind nur das forwarding und die beiden dinger mit quake.....

deswegen meine frage, was währe wenn ich garnix reinschreibe....
 

slartibartfas



Anmeldungsdatum: 02.06.2000
Beiträge: 38

BeitragVerfasst am: 14. Jan 2002 17:27   Titel: Re: ipchains , aber eins verstehe ich nicht

Du hast vollkommen recht. Wenn die Zeilen so stimmen, wie sie da stehen, hätte es auch vorher funtionieren müssen. Wie gesagt, probiere einmal 'ipchains -v -L' und poste die Ausgabe hier mal. Übrigens geben die ersten Zeilen vermutlich die DefaultPolicy der chains an.
_________________
--
Wie funktioniert Routing? www.e-bits.de
 
Benutzer-Profile anzeigen Private Nachricht senden

trinity



Anmeldungsdatum: 12.10.2001
Beiträge: 821

BeitragVerfasst am: 14. Jan 2002 17:40   Titel: Re: ipchains , aber eins verstehe ich nicht

@Slartibartfas
>Übrigens geben die ersten Zeilen vermutlich die DefaultPolicy der chains an.

Das Problem ist nur, das ist eine Vermutung. Es sind auf jeden Fall _keine_ gültigen ipchains Befehle. Genauso wenig wie die anderen. Ich Tippe eher auf ein Script, welches diese Datei auswertet. Trotzdem macht das Script so IMHO wenig Sinn.
Also warten wir mal auf die Ausgabe des ipchains Befehls
_________________
"Korrekt, Freundlich, Kostenfrei", wähle genau zwei. (Lutz Donnerhacke in dcsf)
 
Benutzer-Profile anzeigen Private Nachricht senden

krizz
Gast





BeitragVerfasst am: 14. Jan 2002 18:28   Titel: Re: ipchains , aber eins verstehe ich nicht

Ich geb bald auf (((

Chain input (policy ACCEPT: 1 packets, 34 bytes):
pkts bytes target prot opt tosa tosx ifname mark outsize source destination ports
0 0 ACCEPT udp ------ 0xFF 0x00 any frnk.dnscache.mediaways.net anywhere domain -> any
22 1781 ACCEPT udp ------ 0xFF 0x00 any gtso1.dnscache.mediaways.net anywhere domain -> any
4 336 ACCEPT all ------ 0xFF 0x00 lo anywhere anywhere n/a
35 2375 ACCEPT all ------ 0xFF 0x00 eth1 anywhere anywhere n/a
155 102K ACCEPT all ------ 0xFF 0x00 ppp0 anywhere anywhere n/a
0 0 ACCEPT tcp -y---- 0xFF 0x00 any anywhere anywhere any -> 0:1023
0 0 ACCEPT tcp -y---- 0xFF 0x00 any anywhere anywhere any -> nfs
0 0 ACCEPT udp ------ 0xFF 0x00 any anywhere anywhere any -> 0:1023
0 0 ACCEPT udp ------ 0xFF 0x00 any anywhere anywhere any -> nfs
0 0 ACCEPT tcp -y---- 0xFF 0x00 any anywhere anywhere any -> x11:6009
0 0 ACCEPT tcp -y---- 0xFF 0x00 any anywhere anywhere any -> xfs
Chain forward (policy ACCEPT: 27 packets, 1872 bytes):
Chain output (policy ACCEPT: 844 packets, 74765 bytes):
 

Beiträge vom vorherigen Thema anzeigen:   
     Pro-Linux Foren-Übersicht -> Netzwerk Alle Zeiten sind GMT + 1 Stunde
Gehen Sie zu Seite 1, 2, 3  Weiter
Seite 1 von 3

 
Gehen Sie zu:  

Powered by phpBB © phpBB Group
pro_linux Theme © 2004 by Mandaxy