खुलने वाले बंदरगाहों के साथ भी सभी ट्रैफ़िक को रोकने वाले iptables

Question

सरल रूप में मैं इसे रख सकता हूं: मैं अपने सर्वर को डिफ़ॉल्ट नियमों के साथ सक्षम iptables के साथ एक्सेस नहीं कर सकता। एक्सेस पाने के लिए iptables को डिसेबल करना होगा। कारण खोजने की कोशिश की जा रही है। केवल सेटअप प्रकार में अंतर परत 2 के बजाय लेयर 3 स्विच है, लेकिन किसी भी तरह से लेयर 3 स्विच को कॉन्फ़िगर नहीं किया है, फिर आईपी रूटिंग को सक्षम करना (किसी भी वीएलएएन पर कोई टैगिंग / अनटैगिंग नहीं किया गया है)। अगर मुझे समझ में आया कि पैकेट को क्यों अवरुद्ध किया जा रहा है, तो मैं निश्चित रूप से अपना प्रश्न साफ़ करने की कोशिश करूँगा! ;)

मामले पर अधिक जानकारी:

एक नया न्यूनतम CentOS 6.5 स्थापित और iptables के साथ एक समस्या होने। यह एक नया डेटासेंटर स्थान है जिसे मैं कुछ सर्वरों को ऑनलाइन लाने के लिए तैयार करने की कोशिश कर रहा हूं, लेकिन अभी तक नहीं कर सका। iptables वैध पैकेटों को गिराता हुआ प्रतीत होता है, जब तक कि उस विशिष्ट IP के माध्यम से अनुमति देने के लिए कोई विशिष्ट नियम लागू न हो (किसी अन्य सर्वर के लिए आदर्श नहीं)। हम OpenVZ का उपयोग करते हैं और VPS नोड के भीतर cPanel, साथ ही csf फ़ायरवॉल स्थापित करते हैं। सभी सेटिंग्स नोड पर सही ढंग से कॉन्फ़िगर की गई हैं, अन्य डेटाटैन्सर में मेरे अन्य काम करने वाले सर्वरों के समान, इसलिए इसका आईपाइबेट मॉड्यूल समस्या नहीं है।

अतीत में बिना किसी समस्या के अन्य सर्वर के बहुत सारे सेटअप होने के बाद, अन्य डीसी में, केवल अंतर यहाँ (निश्चित रूप से) अलग आईएसपी है, और यह भी तथ्य है कि मैं एक लेयर के बजाय एक लेयर 3 स्विच (बायस्टैक 5510) का उपयोग कर रहा हूं। 2 स्विच करें। मुझे यकीन नहीं है कि यह इस मुद्दे का कारण है या नहीं, आईएसपी कनेक्शन से सीधे जुड़ा हुआ परीक्षण कल जब मेरे पास पहुंच है।

क्या यह मेरी लेयर 3 स्विच के अनुचित सेटअप के साथ हो सकता है? मूल रूप से मेरे पास आईएसपी की ईथरनेट केबल है जो पोर्ट 48 से जुड़ी है, और मेरा सर्वर पोर्ट 1 और 2 (बंधन 0) से जुड़ा है, बस डिफ़ॉल्ट eth0 का भी उपयोग करने की कोशिश की गई है। डिफ़ॉल्ट कॉन्फ़िगरेशन, केवल अंतर यह है कि मेरे पास आईपी रूटिंग सक्षम है ताकि मैं बाद में अन्य आईपी सबनेट को जोड़ सकूं। मैंने कोई टैगिंग / अनटैगिंग सेट नहीं किया था, जिसे अब मैं थोड़ा सा पढ़ रहा हूं, लेकिन क्या ऐसा हो सकता है कि इन पैकेटों को फ्लैग / ड्रॉप करने के लिए iptables हो?

यह एक मूल स्थापित है जो डिफ़ॉल्ट CentOS iptables नियमों के साथ पैकेट को अवरुद्ध करता हुआ प्रतीत होता है, या कम से कम जब मैंने OpenVZ कर्नेल पर स्विच किया, तो भौतिक पहुँच प्राप्त करने के लिए DC को ड्राइव करना पड़ा और 'सेवा iptables रोकें' और 'chovconfig iptables' को बंद करना पड़ा। आगे की पहुँच खोने से रोकें।

मूल रूप से पोर्ट्स को iptables में खोला जाता है, लेकिन मैं अभी भी iptables चलाने वाले सर्वर तक पहुँच प्राप्त नहीं कर सकता। 2 severs, ताजा और न्यूनतम CentOS 6.5 स्थापित पर यह कोशिश की। मैंने इस प्रक्रिया के दौरान दोनों छोरों पर नेटवर्क के निशान को पकड़ने के लिए एक Wireshark & ​​tcpdump चलाया। यह पहला पैकेट है, जो पोर्ट 80 पर एक टीसीपी सत्र शुरू करने के लिए [SYN] पैकेट को अटेंड करता है, जिसे ipadables में खोला जाता है। इस पैकेट को एक उत्तर ([SYN ACK]) नहीं मिलता है, लेकिन इसके बजाय टीसीपी रिट्रांसमिशन के माध्यम से बार-बार जाता है, लेकिन यह सर्वर के अंत में प्राप्त होता है, लेकिन या तो TCP_IN अवरुद्ध या UDP या OUT, या अमान्य वॉलेट के साथ गिरा दिया जाता है:

ग्राहक पक्ष (मेरा पीसी): 77 4.434317000 192.168.2.244 SERVER-IP TCP 66 63866> http [SYN] Seq = 0 Win = 8192 Len = 0 MSS = 1460 WS = 4 SIN_PERM = 1

सर्वर साइड (सर्वर tcpdump) 1 0.000000 MY-ISP-IP SERVER-IP TCP 68 61992> http [SYN] Seq = 0 Win = 8192 Len = 0 MSS = 1452 WS = 4 SACKPERM = 1

यहां अमान्य पैकेट है: कर्नेल: [16708.550424] फ़ायरवॉल: INVALID IN = venet0 OUT = MAC = SRC = MYIP DST = SERVERIP LEN = 48-24 = 0x00 PREC = 0x00 TTL = 112 ID = 12281 DF PROTO = TCP SPT = 60992 DPT =। 80 खिड़की = 8192 आरईएस = 0x00 SYN URGP = 0

यहां एक अवरुद्ध पोर्ट 21 (खोला गया) पैकेट: कर्नेल: [20604.837769] फ़ायरवॉल: TCP_IN अवरुद्ध में = venet0 OUT = MAC = SRC = MYIP DST = SERVERIP LEN / 48 टीओएस = 0x00 PREC = 0x00 TTL = 112 ID = 15851 DF PROTO = TCP SPT = 61742 DPT = 21 खिड़की = 8192 RES = 0x00 SYN URGP = 0

Answer 1

यह आपके OpenVZ कॉन्फ़िगरेशन में एक समस्या की तरह दिखता है, मुख्य रूप से stateनेटफिल्टर की सुविधा से संबंधित है ।

सुनिश्चित करें कि आपके में /etc/vz/vz.conf, IPTABLES_MODULEसमाहित है ipt_state। यह vzctl के पुराने संस्करणों के लिए महत्वपूर्ण है, लेकिन क्षमा से बेहतर होना चाहिए:

## IPv4 iptables kernel modules to be enabled in CTs by default
IPTABLES="ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length ipt_state"
## IPv4 iptables kernel modules to be loaded by init.d/vz script
IPTABLES_MODULES="$IPTABLES"

साथ ही, आपके प्रत्येक में /etc/vz/conf/*.conf, यदि NETFILTERसमर्थित है, तो इसे statefulनिम्न पर सेट किया जाना चाहिए :

NETFILTER="stateful"

इस नए NETFILTERकॉन्फ़िगरेशन पैरामीटर को हाल ही में जोड़ा गया है। हो सकता है कि आपने इसे कहीं और नहीं सुना हो। आप यहां कमिट देख सकते हैं ।

Comments

बहुत बहुत शुक्रिया !! यह तय था! मुझे पता था कि मैं विशेष रूप से कुछ भी गलत नहीं कर रहा हूं क्योंकि मैंने एक समान फैशन में कई टन सर्वर स्थापित किए हैं। मुझे यह बताने के लिए धन्यवाद :) वह निश्चित रूप से काफी नया है!

— 86jbtsr