Remote ssh access

Quote:

---

Originally Posted by Corvus

Âîò ÷òî ãîâîðèò iptables -L INPUT -vn

Code:

---

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 
  34  3076 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0          state INVALID
27147 2454K ACCEPT    all  --  *      *      0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
  188 11280 ACCEPT    all  --  lo    *      0.0.0.0/0            0.0.0.0/0          state NEW
 1129  385K ACCEPT    all  --  br0    *      0.0.0.0/0            0.0.0.0/0          state NEW
  31  868 ACCEPT    2    --  *      *      0.0.0.0/0            224.0.0.0/4
    0    0 ACCEPT    udp  --  *      *      0.0.0.0/0            224.0.0.0/4        udp dpt:!1900
 1850  233K DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0
    0    0 FTPSCAN    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:21

---

Äîñòóïà, ñîîòâåòñòâåííî, ê FTP íåò. Ïîðò â òàéìàóòå. Äðóçüÿ, êóäà êîïàòü :confused:

---

âûäåëåííîå æèðíûì ïðàâèëî íå ïðîïóñêàåò íè÷åãî çà ñåáÿ. Òàê ÷òî ïðîâåðêà íà ðàçðåøåííîñòü ftp äîëæíà áûòü âñòàâëåíà ïåðåä íèì

Quote:

---

Originally Posted by al37919

âûäåëåííîå æèðíûì ïðàâèëî íå ïðîïóñêàåò íè÷åãî çà ñåáÿ. Òàê ÷òî ïðîâåðêà íà ðàçðåøåííîñòü ftp äîëæíà áûòü âñòàâëåíà ïåðåä íèì

---

al37919, ÑÏÀÑÈÁÎ çà íàâîäêó! Ïðîçåâàë ñòðî÷êó. Î÷èùåíèå öåïî÷êè INPUT áûëî çàêîìåíòèðîâàíî è ðîóòåð, âèäèìî, âòûêàë ñâîå, êàêîå-òî "óìîë÷àëüíîå", DROP-ïðàâèëî ïåðåä ðàçðåøàþùèì äëÿ FTP.

Quote:

---

Originally Posted by Mam(O)n

Åñëè óæ î÷åíü îõîòà (â öåëÿõ îïòèìèçàöèè) äîáàâèòü ïðàâèëî â êîíåö öåïî÷êè (-A) òîãäà:

Code:

---

# Óñòàíàâëèâàåì äåéñòâèå ïî-óìîë÷àíèþ(DROP èëè ACCEPT), êîòîðîå áóäåò âûïîëíåíî ïðè äîñòèæåíèè êîíöà öåïî÷êè. Ïî-äåôîëòó ñòîèò ACCEPT.
iptables -P INPUT DROP
# Óäàëÿåì ïîñëåäíåå ïðàâèëî â öåïî÷êå, êîòîðîå äðîïàåò ïàêåòû.
iptables -D INPUT -j DROP
# Äîáàâëÿåì â êîíåö öåïî÷êè ïðàâèëî, ðàçðåøàþùåå âõîäÿùèå tcp ïàêåòû íà 1555 ïîðò
iptables -A INPUT -p tcp --dport 1555 -j ACCEPT

---

---

Åñëè ìû óäàëÿåì ïîñëåäíåå ïðàâèëî â öåïî÷êå, êîòîðîå äðîïàåò ïàêåòû, òî íå ñîçäàñò ëè ýòî "äûðêó" â ôàåðâîëå ÷åðåç êîòîðóþ áóäóò ïðîíèêàòü íåæåëàòåëüíûå ïàêåòû?

Quote:

---

Originally Posted by Asgard

Åñëè ìû óäàëÿåì ïîñëåäíåå ïðàâèëî â öåïî÷êå, êîòîðîå äðîïàåò ïàêåòû, òî íå ñîçäàñò ëè ýòî "äûðêó" â ôàåðâîëå ÷åðåç êîòîðóþ áóäóò ïðîíèêàòü íåæåëàòåëüíûå ïàêåòû?

---

Íå ñîçäàñò. Ïðî÷èòàéòå âíèìàòåëüíî äâå ñòðî÷êè âûøå:

Quote:

---

Originally Posted by Mam(O)n

Code:

---

# Óñòàíàâëèâàåì äåéñòâèå ïî-óìîë÷àíèþ(DROP èëè ACCEPT), êîòîðîå áóäåò âûïîëíåíî ïðè äîñòèæåíèè êîíöà öåïî÷êè. Ïî-äåôîëòó ñòîèò ACCEPT.
iptables -P INPUT DROP
# Óäàëÿåì ïîñëåäíåå ïðàâèëî â öåïî÷êå, êîòîðîå äðîïàåò ïàêåòû.
iptables -D INPUT -j DROP
# Äîáàâëÿåì â êîíåö öåïî÷êè ïðàâèëî, ðàçðåøàþùåå âõîäÿùèå tcp ïàêåòû íà 1555 ïîðò
iptables -A INPUT -p tcp --dport 1555 -j ACCEPT

---

---

Íåäàâíî íà ìîåì WL-500w ïðîèçîøåë ïðîãðàììíûé ñáîé - ïðèõîäèòñÿ ïåðåíàñòðàèâàòü. Âîò è äåëî äîøëî è äî SSH. Âñå íàñòðîèë áåç ïðîáëåì áëàãîäàðÿ äîõîä÷èâûì ïîÿñíåíèÿì çíàòîêîâ â ýòîé âåòêå, çà ÷òî áîëüøîå èì ñïàñèáî. Äîáàâèë â post-firewall ÷àñòü êîäà äëÿ êîíòðîëÿ ïîïûòîê çàëîãèíèòüñÿ íà ñåðâåð SSH â ñîîòâåòñòâèè ñ ñîîáùåíèåì al37919. Âðîäå, ðàáîòàåò âñå èñïðàâíî. Ïî êðàéíåé ìåðå, ìåíÿ ïóñêàåò íà ìîé ìàðøðóòèçàòîð ñ äðóãèõ êîìïüþòåðîâ ÷åðåç èíòåðíåò. Òàêæå ÿ óñòàíîâèë syslog-ng äëÿ ïóùåé èíôîðìàòèâíîñòè ëîãîâ. Ïåðèîäè÷åñêè íàáëþäàþ ïîïûòêè çàëîãèíèòüñÿ íà ìîåì ñåðâåðå SSH, ïîêà áåçóñïåøíûå. Òîëüêî ïî÷åìó-òî íå âûâîäèòñÿ IP-àäðåñ "ïëîõîãî ïàðíÿ". Âûâîä â òàêîì ôîðìàòå:

Code:

---

21:46:14 09-09-2010 (info|authpriv|dropbear) dropbear[770]: exit before auth: Exited normally

---

Ðàíüøå, äî ñáîÿ, ÿ ïîìíþ, ÷òî àäðåñ âûâîäèëñÿ â ëîã.

Âñå ìîè äåéñòâèÿ àâòîðèçàöèè íà ñåðâåðå SSH è âûõîäå ñ íåãî ëîãèðóþòñÿ íîðìàëüíî - ëîã â ïîëíîì îáúåìå, ñ IP-àäðåñîì.

Ïðîøèâêà óñòàíîâëåíà WL500W-1.9.2.7-d-r1825.trx, SSH âñòðîåí â ïðîøèâêó, çàïóùåí íà íåñòàíäàðòíîì ïîðòó (ñêàæåì, 12345).  âåá-èíòåðôåéñå îòêëþ÷åíà çàùèòà îò ëîáîâîé àòàêè.

Âûâîä iptables (MAC-àäðåñà çàìåíåíû íà ôèêòèâíûå, IP-àäðåñ ìàðøðóòèçàòîðà òîæå - 999.999.999.999, íà ïåðèîä íàñòðîéêè ìàðùðóòèçàòîðà îòêðûò äîñòóï ê âåá-èíòåðôåéñó èç èíòåðíåò ÷åðåç ïîðò 55555):

Code:

---

IP Tables

Chain INPUT (policy DROP 51213 packets, 4185K bytes)
 pkts bytes target    prot opt in    out    source              destination       
11381  884K MACS      all  --  br0    *      0.0.0.0/0            0.0.0.0/0         
  320 31078 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0          state INVALID
64322  45M ACCEPT    all  --  *      *      0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
  90  5664 ACCEPT    all  --  lo    *      0.0.0.0/0            0.0.0.0/0          state NEW
 5685  400K ACCEPT    all  --  br0    *      0.0.0.0/0            0.0.0.0/0          state NEW
66497 5262K SECURITY  all  --  eth1  *      0.0.0.0/0            0.0.0.0/0          state NEW
    4  192 ACCEPT    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:12345 flags:0x17/0x02
  100  4800 ACCEPT    tcp  --  *      *      0.0.0.0/0            192.168.1.1        tcp dpt:80
    0    0 SSH_EVAL  tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:12345

Chain FORWARD (policy ACCEPT 192K packets, 16M bytes)
 pkts bytes target    prot opt in    out    source              destination       
  27M  23G MACS      all  --  br0    *      0.0.0.0/0            0.0.0.0/0         
12483  630K ACCEPT    all  --  br0    br0    0.0.0.0/0            0.0.0.0/0         
    0    0 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0          state INVALID
  37M  24G ACCEPT    all  --  *      *      0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
    0    0 DROP      all  --  !br0  eth1    0.0.0.0/0            0.0.0.0/0         
45043 2277K SECURITY  all  --  !br0  *      0.0.0.0/0            0.0.0.0/0          state NEW
13851  696K ACCEPT    all  --  *      *      0.0.0.0/0            0.0.0.0/0          ctstate DNAT
    0    0 DROP      all  --  *      br0    0.0.0.0/0            0.0.0.0/0         

Chain OUTPUT (policy ACCEPT 60421 packets, 51M bytes)
 pkts bytes target    prot opt in    out    source              destination       

Chain BRUTE (0 references)
 pkts bytes target    prot opt in    out    source              destination       

Chain MACS (2 references)
 pkts bytes target    prot opt in    out    source              destination       
  27M  23G RETURN    all  --  *      *      0.0.0.0/0            0.0.0.0/0          MAC 11:11:11:11:11:11
  201  106K RETURN    all  --  *      *      0.0.0.0/0            0.0.0.0/0          MAC 22:22:22:22:22:22
    0    0 RETURN    all  --  *      *      0.0.0.0/0            0.0.0.0/0          MAC 33:33:33:33:33:33
59997 4781K RETURN    all  --  *      *      0.0.0.0/0            0.0.0.0/0          MAC 44:44:44:44:44:44
    0    0 RETURN    all  --  *      *      0.0.0.0/0            0.0.0.0/0          MAC 55:55:55:55:55:55
    0    0 RETURN    all  --  *      *      0.0.0.0/0            0.0.0.0/0          MAC 66:66:66:66:66:66
    0    0 RETURN    all  --  *      *      0.0.0.0/0            0.0.0.0/0          MAC 77:77:77:77:77:77
    0    0 RETURN    all  --  *      *      0.0.0.0/0            0.0.0.0/0          MAC 88:88:88:88:88:88
    2  658 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0         

Chain SECURITY (2 references)
 pkts bytes target    prot opt in    out    source              destination       
13724  693K RETURN    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp flags:0x17/0x02 limit: avg 1/sec burst 5
  338 13520 RETURN    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp flags:0x17/0x04 limit: avg 1/sec burst 5
51099 4179K RETURN    udp  --  *      *      0.0.0.0/0            0.0.0.0/0          limit: avg 5/sec burst 5
    7  464 RETURN    icmp --  *      *      0.0.0.0/0            0.0.0.0/0          limit: avg 5/sec burst 5
46372 2653K DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0         

Chain SSH_EVAL (1 references)
 pkts bytes target    prot opt in    out    source              destination       
    0    0            tcp  --  !br0  *      0.0.0.0/0            0.0.0.0/0          state NEW tcp dpt:12345 recent: SET name: SSH_ATTACKER side: source
    0    0 DROP      tcp  --  !br0  *      0.0.0.0/0            0.0.0.0/0          state NEW tcp dpt:12345 recent: UPDATE seconds: 600 hit_count: 4 name: SSH_ATTACKER side: source
    0    0 ACCEPT    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:12345 flags:0x17/0x02

Chain logaccept (0 references)
 pkts bytes target    prot opt in    out    source              destination       
    0    0 LOG        all  --  *      *      0.0.0.0/0            0.0.0.0/0          state NEW LOG flags 7 level 4 prefix `ACCEPT '
    0    0 ACCEPT    all  --  *      *      0.0.0.0/0            0.0.0.0/0         

Chain logdrop (0 references)
 pkts bytes target    prot opt in    out    source              destination       
    0    0 LOG        all  --  *      *      0.0.0.0/0            0.0.0.0/0          state NEW LOG flags 7 level 4 prefix `DROP '
    0    0 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0         


IP Tables NAT

Chain PREROUTING (policy ACCEPT 277K packets, 26M bytes)
 pkts bytes target    prot opt in    out    source              destination       
 107K 6710K VSERVER    all  --  *      *      0.0.0.0/0            999.999.999.999     

Chain POSTROUTING (policy ACCEPT 15273 packets, 793K bytes)
 pkts bytes target    prot opt in    out    source              destination       
 1584 78569 SNAT      all  --  *      br0    192.168.1.0/28      192.168.1.0/28      to:192.168.1.1
 113K  11M SNAT      all  --  *      eth1  !999.999.999.999      0.0.0.0/0          to:999.999.999.999

Chain OUTPUT (policy ACCEPT 1903 packets, 125K bytes)
 pkts bytes target    prot opt in    out    source              destination       

Chain VSERVER (1 references)
 pkts bytes target    prot opt in    out    source              destination       
  513 24624 DNAT      tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:55555 to:192.168.1.1:80
46132 2328K DNAT      tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:61157 to:192.168.1.3:61157
    0    0 DNAT      tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:10308 to:192.168.1.3:10308
    0    0 DNAT      udp  --  *      *      0.0.0.0/0            0.0.0.0/0          udp dpt:2302 to:192.168.1.3:2302

---

Ôàéë /proc/net/ipt_recent/SSH_ATTACKER âñåãäà ïóñò. Õîòÿ äàòà åãî ìîäèôèêàöèè ïîñòîÿííî îáíîâëÿåòñÿ.

 ïðåäûäóùåì ñîîáùåíèè âñå íå ïîìåñòèëîñü, ïðîäîëæó â ýòîì.

post-firewall âûãëÿäèò òàê:

Code:

---

#!/bin/sh

PATH=/sbin:/bin:/usr/sbin:usr/bin:/opt/sbin:/opt/bin:/opt/local/bin

logger "post-firewall started"

#this rule can be uncommented for the testing period
#iptables -A INPUT -p tcp --syn --dport 2222 -j ACCEPT

# set default policy
iptables -P INPUT DROP

# remove last default rule
iptables -D INPUT -j DROP

# ***ssh subsection begin***
SSH_PORT=12345
SSH_ALLOW=/usr/local/etc/ssh.allow
SSH_DENY=/usr/local/etc/ssh.deny

# Create a new SSH_EVAL chain which will evaluate incoming connections to ssh server from WAN
iptables -N SSH_EVAL

# Transfer all ssh connections to the SSH_EVAL chain
iptables -A INPUT -p tcp --dport $SSH_PORT -j SSH_EVAL

# Evaluate incoming ssh connections through ssh.allow and ssh.deny lists
for i in `awk '{print $1}' $SSH_ALLOW`
do
    iptables -A SSH_EVAL -p tcp --syn -s $i --dport $SSH_PORT -j ACCEPT
done
for i in `awk '{print $1}' $SSH_DENY`
do
    iptables -A SSH_EVAL -p tcp --syn -s $i --dport $SSH_PORT -j DROP
done

# Block annoying intruder's attemtps (after --hitcount connections occured, wait --seconds after the last connection attempt)
# Remember, that both successful and unsuccessful connections are counted
iptables -A SSH_EVAL -i ! $3 -p tcp -m state --state NEW --dport $SSH_PORT -m recent --set --name SSH_ATTACKER --rsource
iptables -A SSH_EVAL -i ! $3 -p tcp -m state --state NEW --dport $SSH_PORT -m recent --update --seconds 600 --hitcount 4 --name SSH_ATTACKER --rsource -j DROP

# Accept the rest of ssh connections which were able to pass through the filtering
iptables -A SSH_EVAL -p tcp --syn --dport $SSH_PORT -j ACCEPT
# ***ssh subsection end***

# Low PPTP speed fix
iptables -t nat -nvL POSTROUTING | grep MASQUERADE | awk '{
    "ifconfig "$7" | grep Mask" | getline ip;
    split(ip,ip,":"); split(ip[2],ip," ");
    split($8,src,"!");
    if (src[1]=="") {src="! -s "src[2]} else {src="-s "src[1]};
    if ($9=="0.0.0.0/0") {dst=""} else {dst="-d "$9};
    system("iptables -t nat -A POSTROUTING -o "$7" "src" "dst" -j SNAT --to-source "ip[1]);
    system("iptables -t nat -D POSTROUTING -o "$7" "src" "dst" -j MASQUERADE");
}'

---

Ñîáñòâåííî, ìåíÿ íå íàïðÿãàåò îòñóòñòâèå â ëîãàõ IP-àäðåñà àòàêóþùåãî. Íî äëÿ ïîëíîòû êàðòèíû íå ïîìåøàåò. Òåì áîëåå, ÷òî ðàíüøå âñå ðàáîòàëî. Ê òîìó æå, âîçìîæíî, ýòî ÿâëÿåòñÿ ïðèçíàêîì íåïðàâèëüíûõ íàñòðîåê â iptables èëè åùå ãäå.

Íå ïîäñêàæóò ëè óâàæàåìûå çíàòîêè, ãäå êîïàòü? Åñëè âîïðîñ óæå îáñóæäàëñÿ, ïîäñêàæèòå, ïîæàëóéñòà, ãäå ñìîòðåòü, ñàì íå íàøåë.

Ïî÷åìó-òî ïðè èñïîëüçîâàíèè ýòîãî ñêðèïòà (post-firewall) uTorrent íå ìîæåò ïðèíèìàòü âõîäÿùèå ïîäêëþ÷åíèÿ, âñòðîåííàÿ ïðîâåðêà ãîâîðèòü, ÷òî ïîðò çàêðûò.

Ïîìîãèòå ïîæàëóéñòà ðàçîáðàòüñÿ: ÷òî îçíà÷àþò ñòðîêè
grep -q -- '--dport 0\b' /tmp/nat_rules && grep -v -- '--dport 0\b' /tmp/nat_rules | iptables-restore
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

è íå ìîæåò ëè áûòü ïðîáëåìà â òîì, ÷òî ìû îáíóëÿåì âñå ïðàâèëà ïåðâûìè äâóìÿ ñòðî÷êàìè ñêðèïòà?

Çàðàíåå áîëüøîå ñïàñèáî!

Quote:

---

Originally Posted by al37919

iptables -P INPUT DROP
iptables -D INPUT -j DROP
SSH_PORT=22
SSH_ALLOW=/usr/local/etc/ssh.allow
SSH_DENY=/usr/local/etc/ssh.deny
ssh server from WAN
iptables -N SSH_EVAL
iptables -A INPUT -p tcp --dport $SSH_PORT -j SSH_EVAL
for i in `awk '{print $1}' $SSH_ALLOW`
do
iptables -A SSH_EVAL -p tcp --syn -s $i --dport $SSH_PORT -j ACCEPT
done
for i in `awk '{print $1}' $SSH_DENY`
do
iptables -A SSH_EVAL -p tcp --syn -s $i --dport $SSH_PORT -j DROP
done

iptables -A SSH_EVAL -i ! $3 -p tcp -m state --state NEW --dport $SSH_PORT -m recent --set --name SSH_ATTACKER --rsource
iptables -A SSH_EVAL -i ! $3 -p tcp -m state --state NEW --dport $SSH_PORT -m recent --update --seconds 600 --hitcount 4 --name SSH_ATTACKER --rsource -j DROP

iptables -A SSH_EVAL -p tcp --syn --dport $SSH_PORT -j ACCEPT

grep -q -- '--dport 0\b' /tmp/nat_rules && grep -v -- '--dport 0\b' /tmp/nat_rules | iptables-restore
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

---

500 gpV2 ñ ïðîøèâêîé îò ýíòóçèàñòîâ 1.9.2.7-d-r1087.
íóæåí ìíå óäàëåííûé äîñòóï ñíàðóæè ïî SSH.
ðåãèñòðèðóþñü â dyndns - ðîóòåð èçâíå ïèíãóåòñÿ íîðìàëüíî.
âêëþ÷àþ â íåì SSH íà ïîðòó 443.
èäó íà nettols.ru, ïðîâåðÿþ - ãîâîðèò, ÷òî èçâíå ïîðò 443 çàêðûò.
âêëþ÷àþ íà ðîóòåðå äîñòóï ê web ìîðäå ïî 8080.
ïûòàþñü èçâíå â ãóãëõðîìå çàëåçòü íà http:// ìîéäèíäíñ:8080 - íåò îòâåòà îò ñåðâåðà.
÷òî è ãäå ïîäêðóòèòü ÷àéíèêó?
ñïàñèáî.

èñõîäíûå äàííûå:
wl500gp v.1 - 1.9.2.7-d-r2624
áåëûé äèíàìè÷åñêèé ip, îáðàùàþñü ÷åðåç DynDNS.
ssh ñëóøàåò ïîðò, íàïðèìåð, 57000.

ñ ðàáîòû (Win7 Ultimate, ñèæó çà ôðåé, âñå íàðóæó îòêðûòî) ïûòàþñü çàéòè íà ðîóòåð ñ ïîìîùüþ putty. ðàçðåøèë â âèíäîâîì ôàéðâîëëå putty, ïîäêëþ÷èëñÿ íà ïîðò, íàïðèìåð, 57000, íî ñïóòàë ëîãèí è çàêðûë åå.
ïîñëå ýòîãî ïðîáîâàë åùå ðàç äåñÿòü - íîëü ýôôåêòà, òàéìàóò ïîäêëþ÷åíèÿ.

äîáðàëñÿ äî äîìà, âèæó â ëîãàõ óäà÷íîå ïîäêëþ÷åíèå

Code:

---

Mar 30 10:27:54 dropbear[557]: Child connection from my_work_ip:55558
Mar 30 10:28:15 dropbear[557]: login attempt for nonexistent user from my_work_ip:55558
Mar 30 10:28:21 dropbear[557]: exit before auth: Exited normally

---

Âîïðîñ, â îáùåì, â ñëåäóþùåì - îòêóäà âçÿëñÿ ýòîò ëåâûé ïîðò, è ÷òî ÿ âîîáùå äåëàþ íå òàê?

Ñïàñèáî.

my_work_ip:55558 --- ýòî èñõîäÿùèé ïîðò
login attempt for nonexistent user from my_work_ip:55558 --- ýòî âïîëíå åñòåñòâåííûé îòëóï ïðè íåïðàâèëüíîì èìåíè ïîëüçîâàòåëÿ
exit before auth: Exited normally --- ýòî çàêðûòèå âòîðîé êîïèè dropbear, êîòîðàÿ ñîçäàåòñÿ íà êàæäîå íîâîå ñîåäèíåíèå.

 îáùåì, íåò ïðè÷èí äëÿ áåñïîêîéñòâà --- ñóäÿ ïî ïðèâåäåííîìó ëîãó ó âàñ âñå â àáàæóðå.

Quote:

---

Originally Posted by al37919

my_work_ip:55558 --- ýòî èñõîäÿùèé ïîðò
login attempt for nonexistent user from my_work_ip:55558 --- ýòî âïîëíå åñòåñòâåííûé îòëóï ïðè íåïðàâèëüíîì èìåíè ïîëüçîâàòåëÿ
exit before auth: Exited normally --- ýòî çàêðûòèå âòîðîé êîïèè dropbear, êîòîðàÿ ñîçäàåòñÿ íà êàæäîå íîâîå ñîåäèíåíèå.

 îáùåì, íåò ïðè÷èí äëÿ áåñïîêîéñòâà --- ñóäÿ ïî ïðèâåäåííîìó ëîãó ó âàñ âñå â àáàæóðå.

---

íå âñå, îäíàêî. putty ïåðåñòàë êîííåêòèòüñÿ (ïîäêëþ÷èëñÿ âñåãî îäèí ðàç) è îòâàëèâàåòñÿ ïî òàéìàóòó ñîåäèíåíèÿ. îäèí ðàç ñìîã è âñå.
ìîæåò èç îïûòà ïîäñêàæåòå ÷òî, à òî ÿ çà äâà äíÿ óæå ôðþ èçó÷èë, à òîëêó íåò, â ëîãàõ ðîóòåðà êîííåêòîâ íåò.

òå â ëîãå dropbear áîëüøå íå óïîìèíàëñÿ?
ïðè÷åì ïî âîçâðàùåíèè dropbear â çàïóùåííûõ ïðîöåññàõ ïðèñóòñòâîâàë?

÷òî ìîæíî ñäåëàòü:
1) åñëè ïîäîçðåíèÿ íà çàùèòó recent è ó ôðè àäðåñ ñòàòè÷åñêèé, òî åãî ìîæíî ïðîïèñàòü â áåëûé ñïèñîê (ôàéë /usr/local/etc/ssh.allow ). Òîãäà íà ýòîò àäðåñ/ïîäñåòü îíà íå ðàñïðîñòðàíÿåòñÿ
2) åñëè äåéñòâèòåëüíî ïàäàåò dropbear, òî ìîæíî â cron çàñóíóòü ÷òî-òî ïîäîáíîå äëÿ åãî ïåðåïîäúåìà ðàç ìèíóò â 5-10:

Code:

---

#! /bin/sh

# This script checks to make sure important
# processes are running (in case they crash).
# It also makes sure annoying or unwanted
# programs are not running.

# Based on:
# http://wl500g.info/showthread.php?t=2556

ensure()
{
  [ $ENSURE = "no" ] && exit
  name=$1
  cmd=$2
  [ -z "$2" ] && cmd="$name"
  running=`/bin/ps | grep "$name" | grep -v "grep"`
  if [ -z "$running" ]; then
    logger -t ensure-proc "$name: restarting"
    $cmd
  fi
}

ensure dropbear

---

3) Åñëè çàíèìàòüñÿ èññëåäîâàíèåì ïðîáëåìû ñâÿçàííîé ñ ôàéðâîëîì, òî æåëàòåëüíî ôèçè÷åñêè íàõîäèòüñÿ âíóòðè íåãî. Ò.å. äåëàåì êîííåêò íà ôðþ è ñ íåå ëîãèíèìñÿ îáðàòíî è èùåì ãäå è ïî÷åìó ÷òî-òî íå òàê.

Quote:

---

Originally Posted by al37919

òå â ëîãå dropbear áîëüøå íå óïîìèíàëñÿ?
ïðè÷åì ïî âîçâðàùåíèè dropbear â çàïóùåííûõ ïðîöåññàõ ïðèñóòñòâîâàë?

---

äà, è ïóñêàåò è èçíóòðè, è ñ ìîáèëêè. â ëîãå áîëüøå íåò åãî.

Quote:

---

Originally Posted by al37919

1) åñëè ïîäîçðåíèÿ íà çàùèòó recent è ó ôðè àäðåñ ñòàòè÷åñêèé, òî åãî ìîæíî ïðîïèñàòü â áåëûé ñïèñîê (ôàéë /usr/local/etc/ssh.allow ). Òîãäà íà ýòîò àäðåñ/ïîäñåòü îíà íå ðàñïðîñòðàíÿåòñÿ

---

çâàòðà îáÿçàòåëüíî ïîïðîáóþ è îòïèøóñü. îäíàêî, ïî÷åìó îäèí ðàç âñå-òàêè ïðîñêî÷èë êîííåêò, íåïîíÿòíî. ñëó÷èëîñü ýòî ïîñëå âíåñåíèÿ èñêëþ÷åíèÿ â âèíäîâûé ôàéðâîëë.

Quote:

---

Originally Posted by al37919

2) åñëè äåéñòâèòåëüíî ïàäàåò dropbear, òî ìîæíî â cron çàñóíóòü ÷òî-òî ïîäîáíîå äëÿ åãî ïåðåïîäúåìà ðàç ìèíóò â 5-10:

---

óâåðåí, ÷òî íå ïàäàåò, âñå ñòàáèëüíî.

Quote:

---

Originally Posted by al37919

3) Åñëè çàíèìàòüñÿ èññëåäîâàíèåì ïðîáëåìû ñâÿçàííîé ñ ôàéðâîëîì, òî æåëàòåëüíî ôèçè÷åñêè íàõîäèòüñÿ âíóòðè íåãî. Ò.å. äåëàåì êîííåêò íà ôðþ è ñ íåå ëîãèíèìñÿ îáðàòíî è èùåì ãäå è ïî÷åìó ÷òî-òî íå òàê.

---

äà, òî÷íî, âîò îá ýòîì êàê-òî è íå ïîäóìàë.

çàâòðà ïðîâåðþ, îòïèøóñü, ñïàñèáî.

 îáùåì, âñå îêàçàëîñü ïðîùå è äóðíåå.
Èç-çà ãëþ÷íîãî adsl èíòåðíåòà î÷åíü äîëãî ïðîèñõîäèò ñîåäèíåíèå, è putty óñïåâàåò îòâàëèòüñÿ ïî òàéìàóòó.

À òàê - âñå ðàáîòàåò.

Quote:

---

Originally Posted by DmitryZz

500 gpV2 ñ ïðîøèâêîé îò ýíòóçèàñòîâ 1.9.2.7-d-r1087.
íóæåí ìíå óäàëåííûé äîñòóï ñíàðóæè ïî SSH.
ðåãèñòðèðóþñü â dyndns - ðîóòåð èçâíå ïèíãóåòñÿ íîðìàëüíî.
âêëþ÷àþ â íåì SSH íà ïîðòó 443.
èäó íà nettols.ru, ïðîâåðÿþ - ãîâîðèò, ÷òî èçâíå ïîðò 443 çàêðûò.
âêëþ÷àþ íà ðîóòåðå äîñòóï ê web ìîðäå ïî 8080.
ïûòàþñü èçâíå â ãóãëõðîìå çàëåçòü íà http:// ìîéäèíäíñ:8080 - íåò îòâåòà îò ñåðâåðà.
÷òî è ãäå ïîäêðóòèòü ÷àéíèêó?
ñïàñèáî.

---

À çà÷åì âûáèðàòü ïîðò çàðåçåðâèðîâàííûé ïîä https? ïðîáóéòå ïîðòû âûøå 2000

Quote:

---

Originally Posted by TReX

À çà÷åì âûáèðàòü ïîðò çàðåçåðâèðîâàííûé ïîä https? ïðîáóéòå ïîðòû âûøå 2000

---

Àâòîð âîïðîñà íå óêàçàë, "áåëûé" ëè ó íåãî àäðåñ.
Ìîæåò îí ñîâñåì íå ðîóòåð ïèíãóåò.

Äîáðûé äåíü.

Çàìåòèë ñòàáèëüíîå çàâèñàíèå ðîóòåðà ïîñëå óäàëåííîãî ïîäêëþ÷åíèÿ ê íåìó ïî ssh. Ïðè÷åì âèñíåò "íàìåðòâî", òàê ÷òî ïîñëå íå èç ëîêàëêè, íå èç âíåøêè ê íåìó íåò äîñòóïà (íè web, íè ssh, íè wi-fi, íè dhcp ñ íåãî íå ðàáîòàþò). Òîëüêî ping èç ëîêàëêè îòâå÷àåò, åñëè ïîäêëþ÷èòüñÿ êàáåëåì è íàçíà÷èòü ip âðó÷íóþ. Ïîìîãàåò ïåðåäåðãèâàíèå ïèòàíèÿ.
Íå áûëî íè îäíîãî ðàçà ÷òîáû íå "ïîâèñ".  îñòàëüíûõ ñëó÷àÿõ ðàáîòàåò ñóòêè íàïðîëåò.

 ÷åì ìîæåò áûòü ïðè÷èíà?

P.S. Ïðîøèâêà - 1.9.2.7-rtn-r3121.

Óæå êàêîé äåíü áüþñü, íå ìîãó çàéòè èç âíå ïî ssh.
 âåá èíòåðôåéñå âñ¸ ÷òî ñâÿçàííî ñ ssh îòêëþ÷åíî.
Íàñòðîåíî ñîåäèíåíèå ddns ÷åðåç no-ip.com
Ïðîøèâêà ïîñëåäíÿÿ îò ýíòóçèàñòîâ. ðîóòåð wl-500gP

Code:

---

cat /tmp/local/sbin/post-boot
dropbear > /dev/null 2>&1


cat /tmp/local/sbin/post-firewall
iptables -P INPUT DROP
iptables -D INPUT -j DROP

#Èñïðàâëÿåì íèçêóþ ñêîðîñòü PPTP
iptables -t nat -nvL POSTROUTING | grep MASQUERADE | awk '{
"ifconfig "$7" | grep Mask" | getline ip;
split(ip,ip,":"); split(ip[2],ip," ");
split($8,src,"!");
if (src[1]=="") {src="! -s "src[2]} else {src="-s "src[1]};
if ($9=="0.0.0.0/0") {dst=""} else {dst="-d "$9};
system("iptables -t nat -A POSTROUTING -o "$7" "src" "dst" -j SNAT --to-source "ip[1]);
system("iptables -t nat -D POSTROUTING -o "$7" "src" "dst" -j MASQUERADE");
}'

# ***ssh subsection begin***
#iptables -t raw -A PREROUTING -p tcp --dport 22 -j DROP
iptables -A INPUT -p tcp --dport 22 -j DROP
iptables -t nat -A PREROUTING -p tcp --dport 56789 -j REDIRECT --to-ports 22
# ***ssh subsection end***
iptables -A INPUT -j DROP


iptables -L -vn
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:3128
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:443
0 0 ACCEPT all -- tun0 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:2613
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID
2620 516K ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 state NEW
166 51485 ACCEPT all -- br0 * 0.0.0.0/0 0.0.0.0/0 state NEW
0 0 SECURITY all -- ppp0 * 0.0.0.0/0 0.0.0.0/0 state NEW
57 8804 SECURITY all -- vlan1 * 0.0.0.0/0 0.0.0.0/0 state NEW
14 5190 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:67 dpt:68
0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
40 3530 DROP all -- * * 0.0.0.0/0 0.0.0.0/0

iptables -t nat -nvL PREROUTING
Chain PREROUTING (policy ACCEPT 34 packets, 2597 bytes)
pkts bytes target prot opt in out source destination
0 0 DNAT tcp -- eth1 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:2613 to:192.168.25.1:2613
4 251 VSERVER all -- * * 0.0.0.0/0 94.24.196.21
0 0 VSERVER all -- * * 0.0.0.0/0 10.62.86.84
2 304 REDIRECT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:56789 redir ports 22
0 0 DNAT tcp -- eth1 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:443 to:192.168.25.1:443


Ñ ëîêàëêè çàõîæó è ïî 22 è ïî 56789 ïîðòó, õîòÿ ïûòàþñü 22 äðîïàòü. Ñ WAN íó íè â êàêóþ, ïèøåò:
$ ssh ***.no-ip.info
ssh: connect to host ***.no-ip.info port 22: No route to host
Íå ïîéìó, ïî÷åìó íå âèäíî ñîåäèíåíèå ïî netstat?


netstat -na
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:8081 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:53 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:5431 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:3128 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN
tcp 0 0 10.62.86.84:1024 78.29.3.77:1723 ESTABLISHED
udp 0 0 0.0.0.0:1025 0.0.0.0:*
udp 0 0 0.0.0.0:514 0.0.0.0:*
udp 0 0 127.0.0.1:34954 0.0.0.0:*
udp 0 0 0.0.0.0:53 0.0.0.0:*
udp 0 0 0.0.0.0:67 0.0.0.0:*
udp 0 0 0.0.0.0:1900 0.0.0.0:*

---

Quote:

---

Originally Posted by Satoorn

Óæå êàêîé äåíü áüþñü, íå ìîãó çàéòè èç âíå ïî ssh.
 âåá èíòåðôåéñå âñ¸ ÷òî ñâÿçàííî ñ ssh îòêëþ÷åíî.
Íàñòðîåíî ñîåäèíåíèå ddns ÷åðåç no-ip.com
Ïðîøèâêà ïîñëåäíÿÿ îò ýíòóçèàñòîâ. ðîóòåð wl-500gP

---

A äëÿ ÷åãî òàêèå ñëîæíîñòè èëè ñýð ëþáèò ñòîÿ â ãàìàêå è â àêâàëàíãå? :D

×òî âû óâèäåëè ñëîæíîãî?
Äàâàéòå ïî ïðîñòîìó.

Code:

---

$ cat /tmp/local/sbin/post-firewall
#!/bin/sh

iptables -P INPUT DROP
iptables -D INPUT -j DROP
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set --name SSH_ATTACKER --rsource
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 600 --hitcount 6 --name SSH_ATTACKER --rsource -j DROP
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -j DROP


$ iptables -L -vn
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target    prot opt in    out    source              destination       
    0    0 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0          state INVALID
 2414  472K ACCEPT    all  --  *      *      0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
    0    0 ACCEPT    all  --  lo    *      0.0.0.0/0            0.0.0.0/0          state NEW
  156 44601 ACCEPT    all  --  br0    *      0.0.0.0/0            0.0.0.0/0          state NEW
    0    0 SECURITY  all  --  ppp0  *      0.0.0.0/0            0.0.0.0/0          state NEW
  44 10302 SECURITY  all  --  vlan1  *      0.0.0.0/0            0.0.0.0/0          state NEW
  16  5846 ACCEPT    udp  --  *      *      0.0.0.0/0            0.0.0.0/0          udp spt:67 dpt:68
    0    0            tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          state NEW tcp dpt:22 recent: SET name: SSH_ATTACKER side: source
    0    0 DROP      tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          state NEW tcp dpt:22 recent: UPDATE seconds: 600 hit_count: 6 name: SSH_ATTACKER side: source
    0    0 ACCEPT    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:22
  26  4400 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0

$  netstat -na
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address          Foreign Address        State     
tcp        0      0 0.0.0.0:80              0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:8081            0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:53              0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:5431            0.0.0.0:*              LISTEN         
tcp        0      0 10.62.86.84:1024        78.29.3.44:1723        ESTABLISHED
udp        0      0 0.0.0.0:1025            0.0.0.0:*                         
udp        0      0 0.0.0.0:514            0.0.0.0:*                         
udp        0      0 127.0.0.1:34954        0.0.0.0:*                         
udp        0      0 0.0.0.0:53              0.0.0.0:*                         
udp        0      0 0.0.0.0:67              0.0.0.0:*                         
udp        0      0 0.0.0.0:1900            0.0.0.0:*

---

Ïî ëîêàëêå çàõîæó íà 22 ïîðò.
Ïî÷åìó 22 ïîðò íå ïðîñëóøèâàåòñÿ? ×òî åù¸ ïîêàçàòü?

Quote:

---

Originally Posted by Satoorn

×òî âû óâèäåëè ñëîæíîãî?
Äàâàéòå ïî ïðîñòîìó. Ïî ëîêàëêå çàõîæó íà 22 ïîðò.
Ïî÷åìó 22 ïîðò íå ïðîñëóøèâàåòñÿ? ×òî åù¸ ïîêàçàòü?

---

Íåïîíÿòåí ñìûñë âñåõ ïðèâåäåííûõ âûøå òåëîäâèæåíèé - óâåëè÷åíèå ñêîðîñòè äàâíî íå àêòóàëüíî äëÿ òåêóùèõ ïðîøèâîê, ïîñêîëüêó ïàò÷ òóïî â íèõ âêëþ÷åí, âñå íàñòðîéêè ssh ïðåêðàñíî ðàáîòàþò è ÷åðåç web ìîðäî÷êó, ïîýòîìó âîïðîñ - è çà÷åì âñå âûøå ïåðå÷èñëåííûå ïëÿñêè ñ áóáíîì? )

Ï.Ñ. Äëÿ ïðîáðîñà íàðóæó ssh ëó÷øå èñïîëüçîâàòü íàïðèìåð ïîðò 1122 à íå ñòàíäàðòíûé, áî áîëüøèíñòâî ïðîâàéäåðîâ ñòàíäàòíûé äàâÿò, äëÿ áåçîïàñíîñòè, îá ýòîì îïÿòü æå 1000 ðàç ïèñàëîñü )

Ïðè óñòàíîâêå â âåá ìîðäå è ïðè âûñòàâëåíèè äîñòóïà ñ WAN, çàéòè ñ âíåøêè ÿ íå ìîãó. Ïî ýòîìó ÿ è ïðîáîâàë îòêëþ÷àòü â âåá èíòåðôåéñå è ïðîïèñàòü â èñïîëíÿåìûå ñêðèïòû. Ïëþñ ÿ õîòåë ïðîáðîñèòü (REDIRECT) íà 22 ïîðò, ÷òî áû îñòàâèòü âñ¸ íà ñâîèõ ïîðòàõ è ÷òîá îí áûë çàêðûò íà âíåøêó. Ó ïðîâàéäåðà îòêðûòû ïîðòû. Ok.

Code:

---

$ iptables -L -vn

Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target    prot opt in    out    source              destination       
    0    0 ACCEPT    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:3128
    0    0 ACCEPT    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:443
    0    0 ACCEPT    all  --  tun0  *      0.0.0.0/0            0.0.0.0/0         
    0    0 ACCEPT    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:2613
    0    0 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0          state INVALID
15639 3612K ACCEPT    all  --  *      *      0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
    0    0 ACCEPT    all  --  lo    *      0.0.0.0/0            0.0.0.0/0          state NEW
  950  208K ACCEPT    all  --  br0    *      0.0.0.0/0            0.0.0.0/0          state NEW
    0    0 SECURITY  all  --  ppp0  *      0.0.0.0/0            0.0.0.0/0          state NEW
  585  134K SECURITY  all  --  vlan1  *      0.0.0.0/0            0.0.0.0/0          state NEW
  89 33665 ACCEPT    udp  --  *      *      0.0.0.0/0            0.0.0.0/0          udp spt:67 dpt:68
    0    0 ACCEPT    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:22 flags:0x17/0x02
    0    0 ACCEPT    tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          tcp dpt:*****
  484 99548 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0     



$ netstat -na

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address          Foreign Address        State     
tcp        0      0 0.0.0.0:80              0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:8081            0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:53              0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:22              0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:5431            0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:3128            0.0.0.0:*              LISTEN     
tcp        0      0 0.0.0.0:443            0.0.0.0:*              LISTEN     
tcp        0      0 10.62.86.84:1024        78.29.3.44:1723        ESTABLISHED
tcp        0      0 192.168.25.1:22        192.168.25.11:56784    ESTABLISHED
udp        0      0 0.0.0.0:1025            0.0.0.0:*                         
udp        0      0 0.0.0.0:514            0.0.0.0:*                         
udp        0      0 127.0.0.1:34954        0.0.0.0:*                         
udp        0      0 0.0.0.0:53              0.0.0.0:*                         
udp        0      0 0.0.0.0:67              0.0.0.0:*                         
udp        0      0 0.0.0.0:1900            0.0.0.0:*

---

Quote:

---

Originally Posted by Satoorn

Ïðè óñòàíîâêå â âåá ìîðäå è ïðè âûñòàâëåíèè äîñòóïà ñ WAN, çàéòè ñ âíåøêè ÿ íå ìîãó. Ïî ýòîìó ÿ è ïðîáîâàë îòêëþ÷àòü â âåá èíòåðôåéñå è ïðîïèñàòü â èñïîëíÿåìûå ñêðèïòû. Ïëþñ ÿ õîòåë ïðîáðîñèòü (REDIRECT) íà 22 ïîðò, ÷òî áû îñòàâèòü âñ¸ íà ñâîèõ ïîðòàõ è ÷òîá îí áûë çàêðûò íà âíåøêó. Ó ïðîâàéäåðà îòêðûòû ïîðòû.

---

×óäåñ íå áûâàåò, íà ïîñëåäíåé ïðîøèâêå èñïîëüçóþ SSH è ñíàðóæè è èçíóòðè, âñå ðàáîòàåò, ïîñêîëüêó ïðîâ ðåæåò ïîðòû òî ïîðò íåñòàíäàðòíûé, ïîìåíÿë â ìîðäî÷êå áîëüøå íè÷åãî íå äîíàñòðàèâàë...

Êèíóë â ëè÷êó.
Ëè÷êó ïî÷èñòè, íå ìîãó ñîîáùåíèå ïîñëàòü.

Èç ëîêàëêè òî áåç ïðîáëåì ìîãó çàéòè, à ñ âíåøêè: ssh: connect to host ****.no-ip.info port ****: No route to host.
Õî÷åøü ñêàçàòü ïðîïèñûâàòü ìàðøðóò äî no-ip.com?

Quote:

---

Originally Posted by Satoorn

Êèíóë â ëè÷êó.
Ëè÷êó ïî÷èñòè, íå ìîãó ñîîáùåíèå ïîñëàòü.

Èç ëîêàëêè òî áåç ïðîáëåì ìîãó çàéòè, à ñ âíåøêè: ssh: connect to host ****.no-ip.info port ****: No route to host.
Õî÷åøü ñêàçàòü ïðîïèñûâàòü ìàðøðóò äî no-ip.com?

---

Íó ñîáñòâåííî SSH òóò íå ïðè ÷åì.
Ëèáî ó âàñ no-ip ãëþ÷èò (ïîñìîòðèòå nslookup), ëèáî ... ëèáî... íó êîðî÷å ëþáîå çâåíî ìåæäó À è Á

Quote:

---

Originally Posted by Satoorn

Êèíóë â ëè÷êó.
Ëè÷êó ïî÷èñòè, íå ìîãó ñîîáùåíèå ïîñëàòü.

Èç ëîêàëêè òî áåç ïðîáëåì ìîãó çàéòè, à ñ âíåøêè: ssh: connect to host ****.no-ip.info port ****: No route to host.
Õî÷åøü ñêàçàòü ïðîïèñûâàòü ìàðøðóò äî no-ip.com?

---

Äëÿ íà÷àëà ïðîâåðèòü ïèíã íà ñàìîãî ñåáÿ èçíóòðè ïî âíåøíåìó àäðåñó -
ping ****.no-ip.info, ýòî äîëæíî ðàáîòàòü, åñëè ïèíã ïðîõîäèò, à ñîåäèíåíèå âñå ðàâíî íåò, çíà÷èò ãäå òî ïî äîðîãå óáèâàåòñÿ ôàèðâîëîì, ñêîðåå âñåãî ïðîâàéäåðà.
Ëèáî ñàìûé òóïîé âàðèàíò ó âàñ ñåðûé IP è âû çà ïðîâàéäåðñêèì NAT (ïèíãè òîãäà íå ïðîéäóò ))

Quote:

---

Originally Posted by TReX

Äëÿ íà÷àëà ïðîâåðèòü ïèíã íà ñàìîãî ñåáÿ èçíóòðè ïî âíåøíåìó àäðåñó -
ping ****.no-ip.info, ýòî äîëæíî ðàáîòàòü, åñëè ïèíã ïðîõîäèò, à ñîåäèíåíèå âñå ðàâíî íåò, çíà÷èò ãäå òî ïî äîðîãå óáèâàåòñÿ ôàèðâîëîì, ñêîðåå âñåãî ïðîâàéäåðà.
Ëèáî ñàìûé òóïîé âàðèàíò ó âàñ ñåðûé IP è âû çà ïðîâàéäåðñêèì NAT (ïèíãè òîãäà íå ïðîéäóò ))

---

Ïèíãè ó ìåíÿ çàðåçàþòñÿ íàñòðîéêîé iptables. Ïîðòû îòêðûòû ó ïðîâàéäåðà.
Âîïðîñ ðåøèëñÿ ñìåíîé ñåðâåðà c no-ip íà ddns.
Äîñòóï ïîÿâèëñÿ, íàäî áûëî â ñòðîêå ïèñàòü ëîãèí íà ddns, à íå åìåéë.

ß ïðîïèñàë òàê:

Code:

---

cat /tmp/local/sbin/post-firewall
#!/bin/sh

iptables -P INPUT DROP
iptables -D INPUT -j DROP

iptables -A INPUT -p tcp --dport 12345 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 22 -j DROP
iptables -t nat -A PREROUTING -p tcp --dport 12345 -j REDIRECT --to-ports 22

iptables -A INPUT -j DROP

---

Ïî÷åìó? Ñòàðàþñü íå ìåíÿòü ñòàíäàðòíûå ïîðòû ó ïðèëîæåíèé.
Çäåñü èä¸ò ïðîñòîé ïðîáðîñ ñ 12345 ïîðòà íà 22.  òî æå âðåìÿ 22 ïîðò ïðèêðûò.

Ïî÷èòàéòå, êàêèå äåéñòâèÿ iptables ïðåäíàçíà÷åíû äëÿ êàêèõ òàáëèö.
Íàïðèìåð, â PREROUTING äåéñòâèÿ DROP áûòü íå äîëæíî.

Quote:

---

Originally Posted by Satoorn

Ïî÷åìó? Ñòàðàþñü íå ìåíÿòü ñòàíäàðòíûå ïîðòû ó ïðèëîæåíèé.
Çäåñü èä¸ò ïðîñòîé ïðîáðîñ ñ 12345 ïîðòà íà 22.  òî æå âðåìÿ 22 ïîðò ïðèêðûò.

---

Âåá-èíòåðôåéñ è ñäåëàí äëÿ ëþäåé êîòîðûì ëåíü/íåò ñèë/âðåìåíè èçó÷àòü iptables, òàê ÷òî ëèáî ïîíèìàéòå ÷òî äåëàåòå, ëèáî îñòàâüòå òî, ÷òî ñäåëàëè çà âàñ òå êòî ðàçîáðàëñÿ, èíà÷å â ëó÷øåì ñëó÷àå áóäåòå èìåòü ïðîáëåìû ñ ñîåäèíåíèåì à â õóäøåì ñâåòèòü âñåì â èíåò )

Quote:

---

Originally Posted by TReX

Âåá-èíòåðôåéñ è ñäåëàí äëÿ ëþäåé êîòîðûì ëåíü/íåò ñèë/âðåìåíè èçó÷àòü iptables, òàê ÷òî ëèáî ïîíèìàéòå ÷òî äåëàåòå, ëèáî îñòàâüòå òî, ÷òî ñäåëàëè çà âàñ òå êòî ðàçîáðàëñÿ, èíà÷å â ëó÷øåì ñëó÷àå áóäåòå èìåòü ïðîáëåìû ñ ñîåäèíåíèåì à â õóäøåì ñâåòèòü âñåì â èíåò )

---

Ñïàñèáî çà ñîâåò, íî ñäåëàë êàê è ïèñàë ðàíåå ÷åðåç REDIRECT, ïðîáëåìà áûëà ñ õîñòèíãîì no-ip.com, ÷åðåç íåãî íå ïðîõîäèëè çàïðîñû. Ïîñòàâèë dyndns, âñ¸ ñðàçó çàðàáîòàëî â ëó÷øåì âèäå.
reiten, âîçìîæíî, íî êàê ÿ ïîíèìàþ, íàäî õîòÿ áû âûäåðæêó èç ìàíà êèäàòü (êàê ÿ ïîíÿë ýòî - http://www.opennet.ru/docs/RUS/iptab...REROUTINGCHAIN), à íå çàÿâëÿòü íè÷åì íå ïîäòâåðæäàÿ. (raw ó ìåíÿ íå ðàáîòàåò, ìîäóëü íóæåí, íà ôîðóìå íå íàø¸ë), íî ïðàâèëî ðàáîòàåò æå. )

nat PREROUTING Ýòà öåïî÷êà èñïîëüçóåòñÿ äëÿ òðàíñëÿöèè ñåòåâûõ àäðåñîâ (Destination Network Address Translation). Source Network Address Translation âûïîëíÿåòñÿ ïîçäíåå, â äðóãîé öåïî÷êå. Ëþáîãî ðîäà ôèëüòðàöèÿ â ýòîé öåïî÷êå ìîæåò ïðîèçâîäèòüñÿ òîëüêî â èñêëþ÷èòåëüíûõ ñëó÷àÿõ.

Êàê ñäåëàòü telnet äîñòóïíûì èç âíå?
ïðîøèâêà: 1.9.2.7-rtn-r3121
SSH íå óñòðàèâàåò ïîòîìó ÷òî â îäíîì ìåñòå ãäå ìíå íóæåí ðîóòåð åãî ðåæóò, è ïîõîæå íà óðîâíå ïðîòîêîëà.
À âîò telnet ðàáîòàåò.
Ñïàñèáî.

Quote:

---

Originally Posted by nen777w

Êàê ñäåëàòü telnet äîñòóïíûì èç âíå?
ïðîøèâêà: 1.9.2.7-rtn-r3121
SSH íå óñòðàèâàåò ïîòîìó ÷òî â îäíîì ìåñòå ãäå ìíå íóæåí ðîóòåð åãî ðåæóò, è ïîõîæå íà óðîâíå ïðîòîêîëà.
À âîò telnet ðàáîòàåò.
Ñïàñèáî.

---

Ýòî ïðèìåðíî òàê æå, êàê îñòàâëÿòü êëþ÷è â çàìêå èëè âûñòàâëÿòü æîïó â îêíî ñ íàäïèñüþ Free Sex

Quote:

---

Originally Posted by nen777w

Êàê ñäåëàòü telnet äîñòóïíûì èç âíå?
ïðîøèâêà: 1.9.2.7-rtn-r3121
SSH íå óñòðàèâàåò ïîòîìó ÷òî â îäíîì ìåñòå ãäå ìíå íóæåí ðîóòåð åãî ðåæóò, è ïîõîæå íà óðîâíå ïðîòîêîëà.
À âîò telnet ðàáîòàåò.
Ñïàñèáî.

---

Íó íàâåðíîå âîò òàê

Code:

---

iptables -I INPUT -p tcp --dport 23 -j ACCEPT

---

Quote:

---

Originally Posted by Satoorn

 ïîëå DMZ ïðîïèñàí IP àäðåñ (ñ ëîêàëêè çàõîæó áåç ïðîáëåì â îáîèõ ñëó÷àÿõ):

Êòî ÷òî ïîäñêàæåò èëè ýòî â âåòêó ðàçðàáîò÷èêîâ ïðîøèâêè?
Ïîêà IP íå ïðîáîâàë ïðîïèñûâàòü â Virtual Server ñ ïîëíûì îòêðûòèåì ïîðòîâ, DMZ íóæåí äëÿ PS3.

---

Ïî÷èòàòü êíèãó TCP/IP äëÿ ÷àéíèêîâ?

À âàøè ïðîñòûíè ëó÷øå ñðàçó ïîñòèòü íà bash.org.ru, íàðîä ïîâåñåëèòå...

Íîñîì ìîæåòå òêíóòü â ìîþ îøèáêó? Èëè âû ìîè 2 ïîñëåäíèõ ïîñòà äàæå íå ïðî÷èòàëè?

Quote:

---

Originally Posted by Satoorn

Íîñîì ìîæåòå òêíóòü â ìîþ îøèáêó? Èëè âû ìîè 2 ïîñëåäíèõ ïîñòà äàæå íå ïðî÷èòàëè?

---

Èçó÷àåì ÷òî òàêîå NAT è DMZ è ñðàçó ïîéìåòå ÷òî ó âàñ è êóäà èñ÷åçàåò

Quote:

---

Originally Posted by TReX

Èçó÷àåì ÷òî òàêîå NAT è DMZ è ñðàçó ïîéìåòå ÷òî ó âàñ è êóäà èñ÷åçàåò

---

ß ïîíèìàþ, ÷òî ïîñëàòü ÷èòàòü ìàíû ýòî ïðîñòîé âàðèàíò, ïîìî÷ü æå òÿæåëåå. Ïëþñ ó ìåíÿ íåìíîãî äðóãîé ïðîôèëü è ÿ òîæå ìîãó âàñ çà ïîÿñ çàòêíóòü, òèïà, ó÷èòå çàêîí îìà èëè ÷òî òàêîå ðàçíîñòü ïîòåíöèàëîâ.
Ñïàñèáî çà ñîâåò, ÿ ïîïðîáóþ ñàì ðàçîáðàòüñÿ, à âàì ñîâåò, ñïóñòèòåñü íà çåìëþ. Åñëè â áëèæàéøåå âðåìÿ íèêòî íå îòâåòèò, ïîòðó ïîñòû, òàê ÷òî êîïèðóéòå äëÿ áàøîðãà. )

Quote:

---

Originally Posted by Satoorn

ß ïîíèìàþ, ÷òî ïîñëàòü ÷èòàòü ìàíû ýòî ïðîñòîé âàðèàíò, ïîìî÷ü æå òÿæåëåå.

---

À çà÷åì âû âêëþ÷àåòå ôóíêöèþ, ñîâåðøåííî íå ïîíèìàÿ, êàê îíà ðàáîòàåò? Âû âêëþ÷èëè ïåðåíàïðàâëåíèå ÂÑÅÕ ÂÕÎÄßÙÈÕ ñîåäèíåíèé íà âàøó PS3 è êàêîãî ðåçóëüòàòà âû îæèäàëè? Ó âàñ íà PS3 íà ïîðòó 5222 åñòü ssh?

Quote:

---

Originally Posted by Satoorn

Ïëþñ ó ìåíÿ íåìíîãî äðóãîé ïðîôèëü è ÿ òîæå ìîãó âàñ çà ïîÿñ çàòêíóòü, òèïà, ó÷èòå çàêîí îìà èëè ÷òî òàêîå ðàçíîñòü ïîòåíöèàëîâ.

---

:D À íå ïîäñêàæèòå, ïî÷åìó ÿ îïåðàöèîííèê â ðîçåòêó ïèõàþ, õî÷ó óñèñëèòü íàïðóãó èç ðîçåòêè, à îí âçðûâàåòñÿ è ïðîáêè âûøèáàåò? ×òî ÿ äåëàþ íå òàê? :p

Quote:

---

Originally Posted by Satoorn

Åñëè â áëèæàéøåå âðåìÿ íèêòî íå îòâåòèò, ïîòðó ïîñòû, òàê ÷òî êîïèðóéòå äëÿ áàøîðãà. )

---

Óäàëèòå, åñëè íå ñëîæíî, èíôû â íèõ íåò, à î÷åíü îáúåìíû. Âû åñëè ÷òî íàäî åùå áóäåò, íå ïèõàéòå ïðîñòûíè â òåêñò, à ïðèêðåïèòå êàê ôàéëû âëîæåíèÿ ;)

Quote:

---

Originally Posted by smi

À çà÷åì âû âêëþ÷àåòå ôóíêöèþ, ñîâåðøåííî íå ïîíèìàÿ, êàê îíà ðàáîòàåò? Âû âêëþ÷èëè ïåðåíàïðàâëåíèå ÂÑÅÕ ÂÕÎÄßÙÈÕ ñîåäèíåíèé íà âàøó PS3 è êàêîãî ðåçóëüòàòà âû îæèäàëè? Ó âàñ íà PS3 íà ïîðòó 5222 åñòü ssh?

---

ß îæèäàë, ÷òî èìåííî äëÿ PS3 âñ¸ áóäåò îòêðûòî. Íå õî÷ó ïðîïèñûâàòü îòäåëüíûå ïîðòû, ïðîùå æå çàïèñàòü â DMZ. ß íå ïðàâ?

Quote:

---

Originally Posted by smi

:D À íå ïîäñêàæèòå, ïî÷åìó ÿ îïåðàöèîííèê â ðîçåòêó ïèõàþ, õî÷ó óñèñëèòü íàïðóãó èç ðîçåòêè, à îí âçðûâàåòñÿ è ïðîáêè âûøèáàåò? ×òî ÿ äåëàþ íå òàê? :p

---

Ðîçåòêà âûñîêîâîëüòíàÿ ))) Óìåíüøèòå íàïðóãó ðàç â 15.

Quote:

---

Originally Posted by smi

Óäàëèòå, åñëè íå ñëîæíî, èíôû â íèõ íåò, à î÷åíü îáúåìíû. Âû åñëè ÷òî íàäî åùå áóäåò, íå ïèõàéòå ïðîñòûíè â òåêñò, à ïðèêðåïèòå êàê ôàéëû âëîæåíèÿ ;)

---

Îê.

ps. smi ñïàñèáî çà ôðàçó "ïåðåíàïðàâëåíèå ÂÑÅÕ ÂÕÎÄßÙÈÕ", ïðîïèñàë â Virtual Server ïîðòû äëÿ íóæíûõ ìíå ñëóæá, à â DMZ ïðîïèñàë PS3, âðîäå âñ¸ ðàáîòàåò. Íàäåþñü ïðàâèëüíî ñäåëàë. ß äóìàë, åñëè ÿ â DMZ ïðîïèøó IP, òî âñå ïîðòû áóäóò îòêðûòû òîëüêî íà í¸ì, à äðóãèå ìàøèíû â ëîêàëüíîé ñåòè áóäóò ðàáîòàòü ïî îñòàëüíûì ïðàâèëàì è DMZ èõ íå çàòðîíåò.

Quote:

---

Originally Posted by Satoorn

ß îæèäàë, ÷òî èìåííî äëÿ PS3 âñ¸ áóäåò îòêðûòî. Íå õî÷ó ïðîïèñûâàòü îòäåëüíûå ïîðòû, ïðîùå æå çàïèñàòü â DMZ. ß íå ïðàâ?

---

Äà, òàê îíî è åñòü - âåñü òðàôèê çàâîðà÷èâàåòñÿ íà PS3.
Âñå îñòàëüíûå ïðàâèëà, ïðîïèñàííûå ÏÎÑËÅ DMZ - ïóñòàÿ òðàòà òåêñòà, ïîòîìó, ÷òî íå îáðàáàòûâàþòñÿ ñèñòåìîé ÂÎÎÁÙÅ.
Ýòî âñå ðàâíî, ÷òî íàäåÿòüñÿ, ðàñïèëèâ òðóáó ñ âîäîé, è îòíåñÿ âòîðîé êîíåö òðóáû ïîäàëüøå, ÷òî äî íåãî äîéäåò õîòü ÷àñòü âîäû (ñ ýëåêòðè÷åñòâîì àíàëîãèè â ãîëîâó íå ïðèøëî).