Printable View
Человеку необходимо разобраться что и как работает, откуда берутся правила PREROUTING, FORWARD.Quote:
Originally Posted by ABATAPA
А после прописания правил ручками потребность в VSERVER отпадает.
Вы же сами видели содержание VSERVER и сколько там правил для одного и того же порта (скажем) 8080 (да сработает только первое а дальше...).
Надо учить мат. часть (топик стартеру конечно же).
Но при этом "сломается" возможность настраивать firewall из web-интерфейса, UPnP... Зачем? Зачем добиваться работоспособности одного ценой "ломания" другого, если можно того же добиться так, чтобы все работало?Quote:
Originally Posted by Less
"Ручками" правила можно и в VSERVER вставлять.
Это проблема UPnP, и ничего/никого более.Quote:
Originally Posted by Less
Ссылку Вы дали просто "замечательную", и что же по Вашему я там должен найти, и выучить, и разобраться что и как работает?Quote:
Originally Posted by Less
И так с начала:Quote:
Originally Posted by Less
имею:
1. Домашнюя сеть - 192.168.1.1/254
2. Роутер с обвесом (в подписи).
3. Сеть прова 10.1.хх.хх
4. Инет через PPTP.
5. стат_IP в инете (куплен у прова).
Хочется:
http://внеш_IP/ -- попадал на свой сайт.
http://внешн_IP:8081/ados/ -- попадал на морду ADOS
http://внешн_IP:8081/rtorrent/ -- попадал на морду rTorrenta
http://192.168.1.1:8081/ados/ -- попадал на морду ADOS из сети
http://192.168.1.1:8081/rtorrent/ -- попадал на морду rTorrenta из сети
Что сделал (по разрозненным советам):
1. Перенес веб-морду на порт 8080, чтобы освободить 80:
1а. В post-firewall добавил:Quote:
nvram set http_lanport=8080
nvram commit
1b. Изменил порт самого lighttpd в /opt/etc/lighttpd/lighttpd.conf:Quote:
iptables -I INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
1с. Сделал проброс с 80 на 8081 в Virtual Server.Quote:
server.port = 80
2. Создал папку для сайта:
3. Закачал сайт в папкуQuote:
mkdir /opt/share/www/site
Получилось:
http://192.168.1.1:8081/site/ -- Internet Explorer не может отобразить эту веб-страницу
http://192.168.1.1:8081/ados/ -- Internet Explorer не может отобразить эту веб-страницу
http://192.168.1.1:8081/rtorrent/ -- Internet Explorer не может отобразить эту веб-страницу
http://192.168.1.1:8080/ -- Морда роутера открывается
http://192.168.1.1/site/ -- Открывается сайт
http://192.168.1.1/ -- lighttpd server is running.
http://внешн_IP:8081/site/ -- Internet Explorer не может отобразить эту веб-страницу
http://внешн_IP/ -- Internet Explorer не может отобразить эту веб-страницу
http://192.168.1.1/ados/? -- грузится морда Ados
http://192.168.1.1/rtorren/? -- грузится морда rTorrenta
Вот вобщем то и все!
Именно разобраться в принцыпах работы тех самых правил.Quote:
Originally Posted by AlekseyA
Какая по Вашему разница в правилах
и тутCode:iptables -I INPUT -p tcp --dport 80 -j ACCEPT
Вы прописали правила но принцып их работы вам не известен (таков мой вывод).Code:iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
Короче вечером напишу пошагово (как у меня, с конфигами) что бы Вы смогли повторить у себя, и понять что нету тут ничего сложного просто надо пошагово розобраться ч за чем работает.
Что бы не казаться голословным вот (lighttpd + ssl auth from WAN by hostname):
Вывод ваш верный, но чтобы разобраться в этих правилах (я про сайт), да еще и на английском языке, мне надо будет предварительно закончить углубленные курсы английского. Тоже но по русски, ни где нет?Quote:
Originally Posted by Less
Буду рад увидеть вашу инструкцию.
Была у меня похожая хрень (если я правильно понял автора):
После установки lighttpd настроил его на порт 8081. Потом захотел как "белый" человек - на 80. Перевесил вебморду без проблем. Прописал в виртуальный сервер порт 80 на 192.168.1.1:80. Только вот к lighttpd на 80-й порт никак не мог пробиться. Проблема была в том, что vserver по прежнему содержал старое правило 80-го порта как для вебморды. Отключаю Виртуальный Сервер - правило пропадает (вместе с моим естественно), включаю - опять первым висит правило для веб-морды, а в конце - мое правило для lighttp-сервера.
Решилось все так: нашел на форуме команду, которая сбрасывает старые правила для vserver (они типа как в кеше сидят). Все сразу заработало. Щас вот только вспомнить ту команду....
Может что-то и неправильно сделал, но работает все 100%.
Кажется, нашел здесь
команда ip route flush scope global
Но лучше получить подтверждения гуру....
хочу добавить, что по выводу iptables-save у меня 2 правила для 80-го порта:
-A VSERVER -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.1:80
-A INPUT -d 192.168.1.1 -p tcp -m tcp --dport 80 -j ACCEPT
Все! Других правил для 80 порта быть не должно!
У вас же я вижу, что 80-й порт перенаправляется снаружи на 8081 внутренний
(-A VSERVER -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.1:8081
-A VSERVER -p udp -m udp --dport 80 -j DNAT --to-destination 192.168.1.1:8081).
Вы ж вроде запускали http-сервер на 80-м порту? или все-таки на 8081-м???
Выполнили команду и в итоге вы убили таблицу маршрутизации (routing) и как по Вашему это поможет делу?Quote:
Originally Posted by Partos
Есть:) Руководство по iptables(netfilter) второй пункт указанного сообщенияQuote:
Originally Posted by AlekseyA
Я же сказал:Quote:
Originally Posted by Less
1. Я не уверен, что верно указал команду, надо дополнительно уточнить у гуру, не могу найти в форуме сейчас...
2. В моем случае после переброса вебморды с 80 на 8081 порт почему-то по iptables-save выводилось (кажется так):
-A VSERVER -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.1:8081 //новое правило после переброса вебморды
-A VSERVER -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.1.1:80 //мое правило для http-сервера
Причем тут же рядом было нормальное правило для доступа по 8081 порту.
А вообще, еще разочек автор пусть скажет что у него работает, что не работает и как он хочет, чтобы это работало.
Спасибо за ссылку, то что нужно!Quote:
Originally Posted by jan_h
И так инструкцию пишу так как сделано у меня.
А у меня всё так:
1. Инет я получаю напрямую по кабелю, без VPN.
2. IP адрес получаю по DHCP от прова (IP статический, но в даном случае не так важно).
3. Собственно роутер WL500GP v1 прошывка Олега 1.9.2.7-10.
4. Подключен карман с винтом разбитым на 3 раздела:
SWAP
/opt
/tmp/harddisk
Необходимо - Запустить Web-server доступный из инета.
1. Ставимь Web-server lighttpd.
ОпциональноCode:ipkg install lighttpd
редактируем файл конфигурации тем чем вам удобней (vi, vim, nano, mcedit)Code:ipkg install microperl
или
ipkg install perl (нормальная более тяжолая варсия перла)
ipkg install php
ipkg install php-fcgi
Основные параметры:Code:/opt/etc/lighttpd/lighttpd.conf
В итоге у нас будет WEB-сервер по адресу http://myrouter:8081/.PHP Code:server.document-root = "/opt/share/www/lighttpd"
server.port = 8081
server.pid-file = "/opt/var/run/lighttpd.pid"
## send a different Server: header be nice and keep it at lighttpd
server.tag = "lighttpd"
server.modules = (
"mod_access",
"mod_auth",
"mod_status",
"mod_setenv",
"mod_fastcgi",
"mod_cgi",
"mod_scgi",
"mod_accesslog" )
# Use the "Content-Type" extended attribute to obtain mime type if possible
mimetype.use-xattr = "enable"
accesslog.filename = "/opt/var/log/lighttpd/access.log"
server.errorlog = "/opt/var/log/lighttpd/error.log"
$HTTP["url"] =~ "\.pdf$" {
server.range-requests = "disable"
}
url.access-deny = ( "~", ".inc", ".sqlite" )
static-file.exclude-extensions = ( ".fcgi", ".php", ".pl", ".py", ".rb", ".cgi" )
cgi.assign = ( ".pl" => "/opt/bin/perl",
".cgi" => "/opt/bin/perl" )
index-file.names = ( "index.php", "index.html",
"index.htm", "default.htm",
"lighttpd/index.html",
"index.cgi" )
# mimetype mapping
mimetype.assign = (
".pdf" => "application/pdf",
".sig" => "application/pgp-signature",
".spl" => "application/futuresplash",
".class" => "application/octet-stream",
".ps" => "application/postscript",
".torrent" => "application/x-bittorrent",
".dvi" => "application/x-dvi",
".gz" => "application/x-gzip",
".pac" => "application/x-ns-proxy-autoconfig",
".swf" => "application/x-shockwave-flash",
".tar.gz" => "application/x-tgz",
".tgz" => "application/x-tgz",
".tar" => "application/x-tar",
".zip" => "application/zip",
".mp3" => "audio/mpeg",
".m3u" => "audio/x-mpegurl",
".wma" => "audio/x-ms-wma",
".wax" => "audio/x-ms-wax",
".ogg" => "application/ogg",
".wav" => "audio/x-wav",
".gif" => "image/gif",
".jpg" => "image/jpeg",
".jpeg" => "image/jpeg",
".png" => "image/png",
".xbm" => "image/x-xbitmap",
".xpm" => "image/x-xpixmap",
".xwd" => "image/x-xwindowdump",
".css" => "text/css",
".html" => "text/html",
".htm" => "text/html",
".js" => "text/javascript",
".asc" => "text/plain",
".c" => "text/plain",
".cpp" => "text/plain",
".log" => "text/plain",
".conf" => "text/plain",
".text" => "text/plain",
".txt" => "text/plain",
".dtd" => "text/xml",
".xml" => "text/xml",
".mpeg" => "video/mpeg",
".mpg" => "video/mpeg",
".mov" => "video/quicktime",
".qt" => "video/quicktime",
".avi" => "video/x-msvideo",
".asf" => "video/x-ms-asf",
".asx" => "video/x-ms-asf",
".wmv" => "video/x-ms-wmv",
".bz2" => "application/x-bzip",
".tbz" => "application/x-bzip-compressed-tar",
".tar.bz2" => "application/x-bzip-compressed-tar"
)
# Configuration from other optware packages
include_shell "cat /opt/etc/lighttpd/conf.d/*.conf"
server.document-root = "/opt/share/www/lighttpd" - тут лежат все нашы веб странички.
Code:/opt/etc/lighttpd/conf.d/10-php-fcgi.conf
Файл /usr/local/sbin/post-firewallPHP Code:server.modules += ( "mod_fastcgi" )
fastcgi.server = ( ".php" =>
( "localhost" =>
( "socket" => "/tmp/php-fcgi.socket",
"bin-path" => "/opt/bin/php-fcgi",
"max-procs" => 1,
"bin-environment" =>
( "PHP_FCGI_CHILDREN" => "2",
"PHP_FCGI_MAX_REQUESTS" => "500" )
)
)
)
server.modules += ( "mod_scgi" )
scgi.server = (
"/RPC2" =>
( "127.0.0.1" =>
(
"host" => "127.0.0.1",
"port" => 5000,
"check-local" => "disable",
"disable-time" => 0,
)
)
)
PHP Code:#!/bin/sh
WANIF=`nvram get wan0_ifname`
WANIP=`nvram get wan0_ipaddr`
## FIREWALL RULES
## set default policy
iptables -P INPUT DROP
# remove last default rule
iptables -D INPUT -j DROP
# ALOW 8081
iptables -I INPUT -p tcp -i $WANIF -d $WANIP --dport 8081 -j ACCEPT
# Если хотите что то вставить вставляйте до этой строчки
## Drop other
iptables -A INPUT -j DROP
Спасибо!
Будет хоть одна дельная инструкция по этой теме.
Мне помог АВАТАРА, все работает. Ему особая благодарность!
аналогичная проблема, как исправить? Хотелось бы мануал АВАТАРа узрить, раз помог топикстартеру.
кстати, насчет то же самое, но по русски: http://www.opennet.ru/docs/RUS/iptables/ Очень рекомендую.Quote:
Originally Posted by AlekseyA