Reply With QuoteMam(o)n советовал еще это:
Ну я думаю еще можно показать результат выполнения команд iptables -L INPUT -vn и iptables -L -vnt nat для уверенности, что файрвол настроен правильно.
Junior Member
Добавил в post-firewall нужную строку (в соответсвии с рекомендациями Mam(o)n), но по ssh всё равно невозможно зайти на рутер с внехи... только если нажать кнопку Update в веб-интерфейсе рутера (IP Config-Misc-Update) Получается зайти один раз. Подскажите, что делать
Forum Guru
Mam(o)n советовал еще это:
Ну я думаю еще можно показать результат выполнения команд iptables -L INPUT -vn и iptables -L -vnt nat для уверенности, что файрвол настроен правильно.
Junior Member
Code:[admin@gexsrv root]$ iptables -L INPUT -vn Chain INPUT (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 46 5299 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID 220K 248M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 3013 181K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 state NEW 19395 5868K ACCEPT all -- br0 * 0.0.0.0/0 0.0.0.0/0 state NEW 1007 30224 ACCEPT 2 -- * * 0.0.0.0/0 224.0.0.0/4 19752 27M ACCEPT udp -- * * 0.0.0.0/0 224.0.0.0/4 udp dpt:!1900 648K 33M SECURITY all -- vlan2 * 0.0.0.0/0 0.0.0.0/0 state NEW 1 328 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:67 dpt:68 1 48 BRUTE tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 flags:0x17/0x02 0 0 BRUTE tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:21 flags:0x17/0x02 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.1 tcp dpt:80 10 640 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 114K 8425K DROP all -- * * 0.0.0.0/0 0.0.0.0/0Code:[admin@gexsrv root]$ iptables -L -vnt nat Chain PREROUTING (policy ACCEPT 811K packets, 49M bytes) pkts bytes target prot opt in out source destination 651K 33M VSERVER all -- * * 0.0.0.0/0 10.255.165.44 Chain POSTROUTING (policy ACCEPT 10750 packets, 902K bytes) pkts bytes target prot opt in out source destination 153K 16M MASQUERADE all -- * vlan2 !10.255.165.44 0.0.0.0/0 110 24521 SNAT all -- * br0 192.168.1.0/24 192.168.1.0/24 to:192.168.1.1 Chain OUTPUT (policy ACCEPT 10820 packets, 922K bytes) pkts bytes target prot opt in out source destination Chain VSERVER (1 references) pkts bytes target prot opt in out source destination 2 88 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080 to:192.168.1.1:80 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:26578 to:192.168.1.65:26578 1 95 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:26578 to:192.168.1.65:26578 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:19505 to:192.168.1.65:19505 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:19505 to:192.168.1.65:19505 27 1440 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:36041 to:192.168.1.65:36041 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:36041 to:192.168.1.65:36041 5 224 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:24500 to:192.168.1.65:24500 1 95 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:24500 to:192.168.1.65:24500 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:36130 to:192.168.1.65:36130 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:36130 to:192.168.1.65:36130 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:29921 to:192.168.1.65:29921 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:29921 to:192.168.1.65:29921 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:28992 to:192.168.1.65:28992 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:28992 to:192.168.1.65:28992 30 3438 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:51411 to:192.168.1.65:51411
Forum Guru
в данный момент видно, что прошивка стоит 1.9.2.7-d, ssh прокинут через веб интерфейс и там же включена защита от bruteforce путем ipt_recent. Вы пытаетесь прокинуть ssh через post-firewall второй раз и еще раз включить ту же защиту. Полагаю ничего хорошего ждать от этого не приходится.
Junior Member
Отключил в веб-интерфейсе защиту от брут-форса. Доступ по ssh из WAN появился,но работает почему-то не всегда(раза 3 из 5, в 2 случаях возникает ошибка connection refusd). Может быть проблема в недоступности DynDNS ил рутер чем-то очень сильно занят?
На всякий случай:
Code:[admin@gexsrv root]$ iptables -L INPUT -vn Chain INPUT (policy ACCEPT 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 26 2008 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID 837K 1092M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 3179 191K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0 state NEW 18268 6082K ACCEPT all -- br0 * 0.0.0.0/0 0.0.0.0/0 state NEW 657 18920 ACCEPT 2 -- * * 0.0.0.0/0 224.0.0.0/4 64 9408 ACCEPT udp -- * * 0.0.0.0/0 224.0.0.0/4 udp dpt:!1900 349K 18M SECURITY all -- vlan2 * 0.0.0.0/0 0.0.0.0/0 state NEW 4 1312 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:67 dpt:68 1 48 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 flags:0x17/0x02 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:21 flags:0x17/0x02 0 0 ACCEPT tcp -- * * 0.0.0.0/0 192.168.1.1 tcp dpt:80 7 448 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 81854 5800K DROP all -- * * 0.0.0.0/0 0.0.0.0/0Code:[admin@gexsrv root]$ iptables -L -vnt nat Chain PREROUTING (policy ACCEPT 409K packets, 24M bytes) pkts bytes target prot opt in out source destination 354K 18M VSERVER all -- * * 0.0.0.0/0 10.255.165.44 Chain POSTROUTING (policy ACCEPT 12496 packets, 1050K bytes) pkts bytes target prot opt in out source destination 51085 5128K MASQUERADE all -- * vlan2 !10.255.165.44 0.0.0.0/0 143 31868 SNAT all -- * br0 192.168.1.0/24 192.168.1.0/24 to:192.168.1.1 Chain OUTPUT (policy ACCEPT 12572 packets, 1074K bytes) pkts bytes target prot opt in out source destination Chain VSERVER (1 references) pkts bytes target prot opt in out source destination 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080 to:192.168.1.1:80 40 1816 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:26578 to:192.168.1.65:26578 1 95 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:26578 to:192.168.1.65:26578 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:19505 to:192.168.1.65:19505 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:19505 to:192.168.1.65:19505 27 1452 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:36041 to:192.168.1.65:36041 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:36041 to:192.168.1.65:36041 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:24500 to:192.168.1.65:24500 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:24500 to:192.168.1.65:24500 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:36130 to:192.168.1.65:36130 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:36130 to:192.168.1.65:36130 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:29921 to:192.168.1.65:29921 1 95 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:29921 to:192.168.1.65:29921 0 0 DNAT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:28992 to:192.168.1.65:28992 0 0 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:28992 to:192.168.1.65:28992 35 4045 DNAT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:51411 to:192.168.1.65:51411
Last edited by alexghost; 04-06-2009 at 03:05.
Forum Guru
возможно, по крайней мере с точки зрения файрволла прокинуто все ок.
Junior Member
В чем же дело?
Прямо щас с работы проверяю и получаю Connection Refused
Хотя на веб интерфейс заходит...
Ради интереса покапался в логах и вот, что обнаружил
Похоже, что невозможно пройти аутентификацию, хотя никакие настройки не менял и раньше периодически можно было заходить по ssh.Code:Jan 1 05:00:10 ddns update: connected to members.dyndns.org (204.13.248.112) on port 80. Jan 1 05:00:11 ddns update: authentication failure Jan 1 05:00:11 ddns update: failure to update vlan2->10.255.165.44 (gex45.ath.cx) Jan 1 05:00:11 ddns update: shutting down updater for gex45.ath.cx due to fatal error
UPD. Оттуда же из лога
Хм, почему же 22 порт in use?Code:Jan 1 05:00:09 dropbear[131]: Failed listening on '22': Error listening: Address already in use Jan 1 05:00:10 dropbear[131]: premature exit: No listening ports available. Jan 1 05:00:10 ddns update: connected to members.dyndns.org (204.13.248.112) on port 80. Jan 1 05:00:11 ddns update: request successful Jan 1 05:00:11 ddns update: successful update for vlan2->10.255.165.44 (gex45.ath.cx)
Last edited by alexghost; 04-06-2009 at 07:29.
Forum Guru
значит dropbear уже запущен.Хм, почему же 22 порт in use?
Member
Тоже этот вопрос заинтересовалOriginally Posted by al37919
Автор модуля вот что пишет:
Параметры меняются наверное так:The module itself accepts parameters, defaults shown:
ip_list_tot=100 ; Number of addresses remembered per table
ip_pkt_list_tot=20 ; Number of packets per address remembered
ip_list_hash_size=0 ; Hash table size
0 means to calculate it based on ip_list_tot, default: 512
ip_list_perms=0644 ; Permissions for /proc/net/ipt_recent/* files
debug=0 ; Set to 1 to get lots of debugging info
Code:modprobe ipt_recent ip_list_tot=1000
Senior Member
Пытался настроить безопасный доступ к ssh. Но что-то сам запутался.
ssh работает на стандартном порту (22).
Но доступ с работы я могу иметь только по 80 или 443 портам.
Поэтому делаю прокидывание 443 на локальный 22.
Сейчас этот кусок в пост-файрволл выглядит так:
гдеCode:# Ловим атакующих на shh (22) порт # - создали таблицу для пакетов на 22 порт iptables -N SSH_EVAL # - Удаляю запрещающее правило iptables -D INPUT -j DROP # - все, что приход на 22 порт отправляем в нашу таблицу iptables -A INPUT -p tcp --dport $SSH_PORT -j SSH_EVAL # - фильтруем все, что не пришло с внутреннего интерфейса br0 iptables -A SSH_EVAL -i ! $BR0IF -p tcp -m state --state NEW --dport $SSH_PORT -m recent --set --name SSH_ATTACKER --rsource iptables -A SSH_EVAL -i ! $BR0IF -p tcp -m state --state NEW --dport $SSH_PORT -m recent --update --seconds 600 --hitcount 4 --name SSH_ATTACKER --rsource -j DROP # - установленные соединения разрешаю iptables -A SSH_EVAL -p tcp --syn --dport $SSH_PORT -j ACCEPT # - Возвращаю назад запрещающее правило iptables -A INPUT -j DROP # - пробрасываем внешний порт на 22 внутренний iptables -t nat -I PREROUTING -i $PPP0IF -p tcp --dport $PPP0_SSH_PORT -j DNAT --to-destination $BR0IP:$SSH_PORT
В результате получаются открытыми в интернет оба порта и 22 и 443.Code:PPP0IP=$2 VLAN1IP=$6 BR0IP=$4 PPP0IF=$1 VLAN1IF=$5 BR0IF=$3 SSH_PORT=22 PPP0_SSH_PORT=443
Как сделать так чтобы остался открытым снаружи только 443, а внутри остался 22 ?
[ASUS wl-500gP (v1) 1.9.2.7-rtn-r7438M 128Mb 300MHz 2+2usb] + [2Гб USBFlash] + [USB-HDD] + [xinetd] + [samba3] + [Download Engine] + [rTorrent] + [3proxy] + [nShaper] + [mcabber] + [apcupsd] + [mpd]; Было: [openvpn&udhcpc]; [privoxy] + [polipo];
Лужу, паяю, АВМ починяю
А если сделать ТОЛЬКО доступ по 443 порту везде? В веб морде. И не заморачиваться с пробросами?
Было: WL500gP (fw 1.9.2.7-10-USB-1.71) + Toshiba TravelStar 250Gb 2.5" inside router.
(ADOS + rTorrent WebUI+rtorrent + samba + rrdtool + XMail + QuiXplorer + ClamAV)
> Мои инструкции < Для новичков и ленивых > Wiki переехало сюда < "Ночные" сборки >
Senior Member
Это тоже вариант, но я кажется решил проблему.
Перечитав man по iptables в частности по DNAT, понял что там происходит с адресами.
Короче. В правило, открывающее доступ к 22 порту добавил проверку по целевому ip.
Теперь это правило выглядит так:
а было так:Code:# - все, что приход на 22 порт отправляем в нашу таблицу iptables -A INPUT -d $BR0IP -p tcp --dport $SSH_PORT -j SSH_EVAL
Code:# - все, что приход на 22 порт отправляем в нашу таблицу iptables -A INPUT -p tcp --dport $SSH_PORT -j SSH_EVAL
[ASUS wl-500gP (v1) 1.9.2.7-rtn-r7438M 128Mb 300MHz 2+2usb] + [2Гб USBFlash] + [USB-HDD] + [xinetd] + [samba3] + [Download Engine] + [rTorrent] + [3proxy] + [nShaper] + [mcabber] + [apcupsd] + [mpd]; Было: [openvpn&udhcpc]; [privoxy] + [polipo];
Junior Member
Такая вот проблема жить мешает.
Роутер WL-700gE, прошивка от KFurge.
Через какое-то время работы перестает пускать к себе по ssh.
Т.е. сначала могу нормально залогиниться через PuTTy и nTorrent c ББ или любого ноута.
Через какое-то время nTorrent пишет disconnected. При попытке запустить его по новой (опять же на любом компе) пишет Auth fail.
При попытке захода через PuTTy после ввода пароля пишет Access denied.
По телнету при этом пускает без проблем.
В чем может быть причина и как ее побороть?
Лужу, паяю, АВМ починяю
Смотреть логи.
Было: WL500gP (fw 1.9.2.7-10-USB-1.71) + Toshiba TravelStar 250Gb 2.5" inside router.
(ADOS + rTorrent WebUI+rtorrent + samba + rrdtool + XMail + QuiXplorer + ClamAV)
> Мои инструкции < Для новичков и ленивых > Wiki переехало сюда < "Ночные" сборки >
Junior Member
Логи чего и где?
Posting Permissions
