1 Temat przez aksnet (edytowany przez aksnet 2017-08-28 09:33:08)

  • aksnet
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-01-28
  • Posty: 123

Temat: iptables - kompilacja, niepoprawne działanie

Witam

Używam OpenWrt 14.07

Przed kompilacją w  Network —> Firewall —>

znaczę:

 <*> iptables.............. IP firewall administration tool
 <*> conntrack-tools....... Connection tracking userspace tools

iptables 1.4.21

po kompilacji nie działa blokowanie pinga:

iptables -A INPUT -p icmp -j DROP

czy podczas kompilacji powinienem coś jeszcze  dodać?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,025

Odp: iptables - kompilacja, niepoprawne działanie

iptables -I INPUT -p icmp -j DROP

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez aksnet (edytowany przez aksnet 2017-08-28 10:10:24)

  • aksnet
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-01-28
  • Posty: 123

Odp: iptables - kompilacja, niepoprawne działanie

to samo - nie blokuje

iptables -L   - pokazuje puste tablice

dla pewności zrobiłem

iptables -F   

i to też nic nie zmieniło


Kiedy próbuję blokować w trakcie pingowania - nie blokuje nigdy.

Zauważyłem, że blokuje i to (nie zawsze) dopiero po przerwaniu pingowania i wznowieniu pinga

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,025

Odp: iptables - kompilacja, niepoprawne działanie

Jakie puste tablice? Skoro używasz openwrt to skąd masz puste tablice? Zmieniłeś firewall po swojemu?

To że nie blokuje dla istniejących połączeń to normalne.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez aksnet (edytowany przez aksnet 2017-08-28 10:45:23)

  • aksnet
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-01-28
  • Posty: 123

Odp: iptables - kompilacja, niepoprawne działanie

jest to zmodyfikowane OpenWrt 14.07 (nie przeze mnie)

po restarcie rutera wygląda tak:

iptables -L

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,025

Odp: iptables - kompilacja, niepoprawne działanie

Czyli w ogóle nie masz firewalla - nie ma nic, a polityki domyślne są na ACCEPT.

Które pingi chcesz zatrzymać? Bo jeszcze pomiędzy urządzeniami w lanie to się nie da, bo to przez cpu nie przechodzi (jeszcze zależy jaki układ). Jeżeli do wanu to na FORWARD a nie input, ale właśnie pokazałeś że wanu raczej nie masz. INPUT jeżeli chcesz zablokować pingi to tego konkretnego urządzenia.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez aksnet

  • aksnet
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-01-28
  • Posty: 123

Odp: iptables - kompilacja, niepoprawne działanie

chce zatrzymać ping z komputera do LAN (lct0)

na razie tylko testuje działanie iptables

to też nie działa:

iptables -A INPUT -i lct0  -p icmp -j DROP

chyba coś jest nie tak z iptables

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,025

Odp: iptables - kompilacja, niepoprawne działanie

Jeżeli masz tam switcha to nie zatrzymasz, bo to w ogóle przez router nie przechodzi tylko przez sprzętowy switch.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez aksnet

  • aksnet
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-01-28
  • Posty: 123

Odp: iptables - kompilacja, niepoprawne działanie

Jest jeden lan (ethernet) i jeden wan (światło).

Nie sądzę żeby tworzyły sprzętowy switch.

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,025

Odp: iptables - kompilacja, niepoprawne działanie

Co to za urządzenie?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez aksnet (edytowany przez aksnet 2017-08-28 12:02:17)

  • aksnet
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-01-28
  • Posty: 123

Odp: iptables - kompilacja, niepoprawne działanie

Tenda G103

Jednak tworzą sprzętowy switch, ale czy to na pewno ma wpływ?

12 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,025

Odp: iptables - kompilacja, niepoprawne działanie

Żeby reguła zadziałała to pakiet musi przejść przez iptables/routing itd. Zaś jeżeli wszystko jest w jednej podsieci (sprzętowo) to nie ma jak tego zablokować bo pakiet w ogóle nie leci przez cpu tylko jest odbierany bezpośrednio ze switcha. O ile faktycznie masz tak połączone.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

13 Odpowiedź przez aksnet (edytowany przez aksnet 2017-08-28 12:15:11)

  • aksnet
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-01-28
  • Posty: 123

Odp: iptables - kompilacja, niepoprawne działanie

Na oryginalnym oprogramowaniu Tendy (też opartym na OpenWrt 14.07)
dokładnie takie blokowanie ładnie działa.

Wniosek z tego, że to nie kwestia sprzętu tylko oprogramowania/konfiguracji.

14 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,025

Odp: iptables - kompilacja, niepoprawne działanie

Porównaj konfigurację sieci w oryginalne i w tym co masz. W szczególności jak jest z interfejsami i bridge.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

15 Odpowiedź przez aksnet

  • aksnet
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-01-28
  • Posty: 123

Odp: iptables - kompilacja, niepoprawne działanie

wszystko przez linię:

net.netfilter.nf_conntrack_skip_filter=1

w pliku: /etc/sysctl.conf