Re: iptables setup: masq, opening ports, security

["Dmitriy Sirant" <lex@paradise.net.ua>]

>
> А где?! Ведь апач и sendmail у меня независимо от xinetd, там, значит,
> все в порядке... Трафик по маскараду идет, значит, входящие соединения
> разрешаются, если есть соответствующее исходящее...

А не в этом ли проблема (сразу скажу, что все правила твои не проверял, лень
как-то было :), но ты сам пишешь, что _входящие соединения  разрешаются,
если есть соответствующее исходящее_ , но изначально у тебя исходящих ведь
нет, запрос приходит с _внешнего_ мира а не идет от твоего апача (сендмыла и
т.д.)

>
> Изнутри, то есть с локальной сети все работает - задаю адрес
> http://62.65.204.36 и открывается красивая страничка с сервера. Захожу
> на FTP по тому же адресу - тоже заходит. На sendmail по адресу
> 62.65.204.36 порт 25 - письма шлю для локального аккаунта
> uset@hostname.dyn-dns.org - все приходит.
>
> Но как только пытаюсь соединиться извне, через Инет - комп не доступен.
> Кстати, если пытаюсь с sendmail соединиться - ждет таймаута, если с
> apache httpd - почти сразу рубится (через секунду, хотя это, может, MS
> IE тормозной). Хотя это *меня*, возможно, уже глючит.
>
> Не может же быть чтобы 3 программы сразу были так настроены, чтобы ни в
> какую не соединяться с внешним миром, хоть файрволл это и позволяет!
>
> Или это, может, глючная настройка ядра? Вот как я его настраивал:
>
> CONFIG_NET=y
> # CONFIG_NETLINK_DEV is not set
> CONFIG_NETFILTER=y
> # CONFIG_NETFILTER_DEBUG is not set
> CONFIG_INET=y
> # CONFIG_NET_IPIP is not set
> CONFIG_NET_IPGRE=m
> # CONFIG_NET_IPGRE_BROADCAST is not set
> CONFIG_INET_ECN=y
> # CONFIG_DECNET is not set
> CONFIG_NET_SCHED=y
> CONFIG_NET_SCH_CBQ=m
> CONFIG_NET_SCH_CSZ=m
> CONFIG_NET_SCH_PRIO=m
> CONFIG_NET_SCH_RED=m
> CONFIG_NET_SCH_SFQ=m
> CONFIG_NET_SCH_TEQL=m
> CONFIG_NET_SCH_TBF=m
> CONFIG_NET_SCH_GRED=m
> CONFIG_NET_SCH_DSMARK=m
> CONFIG_NET_SCH_INGRESS=m
> CONFIG_NET_QOS=y
> CONFIG_NET_ESTIMATOR=y
> CONFIG_NET_CLS=y
> CONFIG_NET_CLS_TCINDEX=m
> CONFIG_NET_CLS_ROUTE4=m
> CONFIG_NET_CLS_ROUTE=y
> CONFIG_NET_CLS_FW=m
> CONFIG_NET_CLS_U32=m
> CONFIG_NET_CLS_RSVP=m
> CONFIG_NET_CLS_RSVP6=m
> CONFIG_NET_CLS_POLICE=y
> CONFIG_NET_PKTGEN=m
> CONFIG_NETDEVICES=y
> # CONFIG_ARCNET is not set
> # CONFIG_NET_SB1000 is not set
> CONFIG_NET_ETHERNET=y
> CONFIG_NET_VENDOR_3COM=y
> # CONFIG_NET_VENDOR_SMC is not set
> # CONFIG_NET_VENDOR_RACAL is not set
> CONFIG_NET_ISA=y
> CONFIG_NET_PCI=y
> # CONFIG_PCNET32 is not set
> # CONFIG_NET_POCKET is not set
> # CONFIG_NET_RADIO is not set
> # CONFIG_NET_FC is not set
>
> Если что, скажите. Хотя, будет очень неприятно услышать, что мне
> придется перекомпилить ядро... Но я надеюсь, что не придется.
>
> --
> Andrei Sosnin
> http://zzx.ath.cx
>
>    <!-- : it all depends on your vision : -->
>
>
>
> --
> To UNSUBSCRIBE, email to debian-russian-request@lists.debian.org
> with a subject of "unsubscribe". Trouble? Contact
listmaster@lists.debian.org