sslug-teknik team mailing list archive

[Jørgen Heesche <heesche@xxxxxxxxxx>]

PRL wrote:
> Jørgen Heesche wrote:
>
>
> > Jeg har sat reglen ind som nummer 3 efter 2 regler vedr. min IPS.
> > 'ipchains -L' giver:
> >
> > Chain input (policy ACCEPT):
> > target  prot opt     source          destination    ports
> > ACCEPT  udp  ------  129.142.7.101   anywhere       domain ->   any
> > ACCEPT  udp  ------  195.82.195.101  anywhere       domain ->   any
> > ACCEPT  tcp  ------  host.new        anywhere       ssh ->   any
> > ACCEPT  all  ------  anywhere        anywhere       n/a
> > REJECT  tcp  -y----  anywhere        anywhere       any ->   0:1023
> > REJECT  tcp  -y----  anywhere        anywhere       any ->   nfs
> > REJECT  udp  ------  anywhere        anywhere       any ->   0:1023
> > REJECT  udp  ------  anywhere        anywhere       any ->   nfs
> > REJECT  tcp  -y----  anywhere        anywhere       any ->   x11:6009
> > REJECT  tcp  -y----  anywhere        anywhere       any ->   xfs
> > Chain forward (policy ACCEPT):
> > Chain output (policy ACCEPT):
> >
> > Er det en forkert placering af ssh-reglen?
>
>
> OK, jeg viste ikke at du havde kaldt maskinen for 'host.new'.
> Det ser fint ud.
>
> #
> Hvad med at starte lidt systematisk på at finde problemet ?
> Jeg antager at det er en god ide ;)
>
> #
> 1. Du laver en ipchains -F (Mener jeg at kunne huske det hedder for at 
> slette alle regler.)
>
> 2. Nu har du ikke noget der skulle blokere.
>
> 3. Du laver en telnet fra den maskine som du skal ssh'e fra. telnet <ip> 
> 22
>
> 4. Kommer der et banner der siger noget med SSH et eller andet ?
>
> 5. Hvis ja: Så er der hul igennem OG sshd kører på 'modtager' maskinen 
> gå til punkt 7.
>
> 6. Hvis nej, Hvad siger loggen på modtager maskinen ?
> 7. Prøv nu at lave en ssh forbindelse til maskinen og se om det ikke 
> skulle være muligt at logge ind. ssh <ip> -l <login navn>
>
> 8. Hvis det ikke fungerer så må der være noget galt med din ssh 
> konfiguration eller også har du også noget der blokerer på 'sender' 
> maskinen, flush flush.
>
> 9. Hvis du enabler ipchains igen, kan du så gøre det samme ? Gå til 
> punkt 3.
>
>
> Der er sikkert muligheder jeg har glemt, men det er altid en god ide at 
> udelukke muligheder ved at gå et skridt frem ad gangen i stedet for at 
> pille ved alle ting på en gang.

Dette satte mig på det rigtige spor til løsning af problemet. Tak for 
det. :)
Ved at køre ipchains-save og derefter slette reglerne en ad gangen fra 
begyndelsen af kæden, teste og restore hvergang, kom jeg hurtigt til at 
regel nr. 5: reject tcp input fra alle porte, var synderen. (Ikke 
overrraskende når først man fik øjnene op for det).
Jeg kunne så bare have slettet regel 5, men jeg har valgt at erstatte 
den med to nye regler som rejecter port 0:21 og 23:1023, og undlade at 
definere en særlig regel for port 22.
Mht. at gøre ændringen permanet fandt jeg ud af, at der startes et 
ipchains-script fra init.d. Dette script finder reglerne i filen 
/etc/sysconfig/ipchains, og så har jeg bare editeret i den fil.
Det var nemt at gøre det sådan, men måske findes der en anden måde ?. 
der sker jo faktisk noget med inputkæden senere, idet der tilføjes 2 
regler vedrørende min IPS, men jeg kan ikke se hvor det sker.

Mvh og tak :)
jørgen Heesche