servidor firewall comportamento estranho...

dercilima
(usa Debian)

Enviado em 15/08/2009 - 08:46h

ola pessoal bom dia..

eu estou montando um servidor firewall aki na empresa..
e ta acontecendo um negocio estranho aki comigo .
vo explicar pra vc's.

eh o seguinte.
meu servidor .. ainda esta soh com o iptables configurado.
eu o configurei via putty..atraves do meu notebook..
acontece o seguinte..
isso ja aconteceu ..
tres vezes..
quando eu desligo meu notebook a tarde ..
no final do expediente .
o servidor para de funcionar ..
nao compartilha mais a internet..
e se desconecta ..
nao aceita ping .
e tbm nao pinga..
nem na rede interna nem na net..
e nao se conecta novamente..
dai se eu ligar meu notebook novamente..
e fikar tentando pingar nele..
vai indo ..
em pouco prazo ele volta a funcionar..

gostaria de saber .
se isso tem alguma explicação ...
pq eh muito estranho ..

falow pessoal;;

juninho (RH.com)
(usa Debian)

Enviado em 15/08/2009 - 09:01h

isto é muito estranho, mas acho que não tem nada a ver com o seu notebook, acho que voce só ve que o server caiu a tarde, mas na verdade ele está caindo mais vezes, e o fato de voce ligar o note e ficar pingando até dar certo, é pura coincidencia, é que voce vai tentando e a hora que ele volta voce consegue pingar.

Dá uma olhada melhor no seu server, dá uma olhada nos logs.

maninhx
(usa Slackware)

Enviado em 15/08/2009 - 09:58h

você não tem acesso direto ao server ou só ssh?

liga um monitor e teclado no server pra fazermos um teste direto nele.

dercilima
(usa Debian)

Enviado em 15/08/2009 - 10:05h

ola juninho valew pela atenção..
acho q ele nao cai muitas vezes assim nao ..
a rede toda fika conectada na net atraves dele..
msn .. internet .. e eu nao vejo cair nenhuma vez ..
eu uso o roteamento do kernel e o mascaramento..
sabe..
pode ate q seja msmo ..
mas como eu faço pra verificar esses logs??
eu sou ... iniciante em linux.

valew parceiroo

dercilima
(usa Debian)

Enviado em 15/08/2009 - 10:07h

ola maninhx...

eu fiko frente a frente com ele..
eu uso .. o ssh (putty) e algumas configuraçoes ..
eu faço diretamente nele msmo ...
mas vamos la ..
quais sao os testes q da pra gente fazer . ??

_______________________________________________
valew pela sua respostaa..

maninhx
(usa Slackware)

Enviado em 15/08/2009 - 10:19h

quando você desconecta o notebook.
você verificou direto no server o que realmente para de funcionar?

ele para de compartilhar, o server continua pingando a internet mas os terminais não. tente verificar o que realmente para de funcionar.

dercilima
(usa Debian)

Enviado em 15/08/2009 - 11:19h

maninhx

olha ..
eu testei o ping de outro computador pra ele..
XP para servidor Slackware .. eu tempo esgotado..

tentei pingar dele para outros pcs.. na rede .
e eu ..
host .. unreacheable..

tentei pingar dele pra internet..
e deu uncknow..

e os outros pcs da rede .. tbm nao se conectavam a internet ..
mas antes de eu desligar meu note... estavam .. normalmente..
quando desliguei ..
meu patrao grito q a net tinha caido..

tentei dar pppoe-start..
pra conectar . .. mas fikava tentando conectar e nada..
reiniciei o modem .. o servidor.. e nada ..

entao desistimos .. e fomos embora..
quando foi hj pela manha ..
eu liguei ele ..
e ele tava do msmo jeitoo ..
eu procurei algum erro .. e nada..
dai conectei meu note.. na rede ..
e reiniciei o .. servidor novamente. .
e fui tentando pingar no servidor ..
em duas tentativas .. ele voltou a funcionar ..
reiniciei ele ..
e aii .. se conectou na net ..
normalmente.
e esta ate agora..

...
valew pela atençao ..

maninhx
(usa Slackware)

Enviado em 15/08/2009 - 11:36h

isso é muito estranho.

quando seu server cair. tenta pingar o ip dele mesmo pra ver se responde.

como é a sua estrutura? bota os comandos que você usa para o NAT no server.

dercilima
(usa Debian)

Enviado em 15/08/2009 - 11:41h

blza ..
quando ele cair .. novamente.. eu vou tentar pingar ele msmo..
mas acho q ele nao vai cair mais nao ...
eu disse pra ele..
q se ele .. cair .
novamente.
eu vou arrumar um substituto pra ele..
..
rsrsr
..
mas eu ja desliguei meu note .
e ele nao caiu .. nao ..

essa estrutura q vc falou..
eu nao entendi .. como assim .. q estrutura eh essa??
e os comandos ?? quais deles ?? usei muitos... me explica pq eu sou bem. ..
novato msmo ..
tenho um mes e meio somente..
paciencia comigo..
grande abraçoo..
valew pela ajudaa

maninhx
(usa Slackware)

Enviado em 15/08/2009 - 11:52h

as estrutura é assim.
quantas placas de rede você tem. qual delas comunica com a internet, o IP dela. qual delas comunica com os terminais e o IP dela.

e as linhas do compartilhamento de internet, você deve ter usado o iptables para fazer isso. coloque as regras.

dercilima
(usa Debian)

Enviado em 17/08/2009 - 10:38h

ola maninhx..
eu tenho somente uma placa onboard.
eth0
ip 10.1.1.96

regras usadas .. para configurar o iptables

#!/bin/sh

# Variáveis
# -------------------------------------------------------
iptables=/usr/sbin/iptables
IF_EXTERNA=ppp0
IF_INTERNA=eth0


# Ativa módulos
# -------------------------------------------------------
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_REJECT
/sbin/modprobe ipt_MASQUERADE


# Ativa roteamento no kernel
# -------------------------------------------------------
echo "1" > /proc/sys/net/ipv4/ip_forward


# Proteção contra IP spoofing
# -------------------------------------------------------
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter


# Zera regras
# -------------------------------------------------------
$iptables -F
$iptables -X
$iptables -F -t nat
$iptables -X -t nat
$iptables -F -t mangle
$iptables -X -t mangle


# Determina a política padrão
# -------------------------------------------------------
$iptables -P INPUT DROP
$iptables -P OUTPUT DROP
$iptables -P FORWARD DROP


#################################################
# Tabela FILTER
#################################################


# Dropa pacotes TCP indesejáveis
# -------------------------------------------------------
$iptables -A FORWARD -p tcp ! --syn -m state --state NEW -j LOG --log-level 6 --log-prefix "FIREWALL: NEW sem syn: "
$iptables -A FORWARD -p tcp ! --syn -m state --state NEW -j DROP


# Dropa pacotes mal formados
# -------------------------------------------------------
$iptables -A INPUT -i $IF_EXTERNA -m unclean -j LOG --log-level 6 --log-prefix "FIREWALL: pacote mal formado: "
$iptables -A INPUT -i $IF_EXTERNA -m unclean -j DROP


# Aceita os pacotes que realmente devem entrar
# -------------------------------------------------------
$iptables -A INPUT -i ! $IF_EXTERNA -j ACCEPT
$iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$iptables -A OUTPUT -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT
$iptables -A FORWARD -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT


# Proteção contra trinoo
# -------------------------------------------------------
$iptables -N TRINOO
$iptables -A TRINOO -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL: trinoo: "
$iptables -A TRINOO -j DROP
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 27444 -j TRINOO
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 27665 -j TRINOO
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 31335 -j TRINOO
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 34555 -j TRINOO
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 35555 -j TRINOO


# Proteção contra tronjans
# -------------------------------------------------------
$iptables -N TROJAN
$iptables -A TROJAN -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL: trojan: "
$iptables -A TROJAN -j DROP
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 666 -j TROJAN
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 666 -j TROJAN
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 4000 -j TROJAN
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 6000 -j TROJAN
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 6006 -j TROJAN
$iptables -A INPUT -p TCP -i $IF_EXTERNA --dport 16660 -j TROJAN


# Proteção contra worms
# -------------------------------------------------------
$iptables -A FORWARD -p tcp --dport 135 -i $IF_INTERNA -j REJECT


# Proteção contra syn-flood
# -------------------------------------------------------
$iptables -A FORWARD -p tcp --syn -m limit --limit 2/s -j ACCEPT


# Proteção contra ping da morte
# -------------------------------------------------------
$iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT


# Proteção contra port scanners
# -------------------------------------------------------
$iptables -N SCANNER
$iptables -A SCANNER -m limit --limit 15/m -j LOG --log-level 6 --log-prefix "FIREWALL: port scanner: "
$iptables -A SCANNER -j DROP
$iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags ALL NONE -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags ALL ALL -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags ALL FIN,SYN -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -i $IF_EXTERNA -j SCANNER
$iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -i $IF_EXTERNA -j SCANNER


# Loga tentativa de acesso a determinadas portas
# -------------------------------------------------------
$iptables -A INPUT -p tcp --dport 21 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: ftp: "
$iptables -A INPUT -p tcp --dport 23 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: telnet: "
$iptables -A INPUT -p tcp --dport 25 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: smtp: "
$iptables -A INPUT -p tcp --dport 80 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: http: "
$iptables -A INPUT -p tcp --dport 110 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: pop3: "
$iptables -A INPUT -p udp --dport 111 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: rpc: "
$iptables -A INPUT -p tcp --dport 113 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: identd: "
$iptables -A INPUT -p tcp --dport 137:139 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: samba: "
$iptables -A INPUT -p udp --dport 137:139 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: samba: "
$iptables -A INPUT -p tcp --dport 161:162 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: snmp: "
$iptables -A INPUT -p tcp --dport 6667:6668 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: irc: "
$iptables -A INPUT -p tcp --dport 3128 -i $IF_EXTERNA -j LOG --log-level 6 --log-prefix "FIREWALL: squid: "


# Libera acesso externo a determinadas portas
# -------------------------------------------------------
$iptables -A INPUT -p tcp --dport 22 -i $IF_EXTERNA -j ACCEPT
$iptables -A INPUT -p tcp --dport 3389 -i $IF_EXTERNA -j ACCEPT
$iptables -A INPUT -p tcp --dport 20000 -i $IF_EXTERNA -j ACCEPT
$iptables -A INPUT -p tcp --dport 445 -i $IF_INTERNA -j ACCEPT
$iptables -A INPUT -p tcp --dport 139 -i $IF_INTERNA -j ACCEPT
$iptables -A INPUT -p tcp --dport 82 -i $IF_EXTERNA -j ACCEPT
$iptables -A INPUT -p udp --dport 1863 -i $IF_INTERNA -j ACCEPT
$iptables -A INPUT -p tcp --dport 3306 -i $IF_INTERNA -j ACCEPT
$iptables -A INPUT -p udp --dport 25000:30000 -i $IF_INTERNA -j ACCEPT




# Libera acesso de smtp para fora apenas para o IP XXX.XXX.XXX.XXX
# -------------------------------------------------------
#$iptables -A FORWARD -p tcp -d ! XXX.XXX.XXX.XXX --dport 25 -j LOG --log-level 6 --log-prefix "FIREWALL: SMTP proibido: "
#$iptables -A FORWARD -p tcp -d ! XXX.XXX.XXX.XXX --dport 25 -j REJECT


#################################################
# Tabela NAT
#################################################


# Ativa mascaramento de saída
# -------------------------------------------------------
$iptables -A POSTROUTING -t nat -o $IF_EXTERNA -j MASQUERADE


# Proxy transparente
# -------------------------------------------------------
$iptables -t nat -A PREROUTING -i $IF_INTERNA -p tcp -d ! 200.201.174.207 --dport 80 -j REDIRECT --to-port 8080


# Redireciona portas para outros servidores
# -------------------------------------------------------
#$iptables -t nat -A PREROUTING -d 10.1.1.47 -p tcp --dport 3389 -j DNAT --to-destination 10.0.0.1


# Impede o acesso externo ao squid
# -------------------------------------------------------------------------------------
iptables -A INPUT -m tcp -p tcp -s ! 127.0.0.1 --dport 3128 -j DROP


###############################
# Terminal Service #
###############################

# Depois avisa que a porta vai ser forwardeada
iptables -A FORWARD -i ppp0 -d 0/0 -p tcp -m tcp --dport 3389 -j ACCEPT

# Então voce direciona para a maquina
iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp --dport 3389 -j DNAT --to 10.1.1.47

# Depois avisa que a porta vai ser forwardeada
iptables -A FORWARD -i ppp0 -d 0/0 -p tcp -m tcp --dport 21 -j ACCEPT

# Então voce direciona para a maquina
iptables -t nat -A PREROUTING -i ppp0 -p tcp -m tcp --dport 21 -j DNAT --to 10.1.1.99

####################
# MSN-PROXY #
####################

$iptables -t nat -A PREROUTING -i $IF_INTERNA -p udp --dport 1863 -j REDIRECT --to-port 1863
#iptables -t nat -I PREROUTING -i $IF_INTERNA -p tcp --dport 1863 -j REDIRECT --to-port 1863
#iptables -A INPUT -p ALL -s 10.1.1.96/24 -i $IF_INTERNA -j ACCEPT

maninhx
(usa Slackware)

Enviado em 17/08/2009 - 10:57h

Ta faltando o Mascaramento.
seria legal você ter 2 placas de rede para fazer o NAT mas caso não seje possível vamos levantar um eth virtual

pra levantar uma virutla
ifconfig eth0:1 192.168.1.1 netmask 255.255.255.0

e não esqueça, as configurações dos terminais ficarão compatível com as da eth0:1 ou seja

IP: 192.168.1.x
Mascara: 255.255.255.0
Gateway: 192.168.1.1


depois adiciona a seguinte linha no teu firewall depois das regras que zeram.

iptables -t nat -A POSTROUTING -s 0/0 -j MASQUERADE

assim ele fará o mascaramento de qualquer interface para qualquer interface.