Registrován: 05.07.2002
Příspěvků: 405

Zkusil jsem si na routeru dat jednoduchy firewall zalozeny na tom ze budu dropovat INPUT a povolim jen co je potreba.
Mam ale problem s tim, ze kdyz to spustim, cca do minuty mi to prestane routovat.
Doslo mi ze je to asi quaggou, povolil jsem na INPUTu porty 2600 (zebrasrv), 2601 (zebra vty) a 2604 (ospfd).
Presto mi to nechce fungovat.
nmap bez firewallu rika:
2601/tcp open zebra
2604/tcp open ospfd
z tcpdumpu jsem na ap odchytil akorat:
"mojeIP" > OSPF-ALL.MCAST.NET: OSPFv2, Hello (1), length: 48

v zebra log mam:
2005/02/13 20:20:39 warnings: ZEBRA: Can't connect to SNMP agent with SMUX
2005/02/13 20:30:03 errors: ZEBRA: netlink-listen filter function error
kde ta druha chyba je "bezna" a skace az v okamziku kdy to funguje

log ospfd jsem moc nepochopil, ale o tom SNMP je tam taky.

Pomuze nekdo?

__________________

Registrován: 12.05.2002
Příspěvků: 5247

Team Member: ADMIN

User is Mapper

Registrován: 05.07.2002
Příspěvků: 405

Na lo nedropuju, ani na eth0, jen na wlan0 z duvodu toho ze mam verejnou IP a chci trochu zmensit moznost napadeni.
Jakym zpusobem to tedy muzu povolit?

__________________

Registrován: 25.06.2002
Příspěvků: 474

__________________

Registrován: 05.07.2002
Příspěvků: 405

No nevim, ale pomohlo mi tohle:
iptables -A INPUT -p ospf -j ACCEPT # ospf povolit
Pac jak jsem se dozvedel, OSPF neni vubec TCP/IP protokol.

__________________

Registrován: 13.01.2004
Příspěvků: 604

ospf bezi na portech 2601-2607, a to sice tcp a udp - INPUT, OUTPUT a PREROUTING.
co se tyce dummy ifacu, resil jsem to povolenim veskere komunikace na 224.0.0.5/32, 224.0.0.6/32 a 224.0.0.9/32
pak vse bezelo. nicmene, mam v iptables parametry ESTABILISHED, takze se musi daemoni zebra a ospfd spustit pred samotnymi iptables.
staci tam pridat jeste NEW, a pak jede vse jak ma.

__________________

Registrován: 05.07.2002
Příspěvků: 405

Me to jede takhle, i pri rebootu.
2601-2607 povoleny nemam, pry je to jen pro administraci, coz by odpovidalo oznaceni "zebra/ospfd VTY".

__________________

Registrován: 07.08.2002
Příspěvků: 90

Pro routovani je treba opravdu jen ten multicast, je dobry to omezit jen na stroje od kterych takovy data ocekavas => na routery s bezicim ospf.

Takze treba:

iptables -A INPUT -i ethX -s a.b.c.d -d 224.0.0.0/24 -j ACCEPT

Kde a.b.c.d je IP sousedniho routeru. Pokud je jich vic je to lepsi udelat jinak

iptables -N routing
iptables -A INPUT -d 224.0.0.0/24 -j routing
iptables -A routing -s a.b.c.d -j ACCEPT
iptables -A routing -s k.l.m.n -j ACCEPT
...

Registrován: 05.07.2002
Příspěvků: 405

A je tohle moje reseni v poradku nebo ne?

__________________

Registrován: 12.05.2002
Příspěvků: 5247

Team Member: ADMIN

User is Mapper