Serviços Malukos... Coisa de Admin

Amigos,

Estive pensando.. qual a melhor maneira de reiniciar um serviço remotamente...

assim... ontem eu mexendo no iptables de um servidor q fica a 300km fisicamente de mim.. fiz alguma merda.. q agora nao tenho mais acesso..

estou esperando chegar amanha.. segunda.. pra pedir alguem q reboot o mesmo...

entao pensei.. seria bom se nós admins.. criassemos um script q consertasse isso de alguma forma inteligente...

a maneira mais rude q pensei.. foi criar um agendamenteo (Cron) para q em tanto tempo 5 min por exemplo.. rodasse o iptables correto para garantir o acesso remoto de volta...

mas aih.. pensei isso.. ateh fiz o script shell.. mas nao agendei.. e aih jah sabem... estou sem acesso.

aih resolvi chegar ateh aki para pensarmos juntos em algo mais inteligente.. com por exemplo... um ping infinito em algum servidor 34 horas.. tipo globo.com e caso falhasse.. rodasse o tal script de socorro..

algo do tipo.. alguem tem alguma ideia boa?

Aproveitando.. (acho q assisti filmes demais - ontem assisti a 1a temporada de prison break)

pensei tb: tem como eu rodar um serviço/script/bin/qquer coisa executavel, caso eu pingasse uma porta especifica no meu server?

claro q isso nao tem nada a ver com o assunto de cima.. mas queria fazer algo q nao sei ainda.. e acho q isso deve server... por exemplo.. pingar a porta 9876 no server e ele dispara um evento ou programa..??

alguem doido por aih??

grato,

Eugenio

Cara, lendo seu tópico tive 2 idéias:

1. Quando você for começar algum trabalho desse tipo você pode agendar um reboot pra 30min depois através do comando shutdown. Caso você faça algo de errado, é só ir tomar um café e qnd você voltar ele vai ter rebotado e a última alteração não vai estar salva. Eu utilizava algo parecido quando ia fazer alguma configuração de rotas/ACL nos swiches/routers do meu trabalho...

2. Existe algo parecido com o que você disse, acessar uma porta e ele executar um script. Se chama knockd. Aqui tem um site que explica: fernando.scherrer.nom.br » Blog Archive » Um pouco sobre o knockd

Bem é isso ai. Qualquer dúvida posta ai...
Até mais...

Tutoriais/Adm/wol - UnderLinux Wiki

[Dicas-L] Ligue seu micro remotamente (wake on lan)

Já consegui ligar uma máquina do meu trabalho a partir do meu PC em casa. :party:

Ab, Duca.

Citação:

---

Postado originalmente por eugeniomarques

Amigos,

Estive pensando.. qual a melhor maneira de reiniciar um serviço remotamente...

assim... ontem eu mexendo no iptables de um servidor q fica a 300km fisicamente de mim.. fiz alguma merda.. q agora nao tenho mais acesso..

estou esperando chegar amanha.. segunda.. pra pedir alguem q reboot o mesmo...

entao pensei.. seria bom se nós admins.. criassemos um script q consertasse isso de alguma forma inteligente...

a maneira mais rude q pensei.. foi criar um agendamenteo (Cron) para q em tanto tempo 5 min por exemplo.. rodasse o iptables correto para garantir o acesso remoto de volta...

mas aih.. pensei isso.. ateh fiz o script shell.. mas nao agendei.. e aih jah sabem... estou sem acesso.

aih resolvi chegar ateh aki para pensarmos juntos em algo mais inteligente.. com por exemplo... um ping infinito em algum servidor 34 horas.. tipo globo.com e caso falhasse.. rodasse o tal script de socorro..

algo do tipo.. alguem tem alguma ideia boa?

Aproveitando.. (acho q assisti filmes demais - ontem assisti a 1a temporada de prison break)

pensei tb: tem como eu rodar um serviço/script/bin/qquer coisa executavel, caso eu pingasse uma porta especifica no meu server?

claro q isso nao tem nada a ver com o assunto de cima.. mas queria fazer algo q nao sei ainda.. e acho q isso deve server... por exemplo.. pingar a porta 9876 no server e ele dispara um evento ou programa..??

alguem doido por aih??

grato,

Eugenio

---

ai maluco tem equipamentos no mercado livre que faz isso via telefone... e é barato bem pelo menos eu acho por por 200,00 reais vc não precisa mais se desespera.. é so ligar e restarta...

Citação:

---

Postado originalmente por Magnun Leno da Silva

Cara, lendo seu tópico tive 2 idéias:

1. Quando você for começar algum trabalho desse tipo você pode agendar um reboot pra 30min depois através do comando shutdown. Até mais...

---

Agradecendo a TODOS, mas citando o John Leno...

E se o shutdown nao resolver.. tipo.. alterei meu iptables.conf.. e rodei ele na mão.. aih travou a net.. nao tenho acesso remoto.. o shutdown vai ser feito em 30min.. mas vai rodar o iptables de novo.. e vai travar de novo..

q tal um script.. q copiasse o bom por cima do teste algo assim:
cp /home/backup/iptables_bom.conf /etc/init.d/iptables.conf

e simplesmente rodasse o iptables bom.. sem nem reiniciar a makina..

eh simples fazer neh? eh soh fazer um script.sh e jogar no cron..??

grato,

Eugenio

Sim também pode ser feito. Mas acho que se for mexer com script vale mais a pena usar o script no knockd evitando assim ter que reiniciar a máquina...

Mas caso não queira mexer com o knockd cria um scrit que de um iptables -F e um iptables -t nat -F e depois adiciona umas regras básicas. Ai quando você for fazer manutenção você configura esse script pra ser chamado durante a inicialização. Dessa forma ele sobe "limpo". No final da manutenção você simplesmente comenta a parte que chama o script.

Mas a idéia do Knockd é muito mais interessante... Dá uma lida no link, ele não parece ser difícil de implementar. O link já é um tutorial bem simples e explicativo...

"citando John Leno" foi foda!:rofl: hehe...

amigo, knockd eh o que ha !!!

ou entao nesse caso da sua " cagada a 300 Km de distancia" vc vai ter que utilizar um Watchdog de hardware, custa uns 200 reais, ele desliga ate da energia eletrica. Utilizo esse metodo porque no meu caso e diferente, cada cluster que administro fica no minimo 40 Km um do outro .... dai nao tem erro.

abracos e ... ( ja vi Prison Break ate o final da Terceira temporada) :burnout: nao se empolgue tanto!!!

realmente... Eu não havia pensado em um watchdog de hardware pra isso... Seria interressante...

Mas como ele mesmo citou, e caso ele altere algo no arquivo de configuração? Algo que um simples reboot não resolva?

Mas nada dá 100% de garantia... Nem um script, nem o knockd, nem o watchdog e nem um shutdown temporizado...

é cara... Livin' On the Edge (como diria o Steven Tyler)

Meu apelido e pankdo pois dizem que eu sou meio maluco
então esse tópico tem a minha cara
estudo Eng. Elétrica e sou técnico em telemática
e já tive esse problema d ter que mandar alguem lá longe
so pra apertar o botão de reset
ai tive uma ideia (meio louca mas funciona)
um circuito ligado na porta paralela de outro PC (o mais fraco que for)
que a capas de fechar um rele em paralelo ao botão de reset
esse pc tem uma placa de rede em cada lado da rede e acessivel via ssh
ou seja sempre que vc quiser resetar a maquina e so entrar nesse ouro pc e rodar um codigo basico
que coloca determinado pino da porta paralela em 1 e depois em 0 resetando o outro pc

viajando mais ainda a porta paralela te bits de entrada ok
vc pode ligar algum pino de saida do pc en algum bit de entrada do seu servidor(ou o q for)
so servidor um script mt mt mt simples q fica vendo se o bit ta ta em 1 ou 0
assim q for pra um ele pode rodar qualquer coisa

como todos os comandos vem de uma outra maquina...

e meio viagem mas e bem legal

se quiserem manda um e-mail que eu mando os codigos em C pra setar e ler os bits
os scripts pra controle e os circuitos
e ja aviso q a ja a muito esquecida e diga-se de passagem inutil porta paralela pode ate ser uma mão na roda para as mais loucas ideias

Pankdo, sou formado em engenharia elétrica e telecomunicações. Acho que é mal de todo mundo que se forma nessa área ser meio louco (Também sou)!
A sua idéia é semelhante ao watchdog. Mas dando uma melhorada na sua idéia, poderia ser utilizado um microcontrolador (como o PIC por exemplo - Microcontrolador PIC) associada a um módulo ethernet (por exemplo a IP Dragon -IP Dragon II) e um pouco de programação em assembler pra fazer exatamente isso mas com uma economia de energia considerável e a possibilidade de implementar diversas outras coisas...

Mas caímos de novo na questão: e se só um boot não resolver?? Como por exemplo a alteração estiver salva e for necessário alterar a configuração?
Ai eu digo: O knockd é a melhor solução!

Citação:

---

Postado originalmente por Magnun Leno da Silva

Sim também pode ser feito. Mas acho que se for mexer com script vale mais a pena usar o script no knockd evitando assim ter que reiniciar a máquina...

"citando John Leno" foi foda!:rofl: hehe...

---

musica muito boa enquanto vc ler os posts da gelera:
JOHN LENNON - UOL Busca

Eu queria ser John Lennon....

Mas falando sobre isso.. o konck parece ser a melhor opção... estou implementando ele... nao consegui fazer ele funcionar de fora ainda.. deve ser meu rc.firewall q tah cheio de merda.. por isso quero mudar...

mas vou explorar o knock.. qd tiver exito.. posto aki...

Citação:

---

Postado originalmente por ulix

amigo, knockd eh o que ha !!!
abracos e ... ( ja vi Prison Break ate o final da Terceira temporada) :burnout: nao se empolgue tanto!!!

---

sacanagem... prison break eh ruim no final.. faz isso nao cara.. deixa eu na ilusão...

jah tava ateh comprando uma mochila de carteiro igual a do jack bauer... :withstupid:

acho q deu tilt!!!

Citação:

---

Postado originalmente por pankdo

Meu apelido e pankdo pois dizem que eu sou meio maluco
então esse tópico tem a minha cara
estudo Eng. Elétrica e sou técnico em telemática

---

Citação:

---

Postado originalmente por Magnun Leno da Silva

Pankdo, sou formado em engenharia elétrica e telecomunicações. Acho que é mal de todo mundo que se forma nessa área ser meio louco (Também sou)!

---

Vcs dois eh o seguinte...

1. Eu pensava em um dia me formar em Eletrica.. acabei de desisitr
2. Vamos nos juntar para conquista o mundo...
3. Vou fechar esse topico antes q piore...
4. Nao existe o 4.. eh mera ilusão

Citação:

---

Postado originalmente por eugeniomarques

musica muito boa enquanto vc ler os posts da gelera:
JOHN LENNON - UOL Busca

Eu queria ser John Lennon....

---

Acho que todo mundo queria ser John Lennon... Muito boa a música, não conhecia...
O mais perto que chego do John é no meu segundo nome... hehe...
Desiste de engenharia não... é mt massa...pelo q vi o essencial você ja tem q é a loucura... " 4. Nao existe o 4.. eh mera ilusão" -> huahauhau...
Opa, dominar o mundo, podemos abrir um tópico sobre isso aqui?!
Testa o Knockd ai, e vamos parar de conversa...

Citação:

---

Postado originalmente por Magnun Leno da Silva

Testa o Knockd ai, e vamos parar de conversa...

---

tah bom!! tah bom!!

estou no server agora.. configurei o knock pra 4 batidas.. executar um echo de teste..

mas ontem qd eu perdi o acesso novamente ao server.. por causa do meu rc.firewall novo).. nem bater a porta ele bate.. notei pq no telnet qd eu bato na porta com o knockd funfando.. ele responde rapido q conect refused eu acho.. mas qd perdi o acesso ele demora pra caramba e dava outro erro.. nao sei se foi pq o knokc nao tava como daemon.. e qd perdi o acesso ssh.. deve ter fechado o knock tb.. vou botar ele na memoria agora..

perae...

jah fiz.. tah como daemon.. mas soh consigo bater ateh o segundo estagio.. nao bate o terceiro de jeito nenhum...

e nao eh por causa do tempo... jah aumentei o tempo pra nao ter problemas...

ele responde stagio1 e stagio2.. mas nada do 3...

vou continuar aki...

deu certo usando o cliente knock para win32... nao vou perder tempo testando no telnet.. mas na teoria deveria dar certo...

depois vejo isso...

agora vou mexer no firewall e executar o knock pra ver...

acho que controlar a batida por telnet é meio complicado cara... Pq quando vc da um telnet e a porta não responde após um timeout ele tenta novamente...isso deve bagunçar a sequencia de batidas... porque deve ser interpretado como outra batida na mesma porta... ja o programa não, ele executa somente uma tentativa em cada porta especificada...
Isso é só suposição...

olha isso aqui...
---------------------
O knockd trabalha na 2ª camada do modelo OSI, a camada de enlace ou link, o que o torna capaz de realizar a "escuta de batidas" em portas fechadas.
---------------------
Acho que independente de ter um iptables bloqueando todas as portas o knockd vai ouvir as batidas...

Magno.. realmente eh isso mesmo.. pq no log do knock qd faço via telnet.. ele bate duas vezes na porta 1...

mas de qquer forma voltei aki por causa de um fracasso...

fiz o seguinte... rodei o firewall alterado pra ver se perdia a conexao.. e configurei o knock pra rodar o firewall bom ...

bom.. perdi a conexao.. fiz as batidas.. nao aconteceu nada.. nao obitve acesso de volta.. liguei pra lah pra poderem resetar o server... e tou esprando pra ver o log... mas nao deu certo nao.. parece q o firewall bloqueia ateh o knock...

e o firewall q rodei eh ateh simples.. peguei do memento aki no forum mesmo.. veja:

#!/bin/bash
#
iptables -F
iptables -t nat -F
iptables -t mangle -F
modprobe iptable_nat
#
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128
#
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
#
# somente isso.. e minha placa eth0 eh a q recebe a net.. e a eth1 da rede interna... esse firewall era pra funcionar nao??

eh.. realmente eh isso mesmo.. o knock na recebe as batidas.. nao consta nada no log...

parece q o firewall nao deixa nem bater na porta...

claro um PIC com total certeza e uma ótima solução eu falei do pc com porta paralela pois todo mundo tem um velho k6 jogado na garagem e e muito mais simples pra quem nem faz ideia do que assembly
embora fazer um pic falar tcp/ip tambem seja complicado com assembly

eu resolvi falar sobre a LPT pois ela e muito versátil e fácil
eu fiz pra mim um VU(aquela barrinha de leds colorido que ascendem em sequencia)
ligado a LPT q eu uso como indicador pra qual quer coisa (temperatura, uso de HD, uso de memoria qualquer valor localmente e ate remotamente (to testando com SNMP))
atualmente uso 4 VUs pra mostrar o trafego em placas de rede
se quiser sera um prazer compartinhar com a comunidade

mas ja to com uma proxima maluquice em mente
usar um uComtrolador uma interface serial e um display grafico
e fazer como um eletrocardiograma de trafego de rede em tempo real
meio louco não?????????

Estranho, teoricamente ele deveria bater mesmo com a porta bloqueada, conforme postei antes, os pacotes são capturados em camada 2. E o firewall funciona em camada 3 e 4 (a não ser q vc esteja utilizando ele pra bloquear MAC)... Faz um teste mais simples, bloqueia as portas da sequencia e roda o cliente do knock pra ver se ele ouve as batidas ou não...

pankdo, não precisa fazer o PIC falar TCP/IP a IP Dragon já faz isso :)!!! Ele já te entrega o pacote desmontado em uma sequencia definida. Tipo os primeiros 32 bits IP de origem, os proximos 32 IP de destino e etc... Facilita muito!

vamos lah... vou fazer os testes e posta agora.. nao ficar tanta resposta minha..

antes.. me diz uma coisa..

1. tem algum link ae q ensine a instalar o debian num notebook amd 64 da acer? o aspire ...

2. quando eu respondo aki sem citar ninguem.. vc recebe email informando q tem nova resposta?

3. o modelo de firewall q postei antes.. bem simples por sinal.. pq nao funciona?

4. como eu bloqueio as portas do knock?? iptables -d ???

Blz, bora la...

Citação:

---

vamos lah... vou fazer os testes e posta agora.. nao ficar tanta resposta minha..

antes.. me diz uma coisa..

1. tem algum link ae q ensine a instalar o debian num notebook amd 64 da acer? o aspire ...

---

Cara, não sei... Nunca instalei o Debian em notebooks... mas se você criar um tópico sobre isso na área de Debian acho que alguém deve ter um notebook igual esse com o Debian instalado e eles podem te ajudar...

Citação:

---

2. quando eu respondo aki sem citar ninguem.. vc recebe email informando q tem nova resposta?

---

Sim, a partir do momento que eu respondo um tópico eu automaticamente assino-o, e qualquer post novo eu recebo notificação por e-mail :top:

Citação:

---

3. o modelo de firewall q postei antes.. bem simples por sinal.. pq nao funciona?

---

Cara, pra mim ta simples o suficiente... Mas pelo que você falou, o problema foi que o cliente knock não conseguiu alcançar o server certo?!:hmmmm:

Citação:

---

4. como eu bloqueio as portas do knock?? iptables -d ???

---

Bem, suponhamos que você programou ele pra bater nas portas 1001, 1010, 1100. Crie uma regra que bloqueie essa porta:
iptables -A INPUT -i ethX -p tcp --dport 1001 -j DROP
iptables -A INPUT -i ethX -p tcp --dport 1010 -j DROP
iptables -A INPUT -i ethX -p tcp --dport 1100 -j DROP

vamos simbora.... vem comigo....

bloqueei as portas usando o comando especificado pelo comandante do submarino amarelo...

iptables -A INPUT -i ethX -p tcp --dport 6000 -j DROP

e fiz o mesmo para as outras portas 7001, 8002 e 9003.

testei o knock.. funcionou blz... o q me leva a crer q algo de muito errado tem no firewall q quero implantar... entao acho q devo encerrar esse topico q jah foi mais q esclarecedor sobre coisas malukas... e abrir dois novos topicos.. do debian-laptop e sobre o meu firewall especificamente...

Mas falando no danado... o outro q posteu.. q eh tao simples.. nao tem regra alguma... apenas faz o mascaramento... duas regras se nao me engano... num devia funcionar?? pq como eu coloquei antes.. ele bloqueia TUDO... assim q rodo o firewall q postei aki.. perco minha conexao ssh.. e olha q tem um daemon rodando lah.. nem eh o inetd.. e no firewall soh tem 2 regras.. a de redirecionamento para porta squi 3128 e de masquerade...

grato,

Eugenio

Cara, realmente, aquele firewall não deveria derrubar sua conexão ssh, a não ser que o ssh esteja rodadondo em uma porta X e exista um redirecionamento da 22 pra essa porta X. mas acho isso pouco provável. Seria interessante dar uma olhada na config do firewall quando o ssh esta funcionando.
Outra coisa, você rodou um script dentro do linux certo? Porque se você fizer um "copy n paste", antes de você enviar a regras de masquerade você já perdeu a conexão devido ao iptables -F

Citação:

---

Postado originalmente por Magnun

Cara, realmente, aquele firewall não deveria derrubar sua conexão ssh...

---

Vejamos...

meu ssh roda em outra porta q eh a 6162 e via daemon q tb mudei de nome.. eh o zkzkd... porem funfa direitinho sem problemas.. e nao conecto via 22 para redir.. eu conecto diretamente na 6162...

quanto ao script.. estou testando assim mesmo.. tenho ele pronto.. e rodo.. aih perco a conexao.. deve ser o -F..

mas aih aparece outro duvida.. tenho outro script.. q eh o q quero rodar como definitivo.. este qd rodo nao me derruba.. porem se eu desconectar.. nao consigo mais o acesso..

e logo de cara ele tem:iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD
iptables -F POSTROUTING -t nat
iptables -F PREROUTING -t nat
iptables -F -t nat

mas mesmo assim nao me derruba... soh nao consigo acessar de volta.. mas fico no ar...


acho q meu problema se resume ao iptables mesmo..

vou procurar mais informações...

grato,

Eugenio

Citação:

---

Postado originalmente por Magnun

pankdo, não precisa fazer o PIC falar TCP/IP a IP Dragon já faz isso :)!!! Ele já te entrega o pacote desmontado em uma sequencia definida. Tipo os primeiros 32 bits IP de origem, os proximos 32 IP de destino e etc... Facilita muito!

---

essa eu não sabia me desculpem por desviar o escopo do tópico
mas muito obrigado pela dica valew

Citação:

---

Postado originalmente por pankdo

essa eu não sabia me desculpem por desviar o escopo do tópico

---

Que isso... é bom que descontrai um pouco!! :)

Citação:

---

Postado originalmente por pankdo

mas muito obrigado pela dica valew

---

De nada! Até mais...

e so mais uma escapada do tópico

q q vc acha da ideia do VU e do "eletrocardiograma" de trafego????????

Citação:

---

Postado originalmente por Magnun

Que isso... é bom que descontrai um pouco!! :)

De nada! Até mais...

---

Magnum 47... vc leu meu last post man?

grato,

Eu

Citação:

---

Postado originalmente por pankdo

e so mais uma escapada do tópico
q q vc acha da ideia do VU e do "eletrocardiograma" de trafego????????

---

Parece legal..Hehe... Vc traria para a "mesa de trabalho" um gadged de "desktop"!

Citação:

---

Postado originalmente por eugeniomarques

Magnum 47... vc leu meu last post man?

---

Opa... Foi mal cara... hehe...

Citação:

---

Postado originalmente por eugeniomarques

Vejamos...
meu ssh roda em outra porta q eh a 6162 e via daemon q tb mudei de nome.. eh o zkzkd...

---

Como você fez isso!?!? zkzkd???? Que massa!

Citação:

---

Postado originalmente por eugeniomarques

porem funfa direitinho sem problemas.. e nao conecto via 22 para redir.. eu conecto diretamente na 6162...

---

o que descarta o problema de redir de porta...

Citação:

---

Postado originalmente por eugeniomarques

quanto ao script.. estou testando assim mesmo.. tenho ele pronto.. e rodo.. aih perco a conexao.. deve ser o -F..

---

num ambiente com nat e redir de porta um -F naturalmente derrubaria a conexão

Citação:

---

Postado originalmente por eugeniomarques

mas aih aparece outro duvida.. tenho outro script.. q eh o q quero rodar como definitivo.. este qd rodo nao me derruba.. porem se eu desconectar.. nao consigo mais o acesso..

e logo de cara ele tem:iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD
iptables -F POSTROUTING -t nat
iptables -F PREROUTING -t nat
iptables -F -t nat

mas mesmo assim nao me derruba... soh nao consigo acessar de volta.. mas fico no ar...

---

Bizarro isso... Deveria cair...

Citação:

---

Postado originalmente por eugeniomarques

acho q meu problema se resume ao iptables mesmo...

---

Concordo que deve ser só firewall...
Como disse num ambiente com nat a conexão deveria cair.. ai é que surge uma pergunta pertinente... Em qual IP você conecta?!
Vamos fazer um diagrama feio:

Código :

---

                                                                                            ______  
                                                                                      __/               \
                                                                                    / 
____                                 _____                         __\
|        |eth0     ___   eth0 |            |eth1            /
|        |---------|___|--------|            |--------------|       Rede Interna
|___ |         router            |_____|                     \__
Seu PC                          Maq de dest                   /
                                                                                  \__
                                                                                         \______/

---

Sua rede parece com isso??
Por qual IP vc acessa a máquina de destino?? eth0 certo?? Se sim, o -F do iptables não deveria te derrubar... Pois você não passa por nenhum nat... Não faz sentido... A não ser que a regra padrão da suas chains de INPUT e OUTPUT seja DROP...

Que trabalho que deu pra desenhar isso... Eu devia ter upado uma imagem.. era mais fácil...

Citação:

---

Postado originalmente por Magnun

Como você fez isso!?!? zkzkd???? Que massa!

---

Cara basicamente a grosso modo falando.. eu fiz uam copia do sshd para outro nome q no meu caso foi zkzkd.. tb fiz copia do script q inicia.. q fica dentro do init.d do etc do debian.. pra in.zkzkd

depois mudei a porta padrao do ssh de 22 para 6162 no .conf do mesmo e no services do etc.. e botei o bixo pra rodar...

Citação:

---

Postado originalmente por Magnun

ai é que surge uma pergunta pertinente... Em qual IP você conecta?!

---

Cara eu conecto direto no meu ip valido.. 200.xxx.xxx.xxx

esse ip eh o ip direto do debian... eu conecto via eth0.. q eh quem recebe a net... como tem a porta do zkzkd rodando a porta 6162.. entao uso no putty a conex~~ao direta jah 200.x.x.x:6162

e pronto.. tou dentro..

Citação:

---

Postado originalmente por Magnun

Vamos fazer um diagrama feio:

---

Pra ficar igual vou fazer meu diagrama tb..

soh q mais simples.. o seu eh muito arrojado.. :)

[meu-pc] -- [internet] --- [debian]

ou seja, eu conecto direto jah de qualquer lugar.. agora dentro da rede eh assim...

[internet]-=eth0]--{debian}--[eth1(squid)--> <Rede Interna>

Eu nem sei pq tou desenhando isso.. nem sei mais o motivo do meu post... acho q vou deixar tudo assim mesmo.. consegui ateh servir um ftp pra um usuario acessar remotamente e entrar numa pasta do windows 2003...

afff.. viva o google e o under-linux.. e vivaolinux e outros q eskeci..

Citação:

---

Postado originalmente por Magnun

Que trabalho que deu pra desenhar isso... Eu devia ter upado uma imagem.. era mais fácil...

---

Trabalho tah dando pra fazer o q eu quero.. mas vamos resumir... tu tem aih um rc.firewall bom pra debian.. q barre as principais portas de virus e trojan e atakes... e libere akelas portas do conectividade.. entre outros.. e faça tudo q eu quero??

eu jah consigo redirecionar qquer coisa na minha rede...

acesso daki.. o winbox.. (mk).. os access points.. as makinas dos clientes via vnc.. o ftp do linux e do windows.. mas fico com medo de meu firewall nao tah muito bom...

aih quem entrar vai ter acesso a muita coisa neh??

um abraço,

Eu

Infelizmente não tenho cara... Mexo com iptables mais por "esporte"! Mas acho que pela net você acha uma compilação de regras "básicas" pra evitar virus/trojans e tipos de ataque como DoS e etc... Outro dia eu estava pesquisando sobre a opção MARK do iptables e achei essas regras:

Código :

---

# Bloqueando ataques do tipo SPOOF de IP:
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP
iptables -A INPUT -i eth1 -s 172.16.0.0/12 -j DROP
iptables -A INPUT -i eth1 -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i eth1 -s 224.0.0.0/4 -j DROP
iptables -A INPUT -i eth1 -s 240.0.0.0/5 -j DROP
 
#Bloqueia ataque brutal force no ssh
iptables -A INPUT -p tcp --syn --dport 22 -m recent --name sshattack --set
iptables -A INPUT -p tcp --dport 22 --syn -m recent --name sshattack --rcheck --seconds 60 --hitcount 3 -j LOG --log-prefix 'SSH REJECT: '
iptables -A INPUT -p tcp --dport 22 --syn -m recent --name sshattack --rcheck --seconds 60 --hitcount 3 -j REJECT --reject-with tcp-reset
iptables -A FORWARD -p tcp --syn --dport 22 -m recent --name sshattack --set
iptables -A FORWARD -p tcp --dport 22 --syn -m recent --name sshattack --rcheck --seconds 60 --hitcount 3 -j LOG --log-prefix 'SSH REJECT: '
iptables -A FORWARD -p tcp --dport 22 --syn -m recent --name sshattack --rcheck --seconds 60 --hitcount 3 -j REJECT --reject-with tcp-reset
 
#Outra forma de bloquear brutal force
# Create a reject-and-log-SSH-Bruteforce chain to forward things to.
iptables -N REJECT-SSH
iptables -A REJECT-SSH -j DROP -m recent --rcheck --name SSH --seconds 60 --hitcount 10
iptables -A REJECT-SSH -j LOG --log-prefix SSH-Bruteforce:
iptables -A REJECT-SSH -j REJECT -p tcp --reject-with tcp-reset
iptables -A REJECT-SSH -j REJECT
# Kill SSH brute-force attacks.  Allow only three connections per minute
# from any source.
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --name SSH --seconds 60 --hitcount 4 -j REJECT-SSH
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH
 
#Evitar ataques DoS
iptables -A INPUT -i eth0 -p TCP –tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/2 -j ACCEPT
 
#Evitando ataque Smurf
iptables -A INPUT -p icmp -–icmp-type 8 -j REJECT

---

Acho que já é alguma coisa ne?!

Voltando pro problema, estou começando a achar que o problema no ssh não tem a ver com iptables. Talvez seja algo com o servidor ssh... Se você está conectado diretamente na internet e a porta do ssh está aberta deveria funcionar, a não ser que exista uma regra padrão na sua chain INPUT bloqueando tudo. Ai você precisaria incluir uma permitindo. Uma boa forma talvez seja vc executar um scan de portas. Usa o nmap e vê se a porta do ssh está realmente aberta.

cara.. eui tava indo pra csa.. qd resolvi parar aki pra ver algo...

entao vamjos lah...

descuklpa se eu bebi um piuhoco demais...

o nmap.. caralho gvbou pereder o onibvus...

meu nampa de portas altas.. ficou assim:

PORT STATE SERVICE
6161/tcp open unknown
6162/tcp open unknown <-- esse eh meu sshd


umk baraco,

Cara, sinceramente não sei porque você não consegue conectar então! A porta ta aberta, você alcança o endereço e não tem regra de firewall! Cara, esse teu server ta possuído!
O mais estranho é que quando você reboota ele volta ao normal! Tem alguma coisa no script que roda ao dar boot que não tem no script que você ta rodando... é a única possibilidade!
Estou sem idéias cara...

Cara.. consegui minha primeira invasão wirelesss.... sei q o topico eh outro.. mas queria compartilhar primeiro aki...

sei tb q nao eh grande coisa... mas consegui acessar a net (estou nela agora).. atraves de um server mk c/ hotspot c/ controle de ip x mac....

realmente eh muito facil... o mais dificil agora eh conseguir ficar usando ateh q o dono do mac verdadeiro.. volte a ligar a sua makina...

proximo passo.. conseguir um ip proprio...

um abraço,

Eu

sinto não poder colaborar muito para a solução dos problemas aqui apresentados mas assim que eu descobrir algo de real importancia eu posto