Re: Navegar com política DROP no Iptables
Olá Alexandre.
De fato o teste que fiz não deu certo.
Descobri através do logs o seguinte: Tenho conectividade com a internet, tanto que consigo pingar para alguns sites, mas o dns não consegue ser resolvido.
O servidor DNS não é o meu firewall, utilizo o DNS da operadora que provém a internet aqui na empresa. Se eu colocar o IP do site no navegador, consigo acessá-lo co dificuldade, mas consigo, já pelo seu nome o squid me retorna com o erro de "Timeout" e diz que não conseguiu resolver o endereço. Enfim, que porta deve estar bloqueando isso?
Já coloquei a seguinte regra:
iptables -A FORWARD -s $LAN -p tcp --dport 3128 -j ACCEPT
Como utilizo proxy manual nos navegadores, todos estão saindo pela porta do Squid, mesmo assim essa regra não resolveu.
Obrigado pela ajuda!
Re: Navegar com política DROP no Iptables
A porta do DNS é UDP número 53...Um tcpdump no servidor pode te tirar várias dúvidas nesse caso..
Mais eu sugiro que faça o seguinte..Como vc usa o INPUT em DROP, libere a entrada(INPUT) do pacote na porta TCP (80,443,3128) e UDP(53) Para a placa de rede local.. E faça uma regra com estado para o pacote que volta, fazendo com que a saida para internet não tenha entrada do pacote para quando vem de fora nas portas 80, 443.. bla bla bla..
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
É isso, espero que esteja claro, qq coisa me avisa...
[]'s
Laercio Motta
Blog do Laercio Motta
Twitter: @laerciomasala
Re: Navegar com política DROP no Iptables
Olá Laércio, bom dia!
As regras de entrada que você citou, eu já as tenho deste modo:
iptables -A INPUT -m multiport -p tcp --dport 80,443 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --dport 3128 -j ACCEPT
A regra que você citou eu ainda não tinha, vou realizar um teste e após, eu posto o resultado por aqui.
Obrigado pela ajuda!
Re: Navegar com política DROP no Iptables
Olá pessoal. Muito obrigado pela ajuda. Consegui resolver meu problema.
Além da regra citada pelo Laércio, o que estava faltando era a seguinte regra:
iptables -A FORWARD -p udp --dport 53
Antes só havia uma regra de INPUT para a porta 53. Depois disso consegui obter a navegação na rede.
Obrigado pela força!