Por que bloqueia porta 80

marceloedrei · 08-12-2004, 11:23

Pessoal,

Estou criando um script de firewall que bloquei tdo e libere as portas 22/80/443/5432 somente para rede interna e para dois ips externos, ta td ok a nao ser a porta 80 que nao acesso pelo ip externo....as regras sao essas se alguem puder dar umas dicas???

Código :

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     tcp  --  IPEXT1       anywhere           tcp dpt:ssh
ACCEPT     tcp  --  192.168.1.0/24       anywhere           tcp dpt:ssh
ACCEPT     tcp  --  IPEXT2        anywhere           tcp dpt:ssh
ACCEPT     tcp  --  192.168.1.0/24       anywhere           tcp dpt:https
ACCEPT     tcp  --  IPEXT1       anywhere           tcp dpt:https
ACCEPT     tcp  --  IPEXT2        anywhere           tcp dpt:https
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:http
ACCEPT     tcp  --  IPEXT1       anywhere           tcp dpt:http
ACCEPT     tcp  --  IPEXT2        anywhere           tcp dpt:http
ACCEPT     tcp  --  192.168.1.0/24       anywhere           tcp dpt:postgres
ACCEPT     tcp  --  IPEXT1       anywhere           tcp dpt:postgres
ACCEPT     tcp  --  IPEXT2        anywhere           tcp dpt:postgres
 
Chain FORWARD (policy DROP)
target     prot opt source               destination
 
Chain OUTPUT (policy ACCEPT)
 
target     prot opt source               destination

Obrigado

**demiurgo** · 08-12-2004, 11:35

vc naum liberou o dns...

udp 53

qq coisa, posta ae tuas regras full

[]'s

marceloedrei · 08-12-2004, 11:46

Valeu mas nao consegui, e um detalhe por https eu acesso o site, a regra para liberar o dns que coloquei ficou assim:

Código :

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

o que vc chama de regra full é o script porq o q eu postei foi tudo q aparece com o iptables -L

Obrigado!!

**demiurgo** · 08-12-2004, 12:59

humm... blz

testa assim

iptables -A FORWARD -p udp --dport 53 -j ACCEPT

[]'s

marceloedrei · 08-12-2004, 13:45

Valeu mas continua sem funcionar.....e agora ta liberada a porta 53 em OUTPUT/INPUT/FORWARD......mas o problema acredito que nao esteja só em relação ao dns porque por https eu acesso o endereco so por http q nao....

Obrigado

felco · 08-12-2004, 14:03

Amigo vc esta um link dedicado? Sera que nao eh seu link que nao permite publicacao? Pela rede interna funciona certo?

marceloedrei · 08-12-2004, 14:09

O link aqui permite sim....seu zerar o firewall eu acesso externamente tbem.....

marceloedrei · 08-12-2004, 15:15

Esse eh o resultado de um portscanner q eu fiz

PORT STATE SERVICE
22/tcp open ssh
443/tcp open https
5432/tcp open postgres

ou seja no iptalbles -L diz que o http esta liberado mas não aparece no portscanner......!??! :roll:

felco · 08-12-2004, 15:17

Seu server ta escutando na porta 80?
Posta o resultado de nestat -an

marceloedrei · 08-12-2004, 15:21

Ele esta na porta 80....sem o firewall ele serve as paginas.....

netsta -an |grep 80
tcp 0 0 0.0.0.0:8080 0.0.0.0:* OUÃA

Valeu!!

marceloedrei · 08-12-2004, 15:33

Ooppss....foi mail peguei a linha errada

ops:

ops:

mas ele ta na porta 80 mesmo na 8080 ta o tomcat...

felco · 08-12-2004, 15:34

Entao pela rede interna vc acessa a porta 80?

marceloedrei · 08-12-2004, 16:00

Exatamente interno eu acesso a porta 80 esse foi o portscanner interno

PORT STATE SERVICE
22/tcp open ssh
80/tcp open http
443/tcp open https
5432/tcp open postgres

Valeu!!![/code]

**Brenno** · 08-12-2004, 16:14

coloca essa regra,

iptables -t filter -A FORWARD -i eth0 -p tcp -s 192.168.1.0/24 --dport 53 -j ACCEPT

iptables -f filter -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
tenta essa ae..

-s 192.168.1.0/24= ip da rede interna
-i eth0= interface da rede interna

tenta ae

se não der, troca tcp por udp, falow
boa sorte

felco · 08-12-2004, 16:27

Cara nao faz sentido isso que voce esta falando, seu webserver ta escutando
em 0.0.0.0:80??? Se estiver ele responde SIM! Voce esta acessando pelo proprio IP valido de fora???

marceloedrei · 08-12-2004, 17:27

eh eu sei q nao faz sentido mesmo mas comigo sempre acontece essas coisas mas vamos la pra ver se vcs podem me ajudar a esclarecer esse problema....eu testei a dica do Brenno tbem e nada... fiz da maneira q ele falou e tentei tbem colocando o ip externo q preciso liberar.....

No comeco do meu script bloqueio tudo dessa maneira

Código :

#LIMPA TODAS AS REGRAS
 
iptables -F
 
#BLOQUEA TUDO
 
iptables -P INPUT DROP
iptables -P FORWARD DROP

talvez seja algum detalhe que estou esquecendo.....porq fez um teste, com iptables -F eu apago todas as regras correto?

qdo eu faco isso ele para de servir pags pra rede interna tbem....ai reinicio o server, e como por enqto nao tenho script de firewall no boot ele serve normal interno e externo, ai esta a questao qdo eu bloqueio tudo estou esquecendo d liberar algo essencial..... :roll: :roll:

Valeu!!!

**Brenno** · 08-12-2004, 17:47

faz seguinte

da o comando iptables -L -t nat -v

copia e cola esse resultado

e depois da outro comando

iptables -L -v

ecopia e cola aqui tmb o resultado desse comando, fico aguardando

marceloedrei · 08-12-2004, 18:01

Os resultados são esses eu tirei o fim do ip porq se alguem com má intencao ver esse post e ve q estou com probllemas de firewall pode tentar prejudicar, ao inves da grande maioria q procura ajudar

Código :

[root@servidor root]# iptables -L -t nat -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
 
Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
 
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
 
[root@servidor root]# iptables -L -v
Chain INPUT (policy DROP 136 packets, 41428 bytes)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     tcp  --  any    any     200.155.X.X       anywhere           tcp dpt:ssh
  103  5420 ACCEPT     tcp  --  any    any     192.168.1.0/24       anywhere           tcp dpt:ssh
    0     0 ACCEPT     tcp  --  any    any     200.40.X.X        anywhere           tcp dpt:ssh
    0     0 ACCEPT     tcp  --  any    any     192.168.1.0/24       anywhere           tcp dpt:https
    0     0 ACCEPT     tcp  --  any    any     200.155.X.X       anywhere           tcp dpt:https
    0     0 ACCEPT     tcp  --  any    any     200.40.X.X        anywhere           tcp dpt:https
    0     0 ACCEPT     tcp  --  any    any     192.168.1.0/24       anywhere           tcp dpt:http
    0     0 ACCEPT     tcp  --  any    any     200.155.X.X       anywhere           tcp dpt:http
    0     0 ACCEPT     tcp  --  any    any     200.40.X.X        anywhere           tcp dpt:http
    0     0 ACCEPT     tcp  --  any    any     192.168.1.0/24       anywhere           tcp dpt:postgres
    0     0 ACCEPT     tcp  --  any    any     200.155.X.X       anywhere           tcp dpt:postgres
    0     0 ACCEPT     tcp  --  any    any     200.40.X.X        anywhere           tcp dpt:postgres
Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
 
Chain OUTPUT (policy ACCEPT 1161 packets, 2090K bytes)
 pkts bytes target     prot opt in     out     source               destination
 
Chain RH-Firewall-1-INPUT (0 references)
 pkts bytes target     prot opt in     out     source               destination

Valeu!!!

**Brenno** · 08-12-2004, 18:15

nat não tem masquerade, vc compartilha conneccao com maquina cliente?

na tabela filter n vi a regra

state RELATED,ESTABLISHED

e nem a 53

0 0 ACCEPT udp -- eth0 any x1x.x.x/24 anywhere udp dpt:domain

ta faltando isso no teu firewall, isso de cara, vou olha se acho mais coisa

**Brenno** · 08-12-2004, 18:17

0 0 ACCEPT tcp -- any any 192.168.1.0/24 anywhere tcp dpt:http

pelo que eu vi n ta chegando nada na tua porta 80

vc tem quer ver oq eu te disse ai em cima..

Por que bloqueia porta 80

Ferramentas de Tópicos