Seuraava komento on ongelmallinen:
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Virhe: iptables: Protocol wrong type for socket.
Tämän virheen takia joudun pitämään palomuuria kahdessa tilassa:
1. Palomuuri estää kaiken liikenteen
2. Palomuuri sallii kaiken liikenteen
Kernelissä on tuki tuolle match statelle mutta iptables ei millään konfiguroinnilla hyväksy sitä. Onko tuolle komennolle olemassa mitään sellaista kiertotietä, että se ajaisi saman asian? Joudun muuten jättämään Gentoon koska en halua surffata netissä ilman palomuuria mikä olisi sääli nimittäin Gentoo näyttää muuten lupaavalta.
Palomuurisäännöt:
*filter
-A INPUT -j DROP
-A OUTPUT -j DROP
-A FORWARD -j DROP
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp --dport 80 -j ACCEPT
-A OUTPUT -p tcp --dport 443 -j ACCEPT
COMMIT
Viides rivi aiheuttaa virheen mutta näyttää, että virhe olisi viimeisellä rivillä. Kun viidennen rivin poistaa käytöstä niin iptables-restore ei anna mitään virheitä.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Virhe: iptables: Protocol wrong type for socket.
Tämän virheen takia joudun pitämään palomuuria kahdessa tilassa:
1. Palomuuri estää kaiken liikenteen
2. Palomuuri sallii kaiken liikenteen
Kernelissä on tuki tuolle match statelle mutta iptables ei millään konfiguroinnilla hyväksy sitä. Onko tuolle komennolle olemassa mitään sellaista kiertotietä, että se ajaisi saman asian? Joudun muuten jättämään Gentoon koska en halua surffata netissä ilman palomuuria mikä olisi sääli nimittäin Gentoo näyttää muuten lupaavalta.
Palomuurisäännöt:
*filter
-A INPUT -j DROP
-A OUTPUT -j DROP
-A FORWARD -j DROP
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp --dport 80 -j ACCEPT
-A OUTPUT -p tcp --dport 443 -j ACCEPT
COMMIT
Viides rivi aiheuttaa virheen mutta näyttää, että virhe olisi viimeisellä rivillä. Kun viidennen rivin poistaa käytöstä niin iptables-restore ei anna mitään virheitä.
Vastaukset 6
Vanhimmat
joko sulla on kernelin käännösmoka tai sitten... koita antaa protokolla tcp omalla vivullaan.
BTW. Gentoo ei ole kaikkein yksinkertaisin distro konffata, itse olen monta boksia rakentanut ja kaikki mennyt hienosti. Ainoat ongelmat on ollut omia mokia ja lähinnä kernelin konffeissa.
Vaikuttaa meinaan sitten ihan kaiken toimivuuteen...
Eli veikkaan että kernelistä puuttuu tohon vaadittava iptablesin moduuli / tukea paketin tilan tarkistamiseen ei ole asennettu... tai miksikä sitä nyt sanotaankaan.. kuitenkin, ota se käyttöön ja käännä ydin uusiksi tai käytä jotain valmiiksi konffattua kaikilla koneilla toimivaa kaikkimoduleina ydintä jos et viitsi. Jos käytät tuollaista yleisydintä niin varmista lsmod komennolla että iptablesin kaikki laajennoksen on ladattu...
ei se muuri pelaa jos ei sille ole tukea sun systeemissä.
Meni kyllä ihan gentooks ;)
Nopea on ja ihan huippujärjestelmä jos vaan ymmärtää mitä tekee, minultakin se jäi kyllä puolitiehen, sen verran erilainen kaikkiin muihin nähden. Vanha kunnon virsi "jos olis aikaa..".
Löysinkin jo virheen. Netfilterin state täytyy olla moduulina tai muuten nuo säännöt eivät pelaa (ainakin omassa koneessani). Oli haastavempi kuin graafisen käyttöliittymän pystytys.
Menee entistä pahemmin GenTooksi:
Kannattaa myös selata tuo ajonaikainen konffi läpi:
/proc/sys/*
man 8 sysctl
/etc/sysctl.conf
jos ei toimi ytimeen sisään käännettynä... jos sieltä löytyisi jotakin, ehkä :p
No onhan se jokatapauksessa hyvä tutkailla läpi, melkoisen paljon pääsee sitä kautta vaikuttamaan ytimen toimintaan.
Itse olen kääntänyt ytimeen tarkasti vain tarvittavat (kaikki sisään samaan pakettiin) ja poistanut käytöstä moduulien latauksen kokonaan ja hienosti on toiminut -m state
Myös grsecurity. Kyseessä siis oli reititin / palomuuri / tunneli / WOL manageri ilman äXää tai edes omaa näyttöä mutta tuskin se iptablesin toimintaa muuttaa mihinkään suuntaan.
Jotenkin kuulostaisi kuitenkin joltain konffi ongelmalta, jos alunperin oli ytimeen sisään käännetty mutta ei toiminut. Kaikkihan ei automaagisesti ole käytössä vaikka olisi ytimeen käännetty sisään.
Laitoin aikoinaan pystyyn kokeillakseni pystyykö etänä valitsemaan koneelle käynnistettävän käyttiksen PXE:n avustuksella (Win XP tai GNU/Linux) :)
Asenna ubuntu tai windows äläkä leiki distrolla mikä oikeasti ei tee sun puolesta yhtään mitään... :p
Liian iso paketti ja liikaa päätöksiä tehtäväksi ja jokainen ratkaisu on tehtävä todella huolellisesti että homma pysyy järkevänä käsissä.
Gentoo kannattaa jos haluaa opiskella GNU/Linux järjestelmien käyttöä tarkemmin tai osaa jo kaiken ja todella tarvitsee erikoisemman kokoonpanon mitä ei valmiina mistään saa.
Gentoo vaatii tietoa ja taitoa, erityiskäyttöön sopiva eikä sillä juuri sun koneen prossalle käännetyllä ohjelmalla merkittävää eroa ole noihin valmiiksi kaikilla prossilla toimiville ole.
Yhden raskaan softan voit optimoida kääntämällä vaikka ubuntussa itse sorsista, ne kun on vapaata riistaa.