ssh mit iptables!?

#1 Hi, ich muss in einer UML-Umgebung von einem virtuellen Host auf einen anderen über ssh zugreifen. Ping und alles funktionniert. Ebenfalls funktionniert der Zugriff mit ssh - wenn ich die firewall stateful aufsetze.

Die Aufgabe wird jedoch Studenten gestellt, und dabei sollen sie den Unterschied zwischen stateful und stateless erfahren. Nun habe ich aber das Problem, dass ich SSH stateless nicht zum laufen!

Ich verwende folgende zwei Befehle:


iptables -A FORWARD -s 10.0.0.2 -d 192.168.0.130 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -s 192.168.0.130 -d 10.0.0.2 -p tcp --dport 22 -j ACCEPT


Was mache ich falsch??
Vielen Dank für eure Antworten!!

#2 Ich würde spontan die Soure Ports hinzu fürgen. Nimm dir mal einen packet sniffer, wie z.B. tcpdump und schaue dir die Pakete an, die durchkommen, wenn die Firewall an ist und dann mal, wenn die Firewall aus ist. Dann siehst du, was nicht funktioniert.

Don

Zitat

iptables -A FORWARD -s 10.0.0.2 -d 192.168.0.130 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -s 192.168.0.130 -d 10.0.0.2 -p tcp --sport 22 -j ACCEPT

iptables -A FORWARD -s 192.168.0.130 -d 10.0.0.2 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -s 10.0.0.2 -d 192.168.0.130 -p tcp --sport 22 -j ACCEPT

#3

Zitat

fuexli81 postete
Hi, ich muss in einer UML-Umgebung von einem virtuellen Host auf einen anderen über ssh zugreifen. Ping und alles funktionniert. Ebenfalls funktionniert der Zugriff mit ssh - wenn ich die firewall stateful aufsetze.

Die Aufgabe wird jedoch Studenten gestellt, und dabei sollen sie den Unterschied zwischen stateful und stateless erfahren. Nun habe ich aber das Problem, dass ich SSH stateless nicht zum laufen!

Ich verwende folgende zwei Befehle:


iptables -A FORWARD -s 10.0.0.2 -d 192.168.0.130 -p tcp --dport 22 -j ACCEPT
iptables -A FORWARD -s 192.168.0.130 -d 10.0.0.2 -p tcp --dport 22 -j ACCEPT


Was mache ich falsch??
Vielen Dank für eure Antworten!!

Netzwerk-Setup?
Forward brauchst du nur, wenn du durch dein Firewall durch auf einen rechner hintendran willst....
Wenn dein SSH-Server auf dem Firewall läuft:
für eingehende pakete
iptables -A input -i externesinterface -p tcp --dport 22 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
für ausgehende
iptables -A output -o extinterface -p tcp --sport 22 -m state --state RELATED,ESTABLISHED -j ACCEPT

Bei stateless musst du imho tcp-flags abfragen
also verbindungsversuche mit tcp-flag SYN auf port 22 erlauben
ausgehende antworten mit tcp-flags SYN/ACK von port 22 erlauben
und wiederum eingehende mit tcp-flag ACK auf port 22 erlauben

Hoffe, das hilft...

Gruß, Markus