Модераторы: powerfox, ZeeLax
  

Поиск:

Ответ в темуСоздание новой темы Создание опроса
> Непонятка с iptables. Нужно простое правило. 
V
    Опции темы
Wowa
Дата 15.2.2011, 23:58 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
Group Icon


Профиль
Группа: Админ
Сообщений: 15017
Регистрация: 14.9.2000
Где: Винград

Репутация: нет
Всего: 290
Мне нужно закрыть коннекты к порту 27017 (MongoDb) для всех, кроме нескольких избранных хостов host1, host2 (которым это разрешено).

Я сделал так:

Код

iptables --list

Chain INPUT (policy ACCEPT)
target     prot opt source                destination
ACCEPT     tcp  --  host1                  anywhere            tcp dpt:27017
ACCEPT     tcp  --  host2                  anywhere            tcp dpt:27017
DROP        tcp  -- !localhost             anywhere            tcp dpt:27017
DROP        udp  -- !localhost            anywhere            udp dpt:27017

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination



Вроде сработало, но стал проявляться побочный эффект. Сильно стало расти кол-во открытых файлов. Апаче стал работать очень медленно.
lsof выдает много всего нужного. но и какие-то странности, наподобие:

Код

...
apache2   25402   www-data   16u     sock                0,4             101334468 can't identify protocol
apache2   25402   www-data   17u     sock                0,4             101334717 can't identify protocol
apache2   25402   www-data   18u     sock                0,4             101334870 can't identify protocol
apache2   25402   www-data   19u     sock                0,4             101335170 can't identify protocol
apache2   25402   www-data   20u     sock                0,4             101335313 can't identify protocol
apache2   25402   www-data   21u     sock                0,4             101335428 can't identify protocol
apache2   25402   www-data   22u     sock                0,4             101335773 can't identify protocol
apache2   25402   www-data   23u     sock                0,4             101335909 can't identify protocol
apache2   25402   www-data   24u     sock                0,4             101336043 can't identify protocol
apache2   25402   www-data   25u     sock                0,4             101336143 can't identify protocol
apache2   25402   www-data   26u     sock                0,4             101336549 can't identify protocol
apache2   25402   www-data   27u     sock                0,4             101336701 can't identify protocol
apache2   25402   www-data   28u     sock                0,4             101337000 can't identify protocol
apache2   25402   www-data   29u     sock                0,4             101337104 can't identify protocol
apache2   25402   www-data   30u     sock                0,4             101337261 can't identify protocol
apache2   25402   www-data   31u     sock                0,4             101337562 can't identify protocol
apache2   25402   www-data   32u     sock                0,4             101337964 can't identify protocol
apache2   25402   www-data   33u     sock                0,4             101338116 can't identify protocol
apache2   25402   www-data   34u     sock                0,4             101338220 can't identify protocol
apache2   25402   www-data   35u     sock                0,4             101338519 can't identify protocol
apache2   25402   www-data   36u     sock                0,4             101338664 can't identify protocol
apache2   25402   www-data   37u     sock                0,4             101339350 can't identify protocol
..


Как быть? smile
PM WWW   Вверх
ZeeLax
Дата 16.2.2011, 06:47 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Как только убираешь правила запрета, всё ок?


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
Wowa
Дата 16.2.2011, 11:07 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
Group Icon


Профиль
Группа: Админ
Сообщений: 15017
Регистрация: 14.9.2000
Где: Винград

Репутация: нет
Всего: 290
Цитата(ZeeLax @  16.2.2011,  05:47 Найти цитируемый пост)
Как только убираешь правила запрета, всё ок? 

Да
PM WWW   Вверх
ZeeLax
Дата 16.2.2011, 12:31 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Подозрения - что-то работает на локалхосте, но не через 127.0.0.1/localhost, а через другие адреса. Потом, с запретом два правила: tcp и udp; какое из них влияет на тупняк?


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
Wowa
Дата 16.2.2011, 13:02 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
Group Icon


Профиль
Группа: Админ
Сообщений: 15017
Регистрация: 14.9.2000
Где: Винград

Репутация: нет
Всего: 290
Цитата(ZeeLax @  16.2.2011,  11:31 Найти цитируемый пост)
Подозрения - что-то работает на локалхосте, но не через 127.0.0.1/localhost, а через другие адреса. Потом, с запретом два правила: tcp и udp; какое из них влияет на тупняк? 

На сервере есть несколько айпи-адресов, к которым тоже обращения идут. Но по другим портам.  Насколько я понимаю, то моими правилами должен блокироваться только порт 27017?

Цитата(ZeeLax @  16.2.2011,  11:31 Найти цитируемый пост)
Подозрения - что-то работает на локалхосте, но не через 127.0.0.1/localhost, а через другие адреса. 

А как такое может быть?

Цитата(ZeeLax @  16.2.2011,  11:31 Найти цитируемый пост)
 Потом, с запретом два правила: tcp и udp; какое из них влияет на тупняк? 

Я думаю, что TCP. Попозже смогу проверить точнее.
PM WWW   Вверх
ZeeLax
Дата 17.2.2011, 06:33 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Цитата(Wowa @  16.2.2011,  16:02 Найти цитируемый пост)
А как такое может быть?

Ну, не сложно. Есть на сервере несколько адресов. Где-то в приложении прописан один из них, вместо 127.0.0.1 - работать будет, до поры до времени. Но это только подозрения.


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
Wowa
Дата 20.2.2011, 13:14 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
Group Icon


Профиль
Группа: Админ
Сообщений: 15017
Регистрация: 14.9.2000
Где: Винград

Репутация: нет
Всего: 290
Цитата(ZeeLax @  16.2.2011,  11:31 Найти цитируемый пост)
Подозрения - что-то работает на локалхосте, но не через 127.0.0.1/localhost, а через другие адреса. 

Как это можно софтом выявить, чтобы уж наверняка знать?
PM WWW   Вверх
ZeeLax
Дата 20.2.2011, 20:40 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Для начала, это таки TCP или UDP?


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
Wowa
Дата 20.2.2011, 20:52 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
Group Icon


Профиль
Группа: Админ
Сообщений: 15017
Регистрация: 14.9.2000
Где: Винград

Репутация: нет
Всего: 290
TCP
PM WWW   Вверх
ZeeLax
Дата 20.2.2011, 21:03 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
MongoDB, как я нагуглил, работает только по TCP, стало быть, правило на UDP нам не нужно - уберем его, чтобы не вносило путаницы и не тормозило. Далее, смотрим на счетчики правила, блокирующего TCP. Если счетчики растут, включаем сниффер на этот порт на все интерфейсы, либо добавляем что-то типа этого правила, непосредственно перед правилом блокировки:
Код

-s ! localhost -p tcp --dport 27017 -j LOG

Далее, либо в результатах сниффера, либо в /var/log/messages смотрим, что за пакеты у нас дропаются, делаем выводы.

P.S. Про снифер мог и наврать - дропнутые пакеты вполне могут быть не видны.


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
Wowa
Дата 21.2.2011, 02:17 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
Group Icon


Профиль
Группа: Админ
Сообщений: 15017
Регистрация: 14.9.2000
Где: Винград

Репутация: нет
Всего: 290
Цитата(ZeeLax @  20.2.2011,  20:03 Найти цитируемый пост)
MongoDB, как я нагуглил, работает только по TCP, стало быть, правило на UDP нам не нужно - уберем его,

а если кто-то по UDP порт поспамить решить, то эти пакеты негативно не повлияют?
PM WWW   Вверх
ZeeLax
Дата 21.2.2011, 04:50 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
****


Профиль
Группа: Модератор
Сообщений: 4388
Регистрация: 20.8.2006
Где: Алма-Ата

Репутация: 7
Всего: 88
Если UDP ничего не слушает, то негатив будет заключаться только в ответах "порт недостижим". Потом, как решится проблема, можно правило и добавить, но иметь ввиду, что поспамить могут решить по любому порту, так что есть смысл закрыть их (неиспользуемые порты) все, или не закрывать вовсе.


--------------------
Utility is when you have one telephone, luxury is when you have two, opulence is when you have three — and paradise is when you have none.
— Doug Larson
PM MAIL WWW ICQ Skype Jabber   Вверх
Wowa
Дата 13.3.2011, 22:30 (ссылка) | (нет голосов) Загрузка ... Загрузка ... Быстрая цитата Цитата


Эксперт
Group Icon


Профиль
Группа: Админ
Сообщений: 15017
Регистрация: 14.9.2000
Где: Винград

Репутация: нет
Всего: 290
Проблема решена. Оказалось, что, т.к. на сервере с мастер базой еще был запущен пхп, то пхп драйвер обращался к монгодб, но коннект к базе не с localhost шел, а с айпи-адреса сервера.
Добавление айпи-адреса сервера в правило на ACCEPT решило проблему.
PM WWW   Вверх
  
 Ответ в темуСоздание новой темы Создание опроса
Правила форума "Linux/UNIX: Администрирование"
ZeeLax
Imple
nerezus
 Этот форум предназначен для решения вопросов по администрации *n?x-систем, в частности по настройке сложных сетей и обслуживанию серверного оборудования.

  • Вы должны соблюдать правила форума.
  • Помните: какой вопрос, такой и ответ. Прежде чем задать вопрос прочитайте вот эту статью на форуме CIT.
  • Оскорблять запрещается.
  • Религиозные войны в Религиозных войнах.
  • Общение "просто так" в Клубе юнуксоидов. В отличие от многих других разделов, здесь разрешается сдержанно оффтопить и юморить в тему.

За интересные статьи, находки, решения, программы и просто реальную помощь будут ставиться + в репу).


В данный момент этот раздел модерируют nerezus, nickless, powerfox, pythonwin, Imple и ZeeLax. Если вы хотите помочь нам, пишите в ПМ и мы обсудим.

Спасибо. И use UNIX or die; С уважением, nerezus, nickless, powerfox, pythonwin, Imple, ZeeLax.
 
0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема | Администрирование *NIX систем | Следующая тема »

Подписаться на тему | Подписка на этот форум | Скачать/Распечатать тему


 




[ Время генерации скрипта: 0.0572 ]   [ Использовано запросов: 22 ]   [ GZIP включён ]


Реклама на сайте     Информационное спонсорство

 
 По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности     Powered by Invision Power Board(R) 1.3 © 2003  IPS, Inc.