Доброго времени суток.
On Mon, 6 Dec 2004 10:01:18 +0600
Алексей Горбунов <bigwildc***@y*****.ru> wrote:
> > > > [rygoravich@rygoravich rygoravich]$ sudo iptables-save
> > > > # Generated by iptables-save v1.2.8 on Thu Dec 2 02:40:54 2004
> > > >
> > > > *filter
> > > > :INPUT DROP [116139:5420097]
> > > > :FORWARD DROP [0:0]
> > > > :OUTPUT ACCEPT [54069:21313468]
> > > > -A INPUT -s 127.0.0.1 -j ACCEPT
> > > > -A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
> > > > -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
> > > > -A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
> > > > -A INPUT -p icmp -j ACCEPT
> > > > -A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
> > >
> > > Попробуй добавить здесь такое правило
> > > -A INPUT -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
> > > ^^^
> > >
> > > > -A INPUT -s 192.168.0.0/255.255.0.0 -p tcp -m tcp --dport
> > > > 137:139 -j
> > > >
> > > > ACCEPT-A INPUT -s 192.168.0.0/255.255.0.0 -p udp -m udp --dport
> > > >
> > > > 137:139 -j ACCEPT-A INPUT -s 192.168.0.0/255.255.0.0 -p udp -m
> > > > udp --sport 137 -j ACCEPT-A INPUT -s 192.168.0.0/255.255.0.0 -p
> > > > tcp -m tcp --dport 80 -j ACCEPT-A INPUT -s
> > > > 192.168.0.0/255.255.0.0 -p tcp -m tcp
> > >
> > > Ну а эту естественно закоментировать
> > > > --dport 21 -j ACCEPT-A INPUT -p udp -m udp --sport 53 -j ACCEPT
> > > >
> > >
> > > > COMMIT
> > > > # Completed on Thu Dec 2 02:40:54 2004
> > > > [rygoravich@rygoravich rygoravich]$
> >
> > Спасибо, частично помогло... Т.е. с DNS проблема решилась, но, увы,
> > осталась с nmblookup... Т.е. строка
> > iptables -A INPUT -p udp -m udp --sport 53 -j ACCEPT
> > удалилась без проблем, но если удалить строку
> > -A INPUT -s 192.168.0.0/255.255.0.0 -p udp -m udp --sport 137 -j
> > ACCEPT то nmblookup не находит ни одного хоста...
> >
> > Тут в чем может быть проблема?
>
> Проблема в том, что nmblookup посылает широковещательные пакеты, в
> вашем случае это будет 192.168.255.255, а ответ приходит от
> определенного хоста. Соответственно пришедший пакет не будет связан
> отношением RELATED с отправленным и firewall отбросит его. Даже и не
Спасибо за объяснение, теперь наконец дошло:).
> знаю как в таком случае вам лучше поступить.
> Просто обычно сеть MS используется исключительно в локальных сетях,
> которые предполагают какой-то минимум доверия. Поэтому, на мой взгляд,
> у вас есть два пути, либо вообще отказаться от использования nmblookup
> (вполне можно работать с сетью MS и без него), либо разрешить входящие
Вообще-то без него сложновато... Например, pop-up-сообщения не работают...
> пакеты с этого порта, только наверное можно добавить такие опции
> -d $YOUR_IP -dport 32768-65535
Спасибо, так и сделал. Вот только можно уточнить - зачем в данном случае устанавливать
собственный айпишник? Разве могут попасть ко мне пакеты, предназначенные для
других компов?
> Думаю, имеются и другие варианты, но пока ничего другого в голову не
> приходит