Mageia Forum

Moin,

habe hier ein Mageia 5 vorliegen ohne X, also nur Serverdienste, etc. über Konsole.

Nachdem ich mir nun meine Iptables-Config erstellt und diese auch abgespeichert habe, habe ich das Problem, dass nach einem Neustart wieder alle Einstellungen auf Standard gesetzt werden. Meine Config habe ich als /etc/sysconfig/iptables abgelegt.

Frage 1: In welche Config setze ich das iptables-restore am besten rein, damit es beim Start durchgeführt wird? Oder sollte ich irgendwas ganz anders machen?

Frage 2: Was hat es mit Shorewall auf sich? Ich dachte immer, das wäre nur ein Frontend für iptables, aber es läuft irgendwie ein Dienst dazu (zumindest beim Booten)? Benutzt man das unter Mageia zur Config der Firewall (bin noch nicht so lange mit Mageia zugange)? Es wäre nett, wenn mir da mal jemand etwas Licht ins Dunkel bringen könnte.

Danke!

Vorschlag:
https://www.thomas-krenn.com/de/wiki/Iptables_Firewall_Regeln_dauerhaft_speichern

kernel hat geschrieben:Ich dachte immer, das wäre nur ein Frontend für iptables, aber es läuft irgendwie ein Dienst dazu (zumindest beim Booten)?

Ja, ist nur ein Frontend für iptables. Der Dienst ist dazu da, die Zonen und Konfigs zu laden. Du kannst aber auch iptables nutzen.

Selbiges gilt auch für den iptables-Dienst.

Code: Alles auswählen

systemctl reload iptables.service

sollte die Regel neu laden.

@man-draker:
Das hatte ich auch gefunden und probiert. Output:

Code: Alles auswählen

service iptables save
Redirecting to /bin/systemctl save iptables.service
Unknown operation 'save'.


Ließ sich auch nicht per urpmi nachrüsten, AppDB listet keine passenden Pakete auf, die diese Funktionalität für iptables bereitstellen.

doktor5000 hat geschrieben:

Code: Alles auswählen

systemctl reload iptables.service

sollte die Regel neu laden.

Ok, ich kann den Server gerade nicht neustarten, aber bleiben die Regeln dann bei einem Neustart erhalten oder muss ich in irgendeine Datei, die beim Starten abgearbeitet wird, noch etwas eintragen?

Bonusfrage: Wenn ich die Regeln mit Shorewall verwalten würde, würden sie dann beim Start immer automatisch geladen?

kernel hat geschrieben:service iptables save
Redirecting to /bin/systemctl save iptables.service
Unknown operation 'save'.

Denkfehler, es ist hier nicht die Funktionalität von iptables, sondern von systemd, ich hab dir das mal fett hervorgehoben.
"service" ist kein Befehl mehr, sondern nur ein Kompatibilitäts-Wrapper der von systemd bereitsgestellt wird, damit die grundlegenden Funktionen (start, stop, restart, reload ) von alten sysV-Init-Skripten immer noch aufgerufen werden können.
systemctl selber bietet nur standardisierte Funktionen an, welche die selben für alle Dienste sind. "save" gehört nicht dazu.

Auf der Webseite hast du auch im falschen Abschnitt nachgelesen, du solltest schauen unter iptables Service für RHEL/CentOS 7
wobei wir noch nicht zu firewalld migriert haben. Also schau dir mal die systemd-Unit für iptables an. ich versuch mal das etwas deutlich zu machen wie das generell geht:

Code: Alles auswählen

[doktor5000@Mageia5]─[19:35:07]─[~] systemctl status iptables.service
● iptables.service - iptables Firewall for IPv4
   Loaded: loaded ([b]/usr/lib/systemd/system/iptables.service[/b]; enabled)
   Active: active (exited) since Mi 2016-02-24 21:04:52 CET; 6 days ago
  Process: 3139 ExecStart=/usr/libexec/iptables.init start (code=exited, status=0/SUCCESS)
 Main PID: 3139 (code=exited, status=0/SUCCESS)
   CGroup: /system.slice/iptables.service

[doktor5000@Mageia5]─[19:36:24]─[~] systemctl cat iptables.service
# /usr/lib/systemd/system/iptables.service
[Unit]
Description=iptables Firewall for IPv4
After=syslog.target

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/usr/libexec/iptables.init start
ExecStop=/usr/libexec/iptables.init stop
ExecReload=/usr/libexec/iptables.init reload
Environment=BOOTUP=serial
Environment=CONSOLETYPE=serial
StandardOutput=syslog
StandardError=syslog

[Install]
WantedBy=basic.target

Code: Alles auswählen

[doktor5000@Mageia5]─[19:39:30]─[~] /usr/libexec/iptables.init
Usage: /usr/libexec/iptables.init {start|stop|restart|condrestart|status|panic|save|check}

Schau dir einfach mal /usr/libexec/iptables.init an. /usr/libexec/iptables.init start ruft dabei /sbin/iptables-restore auf,
womit in der Standardkonfiguration auch die einmal gespeicherten Regel ( in IPTABLES_CONFIG=/etc/sysconfig/iptables ) beim Booten geladen werden.

Für shorewall kannst du das ja gerne mal selber versuchen nachzuvollziehen analog.

doktor5000 hat geschrieben:/usr/libexec/iptables.init [-->] /sbin/iptables-restore [-->] IPTABLES_CONFIG=/etc/sysconfig/iptables [...] beim Booten geladen werden.

Erstmal ein großes Dankeschön von meiner Seite aus! Das hat mir schonmal zum Verständnis gut weitergeholfen.

Ich habe es nun mal mit "/usr/libexec/iptables.init save" probiert (wurde in /etc/sysconfig/iptables gespeichert) und den Pfad in der Config überprüft. Eigentlich hätten die Regeln dann aber bei einem Reboot geladen werden müssen, oder? Leider werden immer noch die Standard-Regeln geladen und nicht die neuen Regeln. Ich muss nach dem Booten momentan manuell "iptables-restore" aufrufen.

Frage: Was müsste ich anders machen oder habe ich überhaupt etwas falsch gemacht?

Zusatzfrage: Wenn ich das nun selbst forcieren möchte, in welche beim Booten aufgerufene Datei könnte ich sonst noch den iptables-restore-Befehl eintragen? Ist auch in dem Sinne gemeint: In welcher Datei kann ich generell Skripte beim Booten starten lassen?

(Sorry, ich bin noch nicht so lange bei Linux und im Speziellen bei Mageia dabei und auf anderen Distris scheint vieles anders zu laufen.)

Glaube nicht dass du was falsch gemacht hast von deiner Beschreibung her. Zeig mal bitte die Ausgabe als root von

Code: Alles auswählen

systemctl is-enabled iptables.service
systemctl show -p Requires,Wants,Requisite,BindsTo,PartOf,Before,After iptables.service
systemctl status iptables.service -al -n250


Zu der anderen Frage, man könnte es theoretisch in die rc.local eintragen, die wird von systemd ähnlich verarbeitet wie zuvor /etc/rc.d/rc.local
Siehe dazu z.B. https://forums.mageia.org/en/viewtopic. ... 182#p58182
Besser wäre aber, eine eigene systemd-Unit pro Befehl/Skript zu erstellen, um einfacher den Status und auch evtl. Ausgaben und Fehler einsehen zu können,
da es in der Vergangenheit im Zusammenhang mit der rc.local systemd-Unit öfters zu Abhängigkeits-Loops gekommen ist, was dann damit endet dass X nicht mehr startet.

doktor5000 hat geschrieben:

Code: Alles auswählen

systemctl is-enabled iptables.service

Code: Alles auswählen

enabled

doktor5000 hat geschrieben:

Code: Alles auswählen

systemctl show -p Requires,Wants,Requisite,BindsTo,PartOf,Before,After iptables.service

Code: Alles auswählen

Requires=basic.target
Requisite=
Wants=system.slice
BindsTo=
PartOf=
Before=shutdown.target network.service
After=syslog.target systemd-journald.socket basic.target system.slice

doktor5000 hat geschrieben:

Code: Alles auswählen

systemctl status iptables.service -al -n250

Code: Alles auswählen

● iptables.service - iptables Firewall for IPv4
   Loaded: loaded (/usr/lib/systemd/system/iptables.service; enabled)
   Active: active (exited) since Do 2016-03-03 10:24:38 CET; 4h 17min ago
  Process: 776 ExecStart=/usr/libexec/iptables.init start (code=exited, status=0/SUCCESS)
 Main PID: 776 (code=exited, status=0/SUCCESS)
   CGroup: /system.slice/iptables.service

Mär 03 10:24:38 <Servername zensiert> iptables.init[776]: Applying iptables firewall rules:
Mär 03 10:24:38 <Servername zensiert> iptables.init[776]: [  OK  ]


doktor5000 hat geschrieben:rc.local

Super, auch danke für die Zusatzinfos!

Hier noch die iptables-Datei (Ich hatte es jetzt einfach mal zum Testen mit "Alles erlaubt" probiert):

Code: Alles auswählen

# Generated by iptables-save v1.4.21 on Thu Mar  3 10:21:30 2016
*nat
:PREROUTING ACCEPT [47:3052]
:INPUT ACCEPT [47:3052]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
# Completed on Thu Mar  3 10:21:30 2016
# Generated by iptables-save v1.4.21 on Thu Mar  3 10:21:30 2016
*mangle
:PREROUTING ACCEPT [236:16598]
:INPUT ACCEPT [236:16598]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [57:6568]
:POSTROUTING ACCEPT [57:6568]
:tcfor - [0:0]
:tcin - [0:0]
:tcout - [0:0]
:tcpost - [0:0]
:tcpre - [0:0]
COMMIT
# Completed on Thu Mar  3 10:21:30 2016
# Generated by iptables-save v1.4.21 on Thu Mar  3 10:21:30 2016
*raw
:PREROUTING ACCEPT [236:16598]
:OUTPUT ACCEPT [57:6568]
[0:0] -A PREROUTING -p udp -m udp --dport 10080 -j CT --helper amanda
[0:0] -A PREROUTING -p tcp -m tcp --dport 21 -j CT --helper ftp
[0:0] -A PREROUTING -p udp -m udp --dport 1719 -j CT --helper RAS
[0:0] -A PREROUTING -p tcp -m tcp --dport 1720 -j CT --helper Q.931
[0:0] -A PREROUTING -p tcp -m tcp --dport 6667 -j CT --helper irc
[97:7566] -A PREROUTING -p udp -m udp --dport 137 -j CT --helper netbios-ns
[0:0] -A PREROUTING -p tcp -m tcp --dport 1723 -j CT --helper pptp
[0:0] -A PREROUTING -p tcp -m tcp --dport 6566 -j CT --helper sane
[0:0] -A PREROUTING -p udp -m udp --dport 5060 -j CT --helper sip
[10:1060] -A PREROUTING -p udp -m udp --dport 161 -j CT --helper snmp
[0:0] -A PREROUTING -p udp -m udp --dport 69 -j CT --helper tftp
[0:0] -A OUTPUT -p udp -m udp --dport 10080 -j CT --helper amanda
[0:0] -A OUTPUT -p tcp -m tcp --dport 21 -j CT --helper ftp
[0:0] -A OUTPUT -p udp -m udp --dport 1719 -j CT --helper RAS
[0:0] -A OUTPUT -p tcp -m tcp --dport 1720 -j CT --helper Q.931
[0:0] -A OUTPUT -p tcp -m tcp --dport 6667 -j CT --helper irc
[0:0] -A OUTPUT -p udp -m udp --dport 137 -j CT --helper netbios-ns
[0:0] -A OUTPUT -p tcp -m tcp --dport 1723 -j CT --helper pptp
[0:0] -A OUTPUT -p tcp -m tcp --dport 6566 -j CT --helper sane
[0:0] -A OUTPUT -p udp -m udp --dport 5060 -j CT --helper sip
[0:0] -A OUTPUT -p udp -m udp --dport 161 -j CT --helper snmp
[0:0] -A OUTPUT -p udp -m udp --dport 69 -j CT --helper tftp
COMMIT
# Completed on Thu Mar  3 10:21:30 2016
# Generated by iptables-save v1.4.21 on Thu Mar  3 10:21:30 2016
*filter
:INPUT ACCEPT [236:16598]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [57:6568]
COMMIT
# Completed on Thu Mar  3 10:21:30 2016


kernel hat geschrieben:Mär 03 10:24:38 <Servername zensiert> iptables.init[776]: Applying iptables firewall rules:
Mär 03 10:24:38 <Servername zensiert> iptables.init[776]: [ OK ]

Hmmm, an der Stelle oben hat er erfolgreich iptables-restore ausgeführt:

# We do _not_ need to flush/clear anything when using iptables-restore
echo $"Applying iptables firewall rules: "
grep -v "^[[:space:]]*#" $IPTABLES_CONFIG | grep -v '^[[:space:]]*$' | /sbin/iptables-restore -c && \
success $"Applying iptables firewall rules" || \
failure $"Applying iptables firewall rules"
echo

Zeig mal bitte die Ausgabe von

Code: Alles auswählen

grep -v "^[[:space:]]*#" /etc/sysconfig/iptables | grep -v '^[[:space:]]*$'

doktor5000 hat geschrieben:Zeig mal bitte die Ausgabe von

Code: Alles auswählen

grep -v "^[[:space:]]*#" /etc/sysconfig/iptables | grep -v '^[[:space:]]*$'

Code: Alles auswählen

*nat
:PREROUTING ACCEPT [47:3052]
:INPUT ACCEPT [47:3052]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
*mangle
:PREROUTING ACCEPT [236:16598]
:INPUT ACCEPT [236:16598]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [57:6568]
:POSTROUTING ACCEPT [57:6568]
:tcfor - [0:0]
:tcin - [0:0]
:tcout - [0:0]
:tcpost - [0:0]
:tcpre - [0:0]
COMMIT
*raw
:PREROUTING ACCEPT [236:16598]
:OUTPUT ACCEPT [57:6568]
[0:0] -A PREROUTING -p udp -m udp --dport 10080 -j CT --helper amanda
[0:0] -A PREROUTING -p tcp -m tcp --dport 21 -j CT --helper ftp
[0:0] -A PREROUTING -p udp -m udp --dport 1719 -j CT --helper RAS
[0:0] -A PREROUTING -p tcp -m tcp --dport 1720 -j CT --helper Q.931
[0:0] -A PREROUTING -p tcp -m tcp --dport 6667 -j CT --helper irc
[97:7566] -A PREROUTING -p udp -m udp --dport 137 -j CT --helper netbios-ns
[0:0] -A PREROUTING -p tcp -m tcp --dport 1723 -j CT --helper pptp
[0:0] -A PREROUTING -p tcp -m tcp --dport 6566 -j CT --helper sane
[0:0] -A PREROUTING -p udp -m udp --dport 5060 -j CT --helper sip
[10:1060] -A PREROUTING -p udp -m udp --dport 161 -j CT --helper snmp
[0:0] -A PREROUTING -p udp -m udp --dport 69 -j CT --helper tftp
[0:0] -A OUTPUT -p udp -m udp --dport 10080 -j CT --helper amanda
[0:0] -A OUTPUT -p tcp -m tcp --dport 21 -j CT --helper ftp
[0:0] -A OUTPUT -p udp -m udp --dport 1719 -j CT --helper RAS
[0:0] -A OUTPUT -p tcp -m tcp --dport 1720 -j CT --helper Q.931
[0:0] -A OUTPUT -p tcp -m tcp --dport 6667 -j CT --helper irc
[0:0] -A OUTPUT -p udp -m udp --dport 137 -j CT --helper netbios-ns
[0:0] -A OUTPUT -p tcp -m tcp --dport 1723 -j CT --helper pptp
[0:0] -A OUTPUT -p tcp -m tcp --dport 6566 -j CT --helper sane
[0:0] -A OUTPUT -p udp -m udp --dport 5060 -j CT --helper sip
[0:0] -A OUTPUT -p udp -m udp --dport 161 -j CT --helper snmp
[0:0] -A OUTPUT -p udp -m udp --dport 69 -j CT --helper tftp
COMMIT
*filter
:INPUT ACCEPT [236:16598]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [57:6568]
COMMIT


EDIT: Sollte noch hinzufügen: Wenn ich es manuell wieder einspiele, dann klappt es. Die Rules werden dann übernommen.

kernel hat geschrieben:EDIT: Sollte noch hinzufügen: Wenn ich es manuell wieder einspiele, dann klappt es. Die Rules werden dann übernommen.

Manuell einspielen wie genau?

Aber soweit du beschrieben hast, solltest du das als Bug melden, siehe https://wiki.mageia.org/de/Wie_ein_Fehl ... chtet_wird
In Englisch natürlich

doktor5000 hat geschrieben:Manuell einspielen wie genau?

Code: Alles auswählen

iptables-restore /etc/sysconfig/iptables

Also das was eigentlich der Dienst beim Starten machen sollte. Also, wenn ich das manuell auf der Kommandozeile ausführe, nachdem das System gestartet ist, dann nimmt er die Regeln an, aber halt nicht beim Start.

Was passiert wenn du stattdessen

Code: Alles auswählen

grep -v "^[[:space:]]*#" /etc/sysconfig/iptables | grep -v '^[[:space:]]*$'| /sbin/iptables-restore -c

ausführst?

Lt. man-Page von iptables-restore sollte das was du ausführst gar nicht funktionieren, da es eigentlich nur von stdin liest ... muss aber nicht viel heißen, vielleicht wurde die man-Page lange net aktualisiert.

doktor5000 hat geschrieben:

Code: Alles auswählen

grep -v "^[[:space:]]*#" /etc/sysconfig/iptables | grep -v '^[[:space:]]*$'| /sbin/iptables-restore -c

Da kommt leider gar nichts.

doktor5000 hat geschrieben:sollte das was du ausführst gar nicht funktionieren, da es eigentlich nur von stdin liest

In der Tat. Wo ich das her hatte weiß ich nicht mehr.

Ich schätze, dass du meintest, dass man es eigentlich so machen müsste:

Code: Alles auswählen

iptables-restore < /etc/sysconfig/iptables

Naja... gut, also, dann schätze ich mal, dass ich um die Geschichte mit der rc.local nicht drumrum komme und dass Einlesen dann wohl tatsächlich da gemacht werden muss?

kernel hat geschrieben:

doktor5000 hat geschrieben:

Code: Alles auswählen

grep -v "^[[:space:]]*#" /etc/sysconfig/iptables | grep -v '^[[:space:]]*$'| /sbin/iptables-restore -c

Da kommt leider gar nichts.

Wie heißt eine alte Unix-Faustregel: "no message is good message".
Dann ist doch alles OK, Du kannst noch direkt nach der Ausführung den Rückgabewert prüfen mit

Code: Alles auswählen

echo $?

und wenn der 0 ist dann ist es fehlerfrei durchgelaufen - so macht es ja auch die systemd-Unit beim Starten.

Die Frage ist ja aber, ob die Regeln dann auch geladen sind.

kernel hat geschrieben:

doktor5000 hat geschrieben:sollte das was du ausführst gar nicht funktionieren, da es eigentlich nur von stdin liest

Ich schätze, dass du meintest, dass man es eigentlich so machen müsste:

Code: Alles auswählen

iptables-restore < /etc/sysconfig/iptables

Genau, oder wie oben über eine Pipe.

kernel hat geschrieben:Naja... gut, also, dann schätze ich mal, dass ich um die Geschichte mit der rc.local nicht drumrum komme und dass Einlesen dann wohl tatsächlich da gemacht werden muss?

Als Workaround ja. Bug solltest du trotzdem melden.

Alles klar. Mache ich. Vielen Dank für die gesamte Hilfe!

Gelöst!

Shorewall funkte dazwischen. Ergo: Shorewall entfernt.

Nun klappt's auch mit iptables.

Bitte noch Thread als [gelöst] markieren, dazu den ersten Post editieren und dem Betreff ein [gelöst] voranstellen, Danke.

Erledigt.