www.zeroshell.net

[pmarco]

Salve a tutti, sto provando configurare il netbalancer per far fronte ad un eventuale fail della ADSL principale. Il secondo canale d'accesso è impostato su un modem 3G con connettività wind. Il firewall è in DROP sulla chain INPUT (con la sola eccezzione della VPN, port 1194), FORWARD e OUT in ACCEPT. Ho notato e la cosa è bloccante che con il firewall impostato come descritto sopra il netbalancer non riesce a pingare nessun indirizzo esterno, cosa che invece avviene con successo non appena modifico la chain INPUT in accept. Come primo rimedio ho provato ad aggiungere una regola per permettere il ping, ma niente da fare.

Qualcuno mi aiuta?
Qui sotto lo stato attuale di iptables

Chain INPUT (policy DROP)
target prot opt source destination
SYS_GUI all -- 0.0.0.0/0 0.0.0.0/0
SYS_INPUT all -- 0.0.0.0/0 0.0.0.0/0
SYS_HTTPS tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:8888
SYS_HTTPS tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:8443
SYS_SSH tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:1194
LOG icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8 limit: avg 10/min burst 15 LOG flags 0 level 4 prefix `INPUT/002'
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
SYS_OUTPUT all -- 0.0.0.0/0 0.0.0.0/0

Chain NetBalancer (0 references)
target prot opt source destination

Chain SYS_GUI (1 references)
target prot opt source destination
ACCEPT tcp -- 188.153.68.41 0.0.0.0/0 tcp dpt:12081

Chain SYS_HTTPS (2 references)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0

Chain SYS_INPUT (1 references)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:53 state ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:80 state ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp spt:8245 state ESTABLISHED
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp spt:123 state ESTABLISHED
RETURN all -- 0.0.0.0/0 0.0.0.0/0

Chain SYS_OUTPUT (1 references)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:8245
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:123
RETURN all -- 0.0.0.0/0 0.0.0.0/0

Chain SYS_SSH (1 references)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0

[pmarco]

Commettevo un errore nella dichiarazione della regola in quanto per poter pingare dal firewall verso l'esterno bisogna attivare la regola come di seguito riportato:

ACCEPT icmp opt -- in ETH00 out * 0.0.0.0/0 -> 0.0.0.0/0 state RELATED,ESTABLISHED icmp type 0 yes