Onderwerp: OpenVZ VPS iptables perikelen

Hallo,

sinds enkele dagen heb ik een OpenVZ VPS. Ik weet dat bij OpenVZ VPSen het gebruik van iptables beperkt is. Het enige wat ik eigelijk wil bereiken is alle outbound verkeer toelaten, en inbound alles rejecten tenzij expliciet toegestaan. Hiervoor had ik een Xen VPS waarbij ik iptables op de volgende manier geconfigureerd had (dit is niet de hele configuratie, enkel de relevante regels voor deze thread):

Code:

-A INPUT -i lo -j ACCEPT
-A INPUT -d 127.0.0.0/8 -i ! lo -j REJECT --reject-with icmp-port-unreachable
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-A INPUT -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -j ACCEPT

Op mijn nieuwe VPS struikelt ip tables over de stateful regel, hetgeen mij doet vermoeden dat mijn hoster op de VPS host de kernel module "ipt_state" niet geladen heeft. Daarom heb ik de stateful regel (r. 3) moeten verwijderen. Echter zodra ik deze configuratie laadt verliest mijn VPS alle outbound connectie mogelijkheden. Heeft iemand hier ervaring mee? Wordt dit veroorzaakt door het verwijderen van de stateful regel? Moeten inbound established connecties toegelaten worden om outbound connecties op te kunnen zetten?

Bestaat hier een workaround voor of moet ik gewoon proberen mijn hoster zover te krijgen dat de ipt_state module geladen wordt op de VPS host?

Bij voorbaat dank voor een reactie!

Als jij niet kan doen wat je wil doen dan moet je daar de host op aanspreken, een heel afwijkende configuratie is het niet.

ESTABLISHED
A packet which belongs to an existing connection (i.e., a reply packet, or outgoing packet on a connection which has seen replies).

Dus ja, je heb het nodig wil je outbound verkeer mogelijk maken, zonder dit per service te specificeren.

Je zal contact moeten opnemen met je host.

Zie: http://wiki.openvz.org/Setting_up_an..._configuration

Het hangt beetje vanaf hoe je host OpenVZ gebruikt.

Succes!

Mvg,
Aleks

Bedankt voor jullie reacties. Ik ga inderdaad even contact opnemen met de host, ik vind het toch wel erg belangrijk om een beetje degelijke firewall op te kunnen zetten.