Onderwerp: MRTG + firewall

Zit met probleempje,

na wat zoeken heb ik de poorten van mrtg gevonden nl : 161 en 162, als ik die in de firewall toevoeg dat ze zowel input als oupout accept heeft, en dit controleer in iptables dan ziet her er allemaal goed uit, maar telkens als ik de firewall aanzet krijg ik het volgende :

SNMP Error:
send_query: Operation not permitted
SNMPv1_Session (remote host: "SWITCHIP" [SWITCHIP].161)
community: "public"
request ID: 1254346196
PDU bufsize: 8000 bytes
timeout: 2s
retries: 5
backoff: 1)
SNMPGET Problem for ifInOctets.112 ifOutOctets.112 sysUptime sysName on public@SWITCHIP

iemand enig idee ?

Kleine opmerking eerst: MRTG heeft geen poorten. Het gebruikt het SNMP protocol (poorten 161 & 162) om de gegevens van de switch te verkrijgen.

Misschien dat je toch best de exacte regels van de firewall hier eens post. Dit is wat moet toegestaan zijn:
* UDP verkeer van de machine waarop MRTG draait (vanaf om het even welk poortnummer) naar poort 161 & 162 van de switch.
* Zorg dat de switch SNMP toelaat voor het IP van de server (maar als het werkt met de firewall uitgeschakeld, zal dit wel niet het probleem zijn).

Je kan trouwens controleren of het werkt met "snmpwalk SWITCHIP public". Dan moet je niet steeds mrtg zitten draaien.

vreemd, als ik mrtg met de hand start achter fw dan geft hij die errors, maar snmpwalk gaat er wel goed overheen

Chain INPUT (policy DROP)
<SKIPPED PIECE>
ACCEPT tcp -- 0.0.0.0/0 62.212.xxx.xxxx state NEW tcp spts:1024:65535 dpt:161
ACCEPT tcp -- 0.0.0.0/0 62.212.xxx.xxx state NEW tcp spts:1024:65535 dpt:161
ACCEPT tcp -- 0.0.0.0/0 62.212.xxx.xxx state NEW tcp spts:1024:65535 dpt:161
ACCEPT tcp -- 0.0.0.0/0 62.212.xxx.xxx state NEW tcp spts:1024:65535 dpt:162
ACCEPT tcp -- 0.0.0.0/0 62.212.xxx.xxx state NEW tcp spts:1024:65535 dpt:162
ACCEPT tcp -- 0.0.0.0/0 62.212.xxx.xxx state NEW tcp spts:1024:65535 dpt:162
ACCEPT tcp -- 0.0.0.0/0 62.212.xxx.xxx state NEW tcp spts:1024:65535 dpt:162

Chain OUTPUT (policy DROP)
<SKIPPED PIECE>
ACCEPT tcp -- 62.212.xxx.xxx 0.0.0.0/0 state NEW tcp spts:1024:65535 dpt:161
ACCEPT tcp -- 62.212.xxx.xxx 0.0.0.0/0 state NEW tcp spts:1024:65535 dpt:161
ACCEPT tcp -- 62.212.xxx.xxx 0.0.0.0/0 state NEW tcp spts:1024:65535 dpt:161
ACCEPT tcp -- 62.212.xxx.xxx 0.0.0.0/0 state NEW tcp spts:1024:65535 dpt:161
ACCEPT tcp -- 62.212.xxx.xxx 0.0.0.0/0 state NEW tcp spts:1024:65535 dpt:162
ACCEPT tcp -- 62.212.xxx.xxx 0.0.0.0/0 state NEW tcp spts:1024:65535 dpt:162
ACCEPT tcp -- 62.212.xxx.xxx 0.0.0.0/0 state NEW tcp spts:1024:65535 dpt:162
ACCEPT tcp -- 62.212.xxx.xxx 0.0.0.0/0 state NEW tcp spts:1024:65535 dpt:162

misschien een wilde gok, maar zo snel de firewall up, dan kan de server ook niet meer gepingt worden, misschien dat mrtg wel de data uit kan lezen maar niet kan pingen en daarom denkt dat hij connect error heeft.

heb het al gevonde, het lag aan udp, had weltcp maar geen upd, heb nu de volgende rules

$IPTABLES -A INPUT -i eth0 -p udp --sport 161 --dport 161 -m state --state NEW -j ACCEPT
$IPTABLES -A INPUT -i eth0 -p tcp --sport 161 --dport 161 -m state --state NEW -j ACCEPT
$IPTABLES -A OUTPUT -o eth0 -p udp --sport 161 --dport 161 -m state --state NEW -j ACCEPT
$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 161 --dport 161 -m state --state NEW -j ACCEPT

$IPTABLES -A INPUT -i eth0 -p udp --sport 162 --dport 162 -m state --state NEW -j ACCEPT
$IPTABLES -A INPUT -i eth0 -p tcp --sport 162 --dport 162 -m state --state NEW -j ACCEPT
$IPTABLES -A OUTPUT -o eth0 -p udp --sport 162 --dport 162 -m state --state NEW -j ACCEPT
$IPTABLES -A OUTPUT -o eth0 -p tcp --sport 162 --dport 162 -m state --state NEW -j ACCEPT