Onderwerp: Probleem met de configuratie van iptables

Hallo allemaal,

Ik heb al een tijdje 2 servers draaien. 1 die werkt als router en firewall en een webserver daar achter.
Nou heb ik laatst mijn firewall wat steviger gemaakt, maar nu kan ik niet meer een ssh verbinding openen naar mijn webserver vanaf de router. Dit is het firewall script dat ik heb geschreven:
Owjah, nog wat gegevens: 3 netwerkkaarten, eth0 aan het internet, eth1 aan mijn webserver. Router op Debian linux, webserver op FreeBSD. Mijn router staat in het netwerk van mijn pa, dus eigenlijk staat mijn router achter een andere router.

#!/bin/bash
# Dit script zet de juiste poorten open voor een ssh-verbinding met Morpheus en zal dan de ssh-verbinding starten.
# PAS OP: Dit script zet de poorten niet terug naar de oude waarden, vergeet dit niet!

MORPHEUS_IP=192.168.0.12 # Het ip-adres van Morpheus
MORPHEUS_UNAME=hidde # De username waarmee je wil inloggen

echo "Configureer iptables..."

# Laad de juiste modules.
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe iptable_nat
modprobe ip_nat_ftp

# Maak iptables leeg.
iptables -F
iptables -t nat -F
iptables -t mangle -F

# De LO interface moet al het verkeer toestaan.
iptables -A INPUT -i lo -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A OUTPUT -o lo -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

# Zorg voor 2 richtingsverkeer tussen de firewall en het netwerk.
iptables -A INPUT -i eth1 -s 192.168.0.0/24 -d 192.168.0.1 -j ACCEPT
iptables -A OUTPUT -o eth1 -s 192.168.0.1 -d 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -i eth2 -s 192.168.1.0/24 -d 192.168.1.1 -j ACCEPT
iptables -A OUTPUT -o eth2 -s 192.168.1.1 -d 192.168.1.0/24 -j ACCEPT

# Zorg dat Neo volop met de router kan communiceren.
iptables -A OUTPUT -o eth0 -d 192.168.123.254 -p all -j ACCEPT
iptables -A INPUT -i eth0 -s 192.168.123.254 -p all -j ACCEPT

# Sta ssh toegang toe op Neo.
iptables -A INPUT -i eth0 -d 192.168.123.159 -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -o eth0 -s 192.168.123.159 -p tcp --sport 22 -j ACCEPT

# Zet eth1 open naar het internet.
# iptables -A FORWARD -i eth0 -o eth1 -d 192.168.0.0/24 -p all -j ACCEPT
# iptables -A FORWARD -i eth1 -o eth0 -s 192.168.0.0/24 -p all -j ACCEPT

# Zet eth2 open naar het internet.
iptables -A FORWARD -i eth0 -o eth2 -d 192.168.1.0/24 -p all -j ACCEPT
iptables -A FORWARD -i eth2 -o eth0 -s 192.168.1.0/24 -p all -j ACCEPT

echo "iptables succesvol geconfigureerd."
echo ""
echo "Start de ssh-verbinding..."

# Log in
ssh $MORPHEUS_IP -l $MORPHEUS_UNAME

exit 0

Je defaults staan nog op ACCEPT. Het heeft dus geen zin om zelf gaten te gaan prikken want die zijn er al.
Voeg dus het volgende ergens bovenaan toe:

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

Vanaf hier kun je zelf beslissen wat er wel en niet over je lijn gaat.

Je lijkt ook niet te natten, iets wat je waarschijnlijk wel wil. Voeg dus een regel toe als:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Daarnaast zul je dmv PREROUTING porten moeten forwarden naar je webserver.
En als laatste moet je misschien ip_forward aanzetten in /proc.

Mijn defaults staan standaard al op drop en ik hoef voor dit script ook geen nat regels te hebben. Het gaat er om dat ik vanaf mijn router/firewall pc een ssh verbinding kan starten naar mijn webserver.
Ik kan naar mijn webserver pingen vanaf mijn router. Maar om de een of andere reden wil hij geen ssh verbinding start.
Ik kan wel een ssh verbinding maken naar 127.0.0.1, dus ssh werkt.
En als ik in mijn logs kijk dan gaat mijn webserver bij het starten van een ssh verbinding paketjes sturen naar de router voor de router zeg maar. Ik denk omdat deze staat ingesteld als name-server. Maar de verbinding komt niet tot stand.