none
Не подгружается iptables RRS feed

  • Общие обсуждения

  • Добрый день!

    Centos 6.3 на WindowsAzure.

    Настраиваю iptables (с сохранением через service iptables save), всё чудесно работает до перезагрузки сервера. После перезагрузки iptables слетает на какой-то стандартный, где один входящий udp bootpc настроен. При этом файлы iptables и iptables.save содержат мои данные.

    В чём может быть дело? Azure что-то подкрутил на запуске?


    http://corp-tools.ru

    26 января 2013 г. 20:36

Все ответы

  • Возможно при старте самой системы выставляются настройки по умолчанию каким-то скриптом. Посмотрите что у вас выполнятеся при загрузке или напишите скрипт загрузки конфигурации для iptables и запускайте вместе с системой - CentOS Init startup scripts

    Ваша конфигурация должна быть в файле /etc/sysconfig/iptables, а в файле /etc/sysconfig/iptables.save предыдущая конфигурация и при загрузке конфиг берется именно из файла iptables, а не iptables.save


    Для связи [mail]

    29 января 2013 г. 8:03
  • Вот что у меня в /etc/init.d/:

    abrt-ccpp
    abrtd
    abrt-oops
    acpid
    atd
    auditd
    autofs
    bvat
    certmonger
    cgconfig
    cgred
    cpuspeed
    crond
    cups
    functions
    haldaemon
    halt
    httpd
    hv_kvp_daemon
    ip6tables
    iptables
    irqbalance
    kdump
    killall
    lvm2-lvmetad
    lvm2-monitor
    mcelogd
    mdmonitor
    memcached
    messagebus
    munin-node
    mysqld
    nagios
    netconsole
    netfs
    network
    nfs
    nfslock
    nginx
    nmb
    ntpd
    ntpdate
    numad
    oddjobd
    portreserve
    postfix
    psacct
    quota_nld
    rdisc
    restorecond
    rngd
    rpcbind
    rpcgssd
    rpcidmapd
    rpcsvcgssd
    rsyslog
    sandbox
    saslauthd
    single
    smartd
    smb
    sshd
    sssd
    stunnel
    sysstat
    udev-post
    waagent
    winbind
    xinetd
    ypbind
    stunnel.bak

    В /etc/sysconfig/iptables, как уже писал, лежит то, что мне нужно.
     Неужели нет официальной информации от ms, что и откуда подгружает iptables при старте?

    http://corp-tools.ru


    29 января 2013 г. 9:49
  • А что лежит в /etc/init.d/iptables и ip6tables - может это и есть конфиги по умолчанию, что у вас загружаются?

    Также попробуйте после перезагрузки выполнить команду iptables-restore, которая должна загрузить сохраненный ранее конфиг.


    Для связи [mail]

    4 февраля 2013 г. 12:10
  • В /etc/init.d/iptables (точнее /etc/rc.d/init.d/iptables):

    #!/bin/sh
    #
    # iptables	Start iptables firewall
    #
    # chkconfig: 2345 08 92
    # description:	Starts, stops and saves iptables firewall
    #
    # config: /etc/sysconfig/iptables
    # config: /etc/sysconfig/iptables-config
    #
    ### BEGIN INIT INFO
    # Provides: iptables
    # Required-Start:
    # Required-Stop:
    # Default-Start: 2 3 4 5
    # Default-Stop: 0 1 6
    # Short-Description: start and stop iptables firewall
    # Description: Start, stop and save iptables firewall
    ### END INIT INFO
    
    # Source function library.
    . /etc/init.d/functions
    
    IPTABLES=iptables
    IPTABLES_DATA=/etc/sysconfig/$IPTABLES
    IPTABLES_CONFIG=/etc/sysconfig/${IPTABLES}-config
    IPV=${IPTABLES%tables} # ip for ipv4 | ip6 for ipv6
    [ "$IPV" = "ip" ] && _IPV="ipv4" || _IPV="ipv6"
    PROC_IPTABLES_NAMES=/proc/net/${IPV}_tables_names
    VAR_SUBSYS_IPTABLES=/var/lock/subsys/$IPTABLES
    
    # only usable for root
    [ $EUID = 0 ] || exit 4
    
    if [ ! -x /sbin/$IPTABLES ]; then
        echo -n $"${IPTABLES}: /sbin/$IPTABLES does not exist."; warning; echo
        exit 5
    fi
    
    # Old or new modutils
    /sbin/modprobe --version 2>&1 | grep -q module-init-tools \
        && NEW_MODUTILS=1 \
        || NEW_MODUTILS=0
    
    # Default firewall configuration:
    IPTABLES_MODULES=""
    IPTABLES_MODULES_UNLOAD="yes"
    IPTABLES_SAVE_ON_STOP="no"
    IPTABLES_SAVE_ON_RESTART="no"
    IPTABLES_SAVE_COUNTER="no"
    IPTABLES_STATUS_NUMERIC="yes"
    IPTABLES_STATUS_VERBOSE="no"
    IPTABLES_STATUS_LINENUMBERS="yes"
    
    # Load firewall configuration.
    [ -f "$IPTABLES_CONFIG" ] && . "$IPTABLES_CONFIG"
    
    # Netfilter modules
    NF_MODULES=($(lsmod | awk "/^${IPV}table_/ {print \$1}") ${IPV}_tables)
    NF_MODULES_COMMON=(x_tables nf_nat nf_conntrack) # Used by netfilter v4 and v6
    
    # Get active tables
    NF_TABLES=$(cat "$PROC_IPTABLES_NAMES" 2>/dev/null)
    
    
    rmmod_r() {
        # Unload module with all referring modules.
        # At first all referring modules will be unloaded, then the module itself.
        local mod=$1
        local ret=0
        local ref=
    
        # Get referring modules.
        # New modutils have another output format.
        [ $NEW_MODUTILS = 1 ] \
    	&& ref=$(lsmod | awk "/^${mod}/ { print \$4; }" | tr ',' ' ') \
    	|| ref=$(lsmod | grep ^${mod} | cut -d "[" -s -f 2 | cut -d "]" -s -f 1)
    
        # recursive call for all referring modules
        for i in $ref; do
    	rmmod_r $i
    	let ret+=$?;
        done
    
        # Unload module.
        # The extra test is for 2.6: The module might have autocleaned,
        # after all referring modules are unloaded.
        if grep -q "^${mod}" /proc/modules ; then
    	modprobe -r $mod > /dev/null 2>&1
    	res=$?
    	[ $res -eq 0 ] || echo -n " $mod"
    	let ret+=$res;
        fi
    
        return $ret
    }
    
    flush_n_delete() {
        # Flush firewall rules and delete chains.
        [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
    
        # Check if firewall is configured (has tables)
        [ -z "$NF_TABLES" ] && return 1
    
        echo -n $"${IPTABLES}: Flushing firewall rules: "
        ret=0
        # For all tables
        for i in $NF_TABLES; do
            # Flush firewall rules.
    	$IPTABLES -t $i -F;
    	let ret+=$?;
    
            # Delete firewall chains.
    	$IPTABLES -t $i -X;
    	let ret+=$?;
    
    	# Set counter to zero.
    	$IPTABLES -t $i -Z;
    	let ret+=$?;
        done
    
        [ $ret -eq 0 ] && success || failure
        echo
        return $ret
    }
    
    set_policy() {
        # Set policy for configured tables.
        policy=$1
    
        # Check if iptable module is loaded
        [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
    
        # Check if firewall is configured (has tables)
        tables=$(cat "$PROC_IPTABLES_NAMES" 2>/dev/null)
        [ -z "$tables" ] && return 1
    
        echo -n $"${IPTABLES}: Setting chains to policy $policy: "
        ret=0
        for i in $tables; do
    	echo -n "$i "
    	case "$i" in
    	    raw)
    		$IPTABLES -t raw -P PREROUTING $policy \
    		    && $IPTABLES -t raw -P OUTPUT $policy \
    		    || let ret+=1
    		;;
    	    filter)
                    $IPTABLES -t filter -P INPUT $policy \
    		    && $IPTABLES -t filter -P OUTPUT $policy \
    		    && $IPTABLES -t filter -P FORWARD $policy \
    		    || let ret+=1
    		;;
    	    nat)
    		$IPTABLES -t nat -P PREROUTING $policy \
    		    && $IPTABLES -t nat -P POSTROUTING $policy \
    		    && $IPTABLES -t nat -P OUTPUT $policy \
    		    || let ret+=1
    		;;
    	    mangle)
    	        $IPTABLES -t mangle -P PREROUTING $policy \
    		    && $IPTABLES -t mangle -P POSTROUTING $policy \
    		    && $IPTABLES -t mangle -P INPUT $policy \
    		    && $IPTABLES -t mangle -P OUTPUT $policy \
    		    && $IPTABLES -t mangle -P FORWARD $policy \
    		    || let ret+=1
    		;;
    	    *)
    	        let ret+=1
    		;;
            esac
        done
    
        [ $ret -eq 0 ] && success || failure
        echo
        return $ret
    }
    
    start() {
        # Do not start if there is no config file.
        [ ! -f "$IPTABLES_DATA" ] && return 6
    
        # check if ipv6 module load is deactivated
        if [ "${_IPV}" = "ipv6" ] \
    	&& grep -qIsE "^install[[:space:]]+${_IPV}[[:space:]]+/bin/(true|false)" /etc/modprobe.conf /etc/modprobe.d/* ; then
    	echo $"${IPTABLES}: ${_IPV} is disabled."
    	return 150
        fi
    
        echo -n $"${IPTABLES}: Applying firewall rules: "
    
        OPT=
        [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"
    
        $IPTABLES-restore $OPT $IPTABLES_DATA
        if [ $? -eq 0 ]; then
    	success; echo
        else
    	failure; echo; return 1
        fi
        
        # Load additional modules (helpers)
        if [ -n "$IPTABLES_MODULES" ]; then
    	echo -n $"${IPTABLES}: Loading additional modules: "
    	ret=0
    	for mod in $IPTABLES_MODULES; do
    	    echo -n "$mod "
    	    modprobe $mod > /dev/null 2>&1
    	    let ret+=$?;
    	done
    	[ $ret -eq 0 ] && success || failure
    	echo
        fi
        
        touch $VAR_SUBSYS_IPTABLES
        return $ret
    }
    
    stop() {
        # Do not stop if iptables module is not loaded.
        [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
    
        flush_n_delete
        set_policy ACCEPT
        
        if [ "x$IPTABLES_MODULES_UNLOAD" = "xyes" ]; then
    	echo -n $"${IPTABLES}: Unloading modules: "
    	ret=0
    	for mod in ${NF_MODULES[*]}; do
    	    rmmod_r $mod
    	    let ret+=$?;
    	done
    	# try to unload remaining netfilter modules used by ipv4 and ipv6 
    	# netfilter
    	for mod in ${NF_MODULES_COMMON[*]}; do
    	    rmmod_r $mod >/dev/null
    	done
    	[ $ret -eq 0 ] && success || failure
    	echo
        fi
        
        rm -f $VAR_SUBSYS_IPTABLES
        return $ret
    }
    
    save() {
        # Check if iptable module is loaded
        [ ! -e "$PROC_IPTABLES_NAMES" ] && return 0
    
        # Check if firewall is configured (has tables)
        [ -z "$NF_TABLES" ] && return 6
    
        echo -n $"${IPTABLES}: Saving firewall rules to $IPTABLES_DATA: "
    
        OPT=
        [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"
    
        ret=0
        TMP_FILE=$(/bin/mktemp -q $IPTABLES_DATA.XXXXXX) \
    	&& chmod 600 "$TMP_FILE" \
    	&& $IPTABLES-save $OPT > $TMP_FILE 2>/dev/null \
    	&& size=$(stat -c '%s' $TMP_FILE) && [ $size -gt 0 ] \
    	|| ret=1
        if [ $ret -eq 0 ]; then
    	if [ -e $IPTABLES_DATA ]; then
    	    cp -f $IPTABLES_DATA $IPTABLES_DATA.save \
    		&& chmod 600 $IPTABLES_DATA.save \
    		&& restorecon $IPTABLES_DATA.save \
    		|| ret=1
    	fi
    	if [ $ret -eq 0 ]; then
    	    mv -f $TMP_FILE $IPTABLES_DATA \
    		&& chmod 600 $IPTABLES_DATA \
    		&& restorecon $IPTABLES_DATA \
    	        || ret=1
    	fi
        fi
        rm -f $TMP_FILE
        [ $ret -eq 0 ] && success || failure
        echo
        return $ret
    }
    
    status() {
        if [ ! -f "$VAR_SUBSYS_IPTABLES" -a -z "$NF_TABLES" ]; then
    	echo $"${IPTABLES}: Firewall is not running."
    	return 3
        fi
    
        # Do not print status if lockfile is missing and iptables modules are not 
        # loaded.
        # Check if iptable modules are loaded
        if [ ! -e "$PROC_IPTABLES_NAMES" ]; then
    	echo $"${IPTABLES}: Firewall modules are not loaded."
    	return 3
        fi
    
        # Check if firewall is configured (has tables)
        if [ -z "$NF_TABLES" ]; then
    	echo $"${IPTABLES}: Firewall is not configured. "
    	return 3
        fi
    
        NUM=
        [ "x$IPTABLES_STATUS_NUMERIC" = "xyes" ] && NUM="-n"
        VERBOSE= 
        [ "x$IPTABLES_STATUS_VERBOSE" = "xyes" ] && VERBOSE="--verbose"
        COUNT=
        [ "x$IPTABLES_STATUS_LINENUMBERS" = "xyes" ] && COUNT="--line-numbers"
    
        for table in $NF_TABLES; do
    	echo $"Table: $table"
    	$IPTABLES -t $table --list $NUM $VERBOSE $COUNT && echo
        done
    
        return 0
    }
    
    restart() {
        [ "x$IPTABLES_SAVE_ON_RESTART" = "xyes" ] && save
        stop
        start
    }
    
    
    case "$1" in
        start)
    	[ -f "$VAR_SUBSYS_IPTABLES" ] && exit 0
    	start
    	RETVAL=$?
    	;;
        stop)
    	[ "x$IPTABLES_SAVE_ON_STOP" = "xyes" ] && save
    	stop
    	RETVAL=$?
    	;;
        restart|force-reload)
    	restart
    	RETVAL=$?
    	;;
        reload)
    	# unimplemented
    	RETVAL=3
    	;;
        condrestart|try-restart)
    	[ ! -e "$VAR_SUBSYS_IPTABLES" ] && exit 0
    	restart
    	RETVAL=$?
    	;;
        status)
    	status
    	RETVAL=$?
    	;;
        panic)
    	flush_n_delete
    	set_policy DROP
    	RETVAL=$?
            ;;
        save)
    	save
    	RETVAL=$?
    	;;
        *)
    	echo $"Usage: ${IPTABLES} {start|stop|restart|condrestart|status|panic|save}"
    	RETVAL=2
    	;;
    esac
    
    exit $RETVAL

    В /etc/init.d/ip6tables (точнее /etc/rc.d/init.d/ip6tables):

    #!/bin/sh
    #
    # ip6tables	Start ip6tables firewall
    #
    # chkconfig: 2345 08 92
    # description:	Starts, stops and saves ip6tables firewall
    #
    # config: /etc/sysconfig/ip6tables
    # config: /etc/sysconfig/ip6tables-config
    #
    ### BEGIN INIT INFO
    # Provides: ip6tables
    # Required-Start:
    # Required-Stop:
    # Default-Start: 2 3 4 5
    # Default-Stop: 0 1 6
    # Short-Description: start and stop ip6tables firewall
    # Description: Start, stop and save ip6tables firewall
    ### END INIT INFO
    
    # Source function library.
    . /etc/init.d/functions
    
    IP6TABLES=ip6tables
    IP6TABLES_DATA=/etc/sysconfig/$IP6TABLES
    IP6TABLES_CONFIG=/etc/sysconfig/${IP6TABLES}-config
    IPV=${IP6TABLES%tables} # ip for ipv4 | ip6 for ipv6
    [ "$IPV" = "ip" ] && _IPV="ipv4" || _IPV="ipv6"
    PROC_IP6TABLES_NAMES=/proc/net/${IPV}_tables_names
    VAR_SUBSYS_IP6TABLES=/var/lock/subsys/$IP6TABLES
    
    # only usable for root
    [ $EUID = 0 ] || exit 4
    
    if [ ! -x /sbin/$IP6TABLES ]; then
        echo -n $"${IP6TABLES}: /sbin/$IP6TABLES does not exist."; warning; echo
        exit 5
    fi
    
    # Old or new modutils
    /sbin/modprobe --version 2>&1 | grep -q module-init-tools \
        && NEW_MODUTILS=1 \
        || NEW_MODUTILS=0
    
    # Default firewall configuration:
    IP6TABLES_MODULES=""
    IP6TABLES_MODULES_UNLOAD="yes"
    IP6TABLES_SAVE_ON_STOP="no"
    IP6TABLES_SAVE_ON_RESTART="no"
    IP6TABLES_SAVE_COUNTER="no"
    IP6TABLES_STATUS_NUMERIC="yes"
    IP6TABLES_STATUS_VERBOSE="no"
    IP6TABLES_STATUS_LINENUMBERS="yes"
    
    # Load firewall configuration.
    [ -f "$IP6TABLES_CONFIG" ] && . "$IP6TABLES_CONFIG"
    
    # Netfilter modules
    NF_MODULES=($(lsmod | awk "/^${IPV}table_/ {print \$1}") ${IPV}_tables)
    NF_MODULES_COMMON=(x_tables nf_nat nf_conntrack) # Used by netfilter v4 and v6
    
    # Get active tables
    NF_TABLES=$(cat "$PROC_IP6TABLES_NAMES" 2>/dev/null)
    
    
    rmmod_r() {
        # Unload module with all referring modules.
        # At first all referring modules will be unloaded, then the module itself.
        local mod=$1
        local ret=0
        local ref=
    
        # Get referring modules.
        # New modutils have another output format.
        [ $NEW_MODUTILS = 1 ] \
    	&& ref=$(lsmod | awk "/^${mod}/ { print \$4; }" | tr ',' ' ') \
    	|| ref=$(lsmod | grep ^${mod} | cut -d "[" -s -f 2 | cut -d "]" -s -f 1)
    
        # recursive call for all referring modules
        for i in $ref; do
    	rmmod_r $i
    	let ret+=$?;
        done
    
        # Unload module.
        # The extra test is for 2.6: The module might have autocleaned,
        # after all referring modules are unloaded.
        if grep -q "^${mod}" /proc/modules ; then
    	modprobe -r $mod > /dev/null 2>&1
    	res=$?
    	[ $res -eq 0 ] || echo -n " $mod"
    	let ret+=$res;
        fi
    
        return $ret
    }
    
    flush_n_delete() {
        # Flush firewall rules and delete chains.
        [ ! -e "$PROC_IP6TABLES_NAMES" ] && return 0
    
        # Check if firewall is configured (has tables)
        [ -z "$NF_TABLES" ] && return 1
    
        echo -n $"${IP6TABLES}: Flushing firewall rules: "
        ret=0
        # For all tables
        for i in $NF_TABLES; do
            # Flush firewall rules.
    	$IP6TABLES -t $i -F;
    	let ret+=$?;
    
            # Delete firewall chains.
    	$IP6TABLES -t $i -X;
    	let ret+=$?;
    
    	# Set counter to zero.
    	$IP6TABLES -t $i -Z;
    	let ret+=$?;
        done
    
        [ $ret -eq 0 ] && success || failure
        echo
        return $ret
    }
    
    set_policy() {
        # Set policy for configured tables.
        policy=$1
    
        # Check if iptable module is loaded
        [ ! -e "$PROC_IP6TABLES_NAMES" ] && return 0
    
        # Check if firewall is configured (has tables)
        tables=$(cat "$PROC_IP6TABLES_NAMES" 2>/dev/null)
        [ -z "$tables" ] && return 1
    
        echo -n $"${IP6TABLES}: Setting chains to policy $policy: "
        ret=0
        for i in $tables; do
    	echo -n "$i "
    	case "$i" in
    	    raw)
    		$IP6TABLES -t raw -P PREROUTING $policy \
    		    && $IP6TABLES -t raw -P OUTPUT $policy \
    		    || let ret+=1
    		;;
    	    filter)
                    $IP6TABLES -t filter -P INPUT $policy \
    		    && $IP6TABLES -t filter -P OUTPUT $policy \
    		    && $IP6TABLES -t filter -P FORWARD $policy \
    		    || let ret+=1
    		;;
    	    nat)
    		$IP6TABLES -t nat -P PREROUTING $policy \
    		    && $IP6TABLES -t nat -P POSTROUTING $policy \
    		    && $IP6TABLES -t nat -P OUTPUT $policy \
    		    || let ret+=1
    		;;
    	    mangle)
    	        $IP6TABLES -t mangle -P PREROUTING $policy \
    		    && $IP6TABLES -t mangle -P POSTROUTING $policy \
    		    && $IP6TABLES -t mangle -P INPUT $policy \
    		    && $IP6TABLES -t mangle -P OUTPUT $policy \
    		    && $IP6TABLES -t mangle -P FORWARD $policy \
    		    || let ret+=1
    		;;
    	    *)
    	        let ret+=1
    		;;
            esac
        done
    
        [ $ret -eq 0 ] && success || failure
        echo
        return $ret
    }
    
    start() {
        # Do not start if there is no config file.
        [ ! -f "$IP6TABLES_DATA" ] && return 6
    
        # check if ipv6 module load is deactivated
        if [ "${_IPV}" = "ipv6" ] \
    	&& grep -qIsE "^install[[:space:]]+${_IPV}[[:space:]]+/bin/(true|false)" /etc/modprobe.conf /etc/modprobe.d/* ; then
    	echo $"${IP6TABLES}: ${_IPV} is disabled."
    	return 150
        fi
    
        echo -n $"${IP6TABLES}: Applying firewall rules: "
    
        OPT=
        [ "x$IP6TABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"
    
        $IP6TABLES-restore $OPT $IP6TABLES_DATA
        if [ $? -eq 0 ]; then
    	success; echo
        else
    	failure; echo; return 1
        fi
        
        # Load additional modules (helpers)
        if [ -n "$IP6TABLES_MODULES" ]; then
    	echo -n $"${IP6TABLES}: Loading additional modules: "
    	ret=0
    	for mod in $IP6TABLES_MODULES; do
    	    echo -n "$mod "
    	    modprobe $mod > /dev/null 2>&1
    	    let ret+=$?;
    	done
    	[ $ret -eq 0 ] && success || failure
    	echo
        fi
        
        touch $VAR_SUBSYS_IP6TABLES
        return $ret
    }
    
    stop() {
        # Do not stop if ip6tables module is not loaded.
        [ ! -e "$PROC_IP6TABLES_NAMES" ] && return 0
    
        flush_n_delete
        set_policy ACCEPT
        
        if [ "x$IP6TABLES_MODULES_UNLOAD" = "xyes" ]; then
    	echo -n $"${IP6TABLES}: Unloading modules: "
    	ret=0
    	for mod in ${NF_MODULES[*]}; do
    	    rmmod_r $mod
    	    let ret+=$?;
    	done
    	# try to unload remaining netfilter modules used by ipv4 and ipv6 
    	# netfilter
    	for mod in ${NF_MODULES_COMMON[*]}; do
    	    rmmod_r $mod >/dev/null
    	done
    	[ $ret -eq 0 ] && success || failure
    	echo
        fi
        
        rm -f $VAR_SUBSYS_IP6TABLES
        return $ret
    }
    
    save() {
        # Check if iptable module is loaded
        [ ! -e "$PROC_IP6TABLES_NAMES" ] && return 0
    
        # Check if firewall is configured (has tables)
        [ -z "$NF_TABLES" ] && return 6
    
        echo -n $"${IP6TABLES}: Saving firewall rules to $IP6TABLES_DATA: "
    
        OPT=
        [ "x$IP6TABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"
    
        ret=0
        TMP_FILE=$(/bin/mktemp -q $IP6TABLES_DATA.XXXXXX) \
    	&& chmod 600 "$TMP_FILE" \
    	&& $IP6TABLES-save $OPT > $TMP_FILE 2>/dev/null \
    	&& size=$(stat -c '%s' $TMP_FILE) && [ $size -gt 0 ] \
    	|| ret=1
        if [ $ret -eq 0 ]; then
    	if [ -e $IP6TABLES_DATA ]; then
    	    cp -f $IP6TABLES_DATA $IP6TABLES_DATA.save \
    		&& chmod 600 $IP6TABLES_DATA.save \
    		&& restorecon $IP6TABLES_DATA.save \
    		|| ret=1
    	fi
    	if [ $ret -eq 0 ]; then
    	    mv -f $TMP_FILE $IP6TABLES_DATA \
    		&& chmod 600 $IP6TABLES_DATA \
    		&& restorecon $IP6TABLES_DATA \
    	        || ret=1
    	fi
        fi
        rm -f $TMP_FILE
        [ $ret -eq 0 ] && success || failure
        echo
        return $ret
    }
    
    status() {
        if [ ! -f "$VAR_SUBSYS_IP6TABLES" -a -z "$NF_TABLES" ]; then
    	echo $"${IP6TABLES}: Firewall is not running."
    	return 3
        fi
    
        # Do not print status if lockfile is missing and ip6tables modules are not 
        # loaded.
        # Check if iptable modules are loaded
        if [ ! -e "$PROC_IP6TABLES_NAMES" ]; then
    	echo $"${IP6TABLES}: Firewall modules are not loaded."
    	return 3
        fi
    
        # Check if firewall is configured (has tables)
        if [ -z "$NF_TABLES" ]; then
    	echo $"${IP6TABLES}: Firewall is not configured. "
    	return 3
        fi
    
        NUM=
        [ "x$IP6TABLES_STATUS_NUMERIC" = "xyes" ] && NUM="-n"
        VERBOSE= 
        [ "x$IP6TABLES_STATUS_VERBOSE" = "xyes" ] && VERBOSE="--verbose"
        COUNT=
        [ "x$IP6TABLES_STATUS_LINENUMBERS" = "xyes" ] && COUNT="--line-numbers"
    
        for table in $NF_TABLES; do
    	echo $"Table: $table"
    	$IP6TABLES -t $table --list $NUM $VERBOSE $COUNT && echo
        done
    
        return 0
    }
    
    restart() {
        [ "x$IP6TABLES_SAVE_ON_RESTART" = "xyes" ] && save
        stop
        start
    }
    
    
    case "$1" in
        start)
    	[ -f "$VAR_SUBSYS_IP6TABLES" ] && exit 0
    	start
    	RETVAL=$?
    	;;
        stop)
    	[ "x$IP6TABLES_SAVE_ON_STOP" = "xyes" ] && save
    	stop
    	RETVAL=$?
    	;;
        restart|force-reload)
    	restart
    	RETVAL=$?
    	;;
        reload)
    	# unimplemented
    	RETVAL=3
    	;;
        condrestart|try-restart)
    	[ ! -e "$VAR_SUBSYS_IP6TABLES" ] && exit 0
    	restart
    	RETVAL=$?
    	;;
        status)
    	status
    	RETVAL=$?
    	;;
        panic)
    	flush_n_delete
    	set_policy DROP
    	RETVAL=$?
            ;;
        save)
    	save
    	RETVAL=$?
    	;;
        *)
    	echo $"Usage: ${IP6TABLES} {start|stop|restart|condrestart|status|panic|save}"
    	RETVAL=2
    	;;
    esac
    
    exit $RETVAL

    Может вы имели ввиду сами конфиги? Они же в /etc/sysconfig/iptables лежат. И там то, что мне нужно лежит.

    На команде "iptables-restore" курсор просто переходит на следующую строку и всё, ничего не происходит и iptables -L показывает старое (загружаемое при старте ОС).


    http://corp-tools.ru

    4 февраля 2013 г. 12:40
  • Скрипты iptable читают настройки именно оттуда где они есть у вас и сохраняют там же:

    IPTABLES=iptables
    IPTABLES_DATA=/etc/sysconfig/$IPTABLES
    IPTABLES_CONFIG=/etc/sysconfig/${IPTABLES}-config

    Так что все должно быть нормально и конфиг должен загружаться. Azure дает вам обычную CentOS, а конфигурируете вы ее уже сами.

    Про управление портами из панели управления Azure написано тут в конце статьи How to set up communication with the virtual machine


    Для связи [mail]

    4 февраля 2013 г. 13:29
  • Согласен.

    Но факт какой-то другой :).

    Сейчас создал новый сервер с centos. Вообще больше ничего не делал.

    [root@test1 ~]# iptables -L
    Chain INPUT (policy ACCEPT)
    target     prot opt source               destination
    ACCEPT     udp  --  anywhere             anywhere            udp dpt:bootpc
    
    Chain FORWARD (policy ACCEPT)
    target     prot opt source               destination
    
    Chain OUTPUT (policy ACCEPT)
    target     prot opt source               destination

    Заливаю свой тестовый конфиг:

    #!/bin/bash
    iptables -F
    
    iptables -A INPUT -i lo -j ACCEPT
    
    iptables -A INPUT -i eth0 -p tcp --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT
    iptables -A INPUT -i eth0 -p tcp --sport 25 -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -P INPUT DROP
    
    iptables -P FORWARD DROP
    
    iptables -P OUTPUT ACCEPT
    
    service iptables save
    
    iptables -L -v

    Запускаю установку конфига:

    [root@test1 ~]# cd /
    [root@test1 /]# ./firewall_test
    iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
    Chain INPUT (policy DROP 0 packets, 0 bytes)
     pkts bytes target     prot opt in     out     source               destination
        0     0 ACCEPT     all  --  lo     any     anywhere             anywhere
        0     0 ACCEPT     tcp  --  eth0   any     anywhere             anywhere            tcp spt:http state RELATED,ESTABLISHED
        2    80 ACCEPT     tcp  --  eth0   any     anywhere             anywhere            tcp dpt:ssh
        0     0 ACCEPT     tcp  --  eth0   any     anywhere             anywhere            tcp spt:smtp state RELATED,ESTABLISHED
    
    Chain FORWARD (policy DROP 0 packets, 0 bytes)
     pkts bytes target     prot opt in     out     source               destination
    
    Chain OUTPUT (policy ACCEPT 2 packets, 248 bytes)
     pkts bytes target     prot opt in     out     source               destination


    Как видно, всё чудесно сохранилось. И в файле /etc/sysconfig/iptables:

    # Generated by iptables-save v1.4.7 on Mon Feb  4 14:32:14 2013
    *filter
    :INPUT DROP [0:0]
    :FORWARD DROP [0:0]
    :OUTPUT ACCEPT [1:140]
    -A INPUT -i lo -j ACCEPT 
    -A INPUT -i eth0 -p tcp -m tcp --sport 80 -m state --state RELATED,ESTABLISHED -j ACCEPT 
    -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT 
    -A INPUT -i eth0 -p tcp -m tcp --sport 25 -m state --state RELATED,ESTABLISHED -j ACCEPT 
    COMMIT
    # Completed on Mon Feb  4 14:32:14 2013


    Перезагружаю сервер. Получаю:

    [root@test1 ~]# iptables -L
    Chain INPUT (policy ACCEPT)
    target     prot opt source               destination
    ACCEPT     udp  --  anywhere             anywhere            udp dpt:bootpc
    
    Chain FORWARD (policy ACCEPT)
    target     prot opt source               destination
    
    Chain OUTPUT (policy ACCEPT)
    target     prot opt source               destination

    При этом в файле /etc/sysconfig/iptables всё те же мои правильные данные.


    http://corp-tools.ru


    4 февраля 2013 г. 14:39
  • Господа, есть у кого-нибудь решение?

    http://corp-tools.ru

    6 февраля 2013 г. 16:16
  • Уважаемый пользователь!

    В вашей теме отсутствует активность более 5 дней. При отсутствии каких-либо действий в течение 2 последующих дней, тема будет переведена в разряд обсуждений. Вы можете возобновить дискуссию, просто оставив сообщение в данной теме

    12 марта 2013 г. 15:53
    Модератор