Perguntas & Respostas

Publicada por alm.marcal em 25/05/2007 - 10:37h:
* alm.marcal usa Mandrake

Saudações galera!
Estou tendo dificuldades em liberar a porta 3306 (mysql) com o iptables.

Inicialmente eu alterei a politica da chain para bloquear todo acesso, com o comando:
iptables -P INPUT DROP

Em seguida, eu tentei abrir a porta 3306 com o comando:
iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 3306 -j ACCEPT

mas não consigo de maneira alguma me conectar com o banco de dados mysql, a não ser que eu altero a política da chain novamente (iptables -P INPUT ACCEPT).

Alguem sabe me dizer o que estou fazendo de errado?

Obrigado!

Resposta de tiengo em 25/05/2007 - 10:48h:
* tiengo usa Gentoo
* tiengo tem conceito: 10.0

Libere primeiro a porta e dps bloqueie o resto.
iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 3306 -j ACCEPT;
iptables -P INPUT DROP;

Resposta de hugoalvarez em 25/05/2007 - 11:45h:
* hugoalvarez usa Debian
* hugoalvarez tem conceito: 9.2

Oi,

Seu bloqueio através de policies está correto, via de regra sempre comece seus scripts com o -P INPUT DROP,

para liberar a porta a linha também está correta, mas como está a política do forward?

tente assim:

iptables -P INPUT DROP
iptables -A INPUT -s 192.168.0.0/24 -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT DROP
iptables -A FORWARD -s 192.168.0.0/24 -p tcp --dport 3306 -j ACCEPT
iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp --dport 3306 -j DNAT --to 192.168.0.1

A primeira linha seta as policies de INPUT para DROP, sempre deve vir primeiro;
A segunda linha libera as conexões vin das de qualquer host da rede 192.168.0.0/24;
A terceira linha nega qualquer conexão ao servidor explicitamente de todos, exceto os marcados anteriormente com outra permissão, no caso a segunda linha;
A quarta linha libera o forward de conxões na porta 3306 da rede 192.168.0.0/24, obrigatório se o forward estiver bloqueado (padrão);
A última linha define que todas as conexões provenientes da rede 192.168.0.0/24 na porta 3306 devem ir para o host 192.168.0.1, é bom para ter certeza que os pacotes estão sendo encaminhados ao local correto, no caso de haverem dois servidores mysql.

Até mais

Voltar

ATENÇÃO: Antes de contribuir com uma resposta, leia o artigo Qualidade de respostas e certifique-se de que esteja realmente contribuindo com a comunidade. Muitas vezes o ímpeto de contribuir nos leva a atrapalhar ao invés de ajudar.