[Ubuntu-BR] Res: Firewall iptables bloqueando web server interno

PaulinhoLinux phga1 em yahoo.com.br
Quinta Abril 2 14:17:58 UTC 2009 

Thiago a linha já estava descomentada .... Eu descomentei essa linha antes de enviar o meu problema para a lista,  foi a primeira coisa que eu pensei em fazer qdo o web server não estava acessível.

conforme pedido segue o meu access.log e error.log

segue abaixo o meu access.log e error.log

# tail -f /var/log/apache2/access.log 
127.0.0.1 - - [02/Apr/2009:10:22:38 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:38 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:38 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:38 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:38 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:55 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:55 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:55 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:55 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"
127.0.0.1 - - [02/Apr/2009:10:22:55 -0300] "OPTIONS * HTTP/1.0" 200 - "-" "Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch (internal dummy connection)"


#tail -f /var/log/apache2/error.log 
[Thu Apr 02 10:11:48 2009] [notice] caught SIGWINCH, shutting down gracefully
[Thu Apr 02 10:11:58 2009] [notice] Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch configured -- resuming normal operations
[Thu Apr 02 10:22:38 2009] [notice] caught SIGWINCH, shutting down gracefully
[Thu Apr 02 10:22:48 2009] [notice] Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch configured -- resuming normal operations
[Thu Apr 02 10:22:55 2009] [notice] caught SIGWINCH, shutting down gracefully
[Thu Apr 02 10:23:05 2009] [notice] Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.5 with Suhosin-Patch configured -- resuming normal operations



mais uma vez... Obrigado pela ajuda ....

Paulinholinux

 _______________________________________________________________


PaulinhoLinux


>> e-mail.... paulinholinux arroba yahoo ponto com ponto br
>> msn....... paulinholinux arroba hotmail ponto com

>> Ter problemas na vida é inevitável,
ser derrotado por eles é opcional. <<


_______________________________________________________________



----- Mensagem original ----
De: Thiago Silveira Alexandre <thsalex em gmail.com>
Para: Lista de discussão do LoCoTeam Brasileiro <ubuntu-br em lists.ubuntu.com>
Enviadas: Quinta-feira, 2 de Abril de 2009 11:05:20
Assunto: Re: [Ubuntu-BR] Firewall iptables bloqueando web server interno

Paulinho,
faça o mesmo procedimento que eu sugeri nos outros logs do apache
/var/log/apache2/accses.log e cole aqui o resultado.

Só uma pergunta que pode ser besta, depois que você descomentou a linha que
falaram anteriormente você executou o script novamente?

2009/4/2 Thiago Silveira Alexandre <thsalex em gmail.com>

> Diêgo, basta você colocar uma chamado a esse script no rc.local. Ex: Se o
> seu script estiver em /etc/firewall, dê permissão de execução pra ele e
> depois adicione a seguinte linha /etc/firewall antes do exit no arquivo
> /etc/rc.local
>
> 2009/4/2 Diêgo Figueiredo <diegolcf em hotmail.com>
>
>
>> gostaria de aproveitar a dúvida do nosso colega pra perguntar se existe
>> alguma forma de rodar um script de firewall na inicialização do Sistema
>> Operacional , pois já fiz de tudo, e só consigo fazer rodar chamando o
>> script....
>>
>> estou usando ubuntu server 8.04
>>
>> ps. Amigo não é uma boa prática expor assim o ip da sua rede, isso abre um
>> leque imenso pra invasão.... se o ambiente em que vc trabalha é de produção,
>> com essas informações, alguém poderia invadir a sua rede facilmente...
>>
>>
>>
>>
>>
>> > Date: Wed, 1 Apr 2009 23:29:42 -0300
>> > From: waes60 em gmail.com
>> > To: ubuntu-br em lists.ubuntu.com
>> > Subject: Re: [Ubuntu-BR] Firewall iptables bloqueando web server interno
>> >
>> > Olá,
>> >
>> >    Verificando suas regras de firewall notei que a regra para acesso
>> > ao servidor apache, que teoricamente esta rodando na porta 80, esta
>> > comentada, experimente descomentar a linha que libera o acesso a porta
>> > 80 para ver se o problema é resolvido, ou, simplesmente, digite na
>> > linha de comando iptables -A INPUT --dport 80 -j ACCEPT, esse comando
>> > irá liberar o acesso na porta 80 para as redes interna e externa.
>> >
>> > Atenciosamente,
>> >
>> > Washington
>> >
>> >
>> >
>> >
>> >
>> > 2009/4/1 Thiago Silveira Alexandre <thsalex em gmail.com>:
>> > > você já olhou os logs de erro do apache?
>> > > de um tail -f no /var/log/apache2/error.log, tente acessar o site e
>> cole
>> > > aqui a saida do log.
>> > > Outra coisa, como está configurado seu SELinux?
>> > > Se tiver enforce tem que criar uma police para liberar o apache, senao
>> ele
>> > > não deixa acessar o site mesmo.
>> > > aguardo resposta
>> > >
>> > > 2009/4/1 PaulinhoLinux <phga1 em yahoo.com.br>
>> > >
>> > >>
>> > >> E aí galera blzzzz
>> > >>
>> > >> estou com o seguinte problema, criei um script contendo regras com o
>> > >> iptables e estou rodando ele no meu gateway. Este equipamento roda
>> tbem o
>> > >> squid e o MySAR para gerar relatórios dos acessos.
>> > >>
>> > >> só que não estou conseguindo acessar o servidor web contido neste
>> servidor.
>> > >> Para que eu acesse o servidor web eu tenho que dar um stop (parar) o
>> > >> firewall (ou seja limpar as regras e mudar a politica padão para
>> accept),
>> > >> qdo o firewall está rodando ao tentar acesso ao servidor web recebo a
>> > >> seguinte mensagem:
>> > >>
>> > >>
>> > >> ERRO
>> > >> A URL solicitada não pode ser recuperada
>> > >>
>> > >> O seguinte erro foi encontrado:
>> > >>        * Requisição inválida.
>> > >> Já analisei as minhas regras e não consegui encontrar a origem do
>> problema,
>> > >> por favor preciso de ajuda.
>> > >>
>> > >> Obrigado
>> > >>
>> > >> PaulinhoLinux
>> > >>
>> > >> OBS: Segue abaixo o meu script firewall
>> > >>
>> > >> #!/bin/bash
>> > >>
>> > >> firewall_start(){
>> > >>
>> > >> EXTERNA=eth0
>> > >> INTERNA=eth1
>> > >>
>> > >> # Abre para a interface de loopback.
>> > >> iptables -A INPUT -i lo -j ACCEPT
>> > >>
>> > >> # regra para permitir acesso a conectividade social - caixa
>> > >> #iptables -t nat -A PREROUTING -i eth0 -d ! 200.201.174.0/24 -p tcp
>> > >> --dport 80 -j REDIRECT --to-port 8080
>> > >>
>> > >> ##### Liberar Conectividade Social para todos
>> > >> # liberando acesso a toda a rede 200.201 e pode liberar sites alem da
>> > >> CAIXA.
>> > >> iptables -t nat -A PREROUTING -p tcp -d 200.201.0.0/16 -j ACCEPT
>> > >> iptables -A FORWARD -p tcp -d 200.201.0.0/16 -j ACCEPT
>> > >>
>> > >> ##### Filtros - DROP nos pacotes TCP indesejaveis
>> > >> iptables -A FORWARD -p tcp ! --syn -m state --state NEW -j LOG
>> --log-level
>> > >> 6 --log-prefix "FIREWALL: NEW sem syn: "
>> > >> iptables -A FORWARD -p tcp ! --syn -m state --state NEW -j DROP
>> > >>
>> > >> ##### ACCEPT (libera) pacotes de retorno da internet
>> > >> iptables -A INPUT -i ! $EXTERNA -j ACCEPT
>> > >> iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
>> > >> iptables -A OUTPUT -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT
>> > >> iptables -A FORWARD -m state --state ESTABLISHED,RELATED,NEW -j
>> ACCEPT
>> > >>
>> > >> # Fechando as portas do samba caso fique de cara para a internet.
>> > >> #iptables -A INPUT -p tcp -i $EXTERNA --syn --dport 139 -j DROP
>> > >> #iptables -A INPUT -p tcp -i $EXTERNA --syn --dport 138 -j DROP
>> > >>
>> > >> # aceita conexoes vindas da rede interna com destino ao web server
>> > >> iptables -A INPUT -p tcp -i $INTERNA --syn --dport 80 -j ACCEPT
>> > >>
>> > >>
>> > >> # NAT para os demais serviços que trabalham em outras portas
>> > >> iptables -A POSTROUTING -t nat -o $EXTERNA -j MASQUERADE
>> > >> echo "1" > /proc/sys/net/ipv4/ip_forward
>> > >>
>> > >> ##### Libera acesso externo para ssh e servidor web
>> > >> #iptables -A INPUT -p tcp --dport 80 -i $EXTERNA -j ACCEPT
>> > >> #iptables -A INPUT -p tcp --dport 80 -i $INTERNA -j ACCEPT
>> > >> #iptables -A INPUT -p tcp --dport 22 -i $EXTERNA -j ACCEPT
>> > >> iptables -A INPUT -p tcp --dport 22 -i $INTERNA -j ACCEPT
>> > >>
>> > >> # REDIRECIONAR PARA O PROXY SQUID
>> > >> iptables -t nat -A PREROUTING -i $INTERNA -s ! 192.168.10.2 -p tcp -m
>> > >> multiport  --dport 80,443 -j REDIRECT --to-ports 8080
>> > >>
>> > >>
>> > >> firewall_start(){
>> > >> # Ativa módulos
>> > >> modprobe ip_tables
>> > >> modprobe iptable_nat
>> > >> modprobe ip_conntrack
>> > >> modprobe ip_nat_ftp
>> > >> modprobe ipt_REJECT
>> > >> modprobe ipt_MASQUERADE
>> > >>
>> > >> # Zera regras
>> > >> iptables -F
>> > >> iptables -X
>> > >> iptables -t nat -F
>> > >> iptables -t nat -X
>> > >>
>> > >> # define a politica padrao
>> > >> iptables -P INPUT DROP
>> > >> iptables -P FORWARD DROP
>> > >> iptables -P OUTPUT DROP
>> > >> }
>> > >> }
>> > >> firewall_stop(){
>> > >> # Zera regras
>> > >> iptables -F
>> > >> iptables -X
>> > >> iptables -t nat -F
>> > >> iptables -X -t nat
>> > >> iptables -F -t filter
>> > >> iptables -X -t filter
>> > >>
>> > >> # define a politica padrao
>> > >> iptables -P INPUT ACCEPT
>> > >> iptables -P FORWARD ACCEPT
>> > >> iptables -P OUTPUT ACCEPT
>> > >>
>> > >> }
>> > >>
>> > >> case "$1" in
>> > >> "start")
>> > >> firewall_start
>> > >> echo " Firewall iniciando"
>> > >> sleep 2
>> > >> echo "ok"
>> > >> ;;
>> > >> "stop")
>> > >> firewall_stop
>> > >> echo "O firewall esta sendo desativado"
>> > >> sleep 2
>> > >> echo "ok"
>> > >> ;;
>> > >> "restart")
>> > >> echo "O firewall esta sendo reiniciado"
>> > >> sleep 1
>> > >> echo "ok."
>> > >> firewall_stop; firewall_start
>> > >> ;;
>> > >> *)
>> > >> esac
>> > >>
>> > >>
>> > >>  _______________________________________________________________
>> > >>
>> > >>
>> > >> PaulinhoLinux
>> > >>
>> > >>
>> > >> >> e-mail.... paulinholinux arroba yahoo ponto com ponto br
>> > >> >> msn....... paulinholinux arroba hotmail ponto com
>> > >>
>> > >> >> Ter problemas na vida é inevitável,
>> > >> ser derrotado por eles é opcional. <<
>> > >>
>> > >>
>> > >> _______________________________________________________________
>> > >>
>> > >>
>> > >>
>> > >>      Veja quais são os assuntos do momento no Yahoo! +Buscados
>> > >> http://br.maisbuscados.yahoo.com
>> > >>
>> > >> --
>> > >> Mais sobre o Ubuntu em português: http://www.ubuntu-br.org/comece
>> > >>
>> > >> Lista de discussão Ubuntu Brasil
>> > >> Histórico, descadastramento e outras opções:
>> > >> https://lists.ubuntu.com/mailman/listinfo/ubuntu-br
>> > >>
>> > >
>> > >
>> > >
>> > > --
>> > > Thiago Silveira Alexandre
>> > > --
>> > > Mais sobre o Ubuntu em português: http://www.ubuntu-br.org/comece
>> > >
>> > > Lista de discussão Ubuntu Brasil
>> > > Histórico, descadastramento e outras opções:
>> > > https://lists.ubuntu.com/mailman/listinfo/ubuntu-br
>> > >
>> >
>> > --
>> > Mais sobre o Ubuntu em português: http://www.ubuntu-br.org/comece
>> >
>> > Lista de discussão Ubuntu Brasil
>> > Histórico, descadastramento e outras opções:
>> > https://lists.ubuntu.com/mailman/listinfo/ubuntu-br
>>
>> _________________________________________________________________
>> Descubra seu lado desconhecido com o novo Windows Live!
>> http://www.windowslive.com.br
>> --
>> Mais sobre o Ubuntu em português: http://www.ubuntu-br.org/comece
>>
>> Lista de discussão Ubuntu Brasil
>> Histórico, descadastramento e outras opções:
>> https://lists.ubuntu.com/mailman/listinfo/ubuntu-br
>>
>
>
>
> --
> Thiago Silveira Alexandre
>



-- 
Thiago Silveira Alexandre
-- 
Mais sobre o Ubuntu em português: http://www.ubuntu-br.org/comece

Lista de discussão Ubuntu Brasil
Histórico, descadastramento e outras opções:
https://lists.ubuntu.com/mailman/listinfo/ubuntu-br



      Veja quais são os assuntos do momento no Yahoo! +Buscados
http://br.maisbuscados.yahoo.com

More information about the ubuntu-br mailing list