PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : [iptables] Welche Ports für CUPS (nur lokal)


DerDoc
08.06.04, 15:27
Hallo,

ich kann meinen CUPS Daemon starten allerdings wird bei "lpq" oder Druckbefehlen nichts gemacht, die Prozesse scheinen zu hängen da wohl mein Iptables-Skript etwas zuviel filtert...

Loopback-Networking ist erlaubt aber was braucht man denn sonst noch? Ich will NICHT von anderen Rechnern zugreifen... Vielleicht wird auch ein Wert unter /proc falsch gesetzt? Bin für jeden Hinweis dankbar.

DerDoc
r2k
08.06.04, 17:59
Cups benötigt 631, wenn du es im LAN verwendest
L00NIX
08.06.04, 18:39
Wenn du den Kompatibilitätsdaemon für LPD benutzt, benötigst du zusätztlich (oder auch nur) Port 515.


Hinweis am Rande:

Für Leute, die mit Windows auf einen LPD zugreifen. Man muss dann Client Ports über 512 und nicht wie sonst die über 1024 zulassen:



iptables -A INPUT -i eth0 -p tcp --sport 512: --dport 515 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 515 --dport 512: -j ACCEPT
Harry
08.06.04, 21:40
Wenn Du nur lokal auf dem Rechner drucken willst, benötigst Du extern _überhaupt keine freigeschalteten Ports_.
Ich nehme mal an, dass Dein Problem in der CUPS-Konfiguration besteht.

Harry
DerDoc
09.06.04, 09:44
Es funktioniert jetzt: Es fehlte eine Regel "iptables -A OUPUT -d 127.0.0.1 -j ACCEPT".

CUPS an sich funktionierte einwandfrei wenn die Firewall aus war. Da ich keine Win-Kisten mehr habe und auch nicht im Netz drucken will hat sich auch dieser Punkt erledigt.

Danke für die Antworten,
DerDoc
Harry
09.06.04, 10:09
Hi,

dann war das Loopback-Networking - entgegen Deiner ersten Aussage - also doch nicht erlaubt :D

Harry
DerDoc
11.06.04, 19:54
Es wurden alle Pakete vom Loopback-Device durchgelassen... ich dachte das sollte genügen für Loopback Networking?!

DerDoc
Harry
11.06.04, 20:12
Na eben nicht - das hast Du ja oben schon geschrieben.
Deine Filterregeln haben auf dem Loopback-Device lediglich eingehende IP-Datagramme erlaubt. Als Default-Policy hast Du für die OUTPUT-Chain aber ein DROP angegeben und damit ausgehende IP-Datagramme auf diesem Interface erstmal verhindert.
Wenn irgendwo ein Datagramm reingelassen werden soll, dann muss es vorher zunächst irgendwo rausgelassen werden - und genau das war nicht der Fall.

Nun passt es ja :)

Harry