iptables & ssh

[DaGrrr]

Hallo,

nach Hilfe von Euch funktioniert soweit mein SSH mit Pubkey.

Nun soll natürlich ein iptablesscript laufen.
Das Script ansich funktioniert soweit.
Nur wenn die Fw gestartet ist, ist kein ssh login mehr möglich.

Hier der wichtige Teil des Scripts:

#!/bin/sh
#internet schnittstelle
IFACE_EXT="eth0"

#Loopbackdevice
IFACE_LO="lo"

#Nameserver
Nameserver=192.168.253.1

# Default Policy: legt fest, das alles gedropt wird, was nicht expliziet zugelassen wird
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

#löschen aller bisherigen regeln
iptables -F -t filter
iptables -X -t filter
iptables -F -t nat
iptables -X -t nat

# alles, was über die Loopbackdevice geht, wird zugelassen.
iptables -A INPUT -i $IFACE_LO -j ACCEPT
iptables -A OUTPUT -o $IFACE_LO -j ACCEPT

#Alles, was zu einer bestehenden Verbindung gehört wird zugelassen
iptables -A INPUT -i $IFACE_EXT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o $IFACE_EXT -m state --state ESTABLISHED,RELATED -j ACCEPT

#Alles was von aussen kommt und zu keiner bestehenden Verbindung gehört wird geblockt.
iptables -A INPUT -i $IFACE_EXT -m state --state NEW -j DROP

################## SSH ##############################
iptables -A OUTPUT -p tcp --sport 1024: --dport 22 -j ACCEPT
# iptables -A INPUT -p tcp --sport 22 --dport 1024; -j ACCEPT

Auch wenn ich hier ^^ die Raute am Anfang rausnehme, funktioniert es nicht.

Wird die Fw gestartet, bleiben zwar besehende SSH Verbindungen funktionsfähig aber neue sind nicht mehr möglich :(

Wo liegt der Fehler ?

Grüße
DaGrrr

P.S: Wenn sich noch jemand mit SSH auskennt, hier hab ich noch ein paar kleine Fragen:
http://www.linuxforen.de/forums/showthread.php?s=&threadid=56515

[DaGrrr]

Fehler gefunden ;)

Grüße
DaGrrr

[msi]

wo war er denn??

[DaGrrr]

iptables -A INPUT -i $IFACE_EXT -m state --state ESTABLISHED,RELATED -j ACCEPT

muß heissen:

iptables -A INPUT -i $IFACE_EXT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


Grüße
DaGrrr

[Jinto]

Nein, dass war nicht der Fehler. Dein Fehler liegt hier:
iptables -A OUTPUT -p tcp --sport 1024: --dport 22 -j ACCEPT

Das sollte heissen:
iptables -A INPUT -p tcp --sport 1024: --dport 22 -j ACCEPT
oder bsser:
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT
Wenns nur intern sein soll, noch das Device angeben.

[DaGrrr]

Oha, man lernt nie aus ;)

Danke!

Jedenfalls hatte es zumindest mal funktioniert.
Ich nehme aber Deine Version.

Grüße
DaGrrr