Forum Debian Users Gang

Skoro masz wyjście na Internet (generalnie to co wychodzi z fbsd), a problemem jest połączenie się z tym serwerem, to lepiej sprawdź czy nie masz włączonego firewalla (pf, iffw czy ipfilter), który blokuje pakiety wchodzące (nie zainicjowane przez siebie)
Ja bym tu szukał problemu.

A nie masz jakieś opcji debugowania sieci i firewalla?
W iptables jest moduł TRACE, który pokazuje w logach, co się dzieje z pakietem od tablicy RAW -PREROUTING  do INPUT i RAW -OUTPUT włącznie, widać wtedy działanie całego routingu przy okazji.
Tu masz opis: http://backreference.org/2010/06/11/iptables-debugging/

Podejrzewam, że we FreeBSD też jest coś podobnego.

Ostatnio edytowany przez Jacekalex (2012-11-21 00:37:55)

Może na BSD, na Linuxie jeszcze mi Tcpdump w życiu nie pokazał, na której tablicy fw się pakiet gubi, a miałem już kilka razy podobne cyrki zarówno z fw jak i z routingiem, przy okazji widać, czy to fw zgubił czy roting..
Tcpdump słucha na interfejsach, a nie na poszczególnych segmentach podsystemu sieciowego.
Potrzebujesz raczej narzędzia, które pokazuje, co się dzieje z pakietem przed i po decyzji o routingu.

Daj nam trochę więcej informacji:
masz em0 (WAN) i em1(LAN)
jak już yampress wspomniał

ifconfig_em0="inet 14.13.65.17 netmask 255.255.255.248 broadcast 14.13.65.17"
defaultrouter="14.13.65.129"

ten broadcast nie bardzo pasuje, brama z resztą też nie bardzo, tym bardziej, że wcześniej już nam podałeś domyślą bramę

default            193.193.65.129     UGS         0        9    em0

skoro x.y.65.129 przy masce /29 to inna podsieć, więc potrzebny routing aby szukał go z em0 (co rozumiem z 1-go postu), czyli powinieneś mieć w rc.conf static_routes

daj nam pełniejsze info, możesz podmienić adresy podając np. xx.yy.65.17/29 więc broadcast xx.yy.65.23 - tak żeby się zgadzało.
podaj nam

ifconfig
netstat -rn
sockstat -4l
uname -a

może ewentualnie więcej info z /etc/rc.conf

z której sieci chcesz się łączyć z lan czy z wan, może przed em0 masz coś jeszcze co blokuje inputy

Ostatnio edytowany przez meciarz (2012-11-21 19:44:54)

Spróbuj na Fbsd odpalić nmap'a, i przeskanować komp, z którego próbujesz się łączyć po ssh, i z kompa, z którego nie możesz się łączyć, przeskanuj Fbsd.
Prawdopodobnie dowiesz się czegoś ciekawego.

Użycie:

 nmap -sV  -O {adres-ip}

I wklej (na  wkleja dugowego) wynik

ssh -vvv user@maczyna

o który prosił Yampres.

Bo wróżki tutaj raczej nie znajdziesz,  a szklana kula też się gdzieś zawieruszyła. :D

Ostatnio edytowany przez Jacekalex (2012-11-22 17:21:37)

@Yampress
Na wróżkę raczej się średnio nadajesz ;), lepiej radziłbym poczekać na tego loga z ssh -vvv.
Choć to może potrwać tyle, co te obniżki podatków, które obiecali... :D

jezoo napisał(-a):

@Jacekalex w serwerowni ja nie nocuje tak jak Ty.

Ja też w robocie nie śpię, nawet bywam tam raczej rzadko, ale mam dostęp właśnie po SSH, przez OpenVPN, i takie tam rożne dziwnoty i fanaberie.

Być może z resztą w robocie powstanie za sprawa mojej osoby brama Ipseca, jak szef załata dziurę w kieszeni :D

W każdym razie Strongswana i Radiusa ma już obczajonego nieźle, na taką okoliczność.

Ostatnio edytowany przez Jacekalex (2012-11-23 13:33:27)

ping -c3 193.193.65.137
PING 193.193.65.137 (193.193.65.137) 56(84) bytes of data.
64 bytes from 193.193.65.137: icmp_req=1 ttl=61 time=63.1 ms
64 bytes from 193.193.65.137: icmp_req=2 ttl=61 time=2.07 ms
64 bytes from 193.193.65.137: icmp_req=3 ttl=61 time=88.7 ms

--- 193.193.65.137 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2001ms
rtt min/avg/max/mdev = 2.072/51.322/88.714/36.352 ms

nmap -sV  -O 193.193.65.137

Starting Nmap 6.01 ( http://nmap.org ) at 2012-11-23 17:10 CET
Nmap scan report for 193.193.65.137
Host is up (0.0039s latency).
All 1000 scanned ports on 193.193.65.137 are filtered
Too many fingerprints match this host to give specific OS details

OS and Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 24.06 seconds

ssh -vvv

OpenSSH_5.9p1, OpenSSL 1.0.0j-fips 10 May 2012
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 50: Applying options for *
debug2: ssh_connect: needpriv 0
debug1: Connecting to 193.193.65.137 [193.193.65.137] port 22.
debug1: connect to address 193.193.65.137 port 22: Connection timed out
ssh: connect to host 193.193.65.137 port 22: Connection timed out

sockstat -4l

All 1000 scanned ports on 193.193.65.137 are filtered

Na Linuxie to oznacza jakiegoś firewalla po drodze, podejrzewam, że na BSD też.

Szkoda, że nie użyłeś w nmapie funkcji -O - fingeprinting by pokazał, czy tam widać FreeBSD, czy jakieś dziwadło, może jakieś inne urządzenie pośredniczące.
Albo po prostu skanowałeś nie ten adres co trzeba?

Jakby tam był otwarty port, nawet, jakby na nim nic nie słuchało, miałby wynik open albo closed, jakby tam zobaczył ssh, to by napisał, że widział ssh, i to niezależnie od tego, jaka jest konfiguracja ssh.

 ~> nmap -sV -p 22 dug.net.pl

Starting Nmap 5.51 ( http://nmap.org ) at 2012-11-23 19:12 CET
Nmap scan report for dug.net.pl (217.96.37.17)
Host is up (0.018s latency).
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 5.9p1-hpn13v11 (protocol 2.0)

Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 0.54 seconds

nmap -sV -p 22 localhost

Starting Nmap 5.51 ( http://nmap.org ) at 2012-11-23 19:15 CET
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000098s latency).
PORT   STATE  SERVICE VERSION
22/tcp closed ssh

Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 0.15 seconds

Także lepiej posprawdzaj kable i adresy, bo coś tam nie bangla, jak powinno.

I jeszcze jedno:
Wynik skanowania FreeBSD nmapem, razem z fingerprintingiem:

nmap -O -sV freebsd.org

Starting Nmap 5.51 ( http://nmap.org ) at 2012-11-23 20:21 CET
Nmap scan report for freebsd.org (8.8.178.135)
Host is up (0.17s latency).
rDNS record for 8.8.178.135: freefall.freebsd.org
Not shown: 992 closed ports
PORT    STATE    SERVICE      VERSION
22/tcp  open     ssh          OpenSSH 6.1_hpn13v11 (FreeBSD 20120901; protocol 2.0)
25/tcp  filtered smtp
79/tcp  open     finger       FreeBSD fingerd
80/tcp  open     http         lighttpd
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
443/tcp open     ssh          OpenSSH 6.1_hpn13v11 (FreeBSD 20120901; protocol 2.0)
445/tcp filtered microsoft-ds
Device type: general purpose
Running (JUST GUESSING): FreeBSD 7.X|8.X|6.X (95%), PC-BSD (88%), OpenBSD 4.X (85%)
Aggressive OS guesses: FreeBSD 7.1-PRERELEASE (95%), FreeBSD 8.0-STABLE (94%), FreeBSD 7.0-RELEASE (93%), FreeBSD 7.1-RELEASE - 8.0-RELEASE (90%), FreeBSD 6.2-RELEASE-p2 (pf with scrub enabled) (89%), PC-BSD 1.3 (88%), FreeBSD 7.0-BETA4 (87%), FreeBSD 8.0-CURRENT (87%), FreeBSD 8.1-STABLE (87%), FreeBSD 8.0-RELEASE (86%)
No exact OS matches for host (test conditions non-ideal).
Service Info: OS: FreeBSD

OS and Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 34.87 seconds

Pozdrawiam
;-)

Wiem, że jest xprobe i pOf, ale wiem również, że prosiłem o wynik całościowy nmapa -sV -O - gdzie pokazuje otwarte porty i OS.
Pomimo braku doskonałości, jakoś Nmap 5.51 potrafi odróżnić  z jakąśtam dokładnością Linuxa, FreeBSD i jakiś router czy switch z ekstra  vlanami i portami.
Zwłaszcza, ze na  "wątkowym" FreeBSD, na którym nie widać ssh chyba nikt na razie nie majstrował za bardzo w sysctl.

Natomiast fingerprinting pozwoliłby przynajmniej wyjaśnić, czy na adresie IP siedzi BSD, czy co innego.

Można też zobaczyć inaczej:
Na FreeBSD z ifconfiga wyciągnąć mac-adres - IP , potem z zewnątrz arpingiem sprawdzamy adres macowy na podstawie IP, i wiadomo, że mamy do czynienia z tym hostem co trzeba za pośrednictwem switcha, bez żadnego routera z wbudowanym firewallem po drodze.

W "spaghetti" kabli sieciowych walających się tu i tam inaczej czasem ciężko się połapać, zwłaszcza dziedzicząc bajzel po zielonych, jak pietruszka lamerach, którzy właśnie przed chwilą wylecieli.

Bo sytuacja, kiedy na FBSD nie ma włączonego żadnego firewalla, a skaner pokazuje tylko filtrowane porty, trochę mnie dziwi.
Zwłaszcza, jak tam wisi jakaś usługa sieciowa.

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2012-11-23 23:08:49)

Dlatego  chce zobaczyc /etc/rc.conf. gdzie może być włączony  firewall. FreeBSD ma 3 firewale....
http://www.freebsd.org/doc/en_US.ISO8859-1/books/ha … lls-apps.html
I aby wykluczyć jeszcze  temat firewala na samym serwerze. Potem temat drogi do serwera ..... potem już sam serwer.

jezoo   chyba nie edytowałeś nic w /etc/defaults/rc.conf ?