iptables与远程访问的问题

73年生人

我的电脑通过一台运行iptables的机器与公司网络连接
公司网络上运行两台服务器，一台用ssh远程连接，一台用win2003开放了远程连接
现在的情况是：
１、与服务器在同一网段的机器用VNC能访问2003的机器
２、在iptables后面的机器用ssh能访问ssh服务器
３、在iptables后面的机器能ping通win2003机器
4、在iptables后面的机器用VNC访问win2003的机器时，提示连接关闭，无法访问。

chenyx

看你的防火墙的设置是什么.你有没有限制端口的规则?

73年生人

chenyx 发表于 2013-09-03 17:38
看你的防火墙的设置是什么.你有没有限制端口的规则?

nat表没作限制。

Chain POSTROUTING (policy ACCEPT 6 packets, 340 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     2216  137K SNAT       all  --  *      eth0    192.168.197.0/24     0.0.0.0/0            to:128.128.0.1
2      552 33890 SNAT       all  --  *      eth0    192.168.198.0/24     0.0.0.0/0            to:128.128.0.1


filter表的INPUT链做了限制，但这只限于对访问iptables本机的限制吧

chenyx

将iptables -L -n的结果贴上来.

73年生人

chenyx 发表于 2013-09-04 08:14
将iptables -L -n的结果贴上来.

root@IPt:/# iptables -nvL
Chain INPUT (policy DROP 44463 packets, 6086K bytes)
pkts bytes target     prot opt in     out     source               destination         
1612  137K ACCEPT     tcp  --  *      *       192.168.198.5        0.0.0.0/0            tcp dpt:22
    9  1012 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED

Chain FORWARD (policy ACCEPT 4487K packets, 3222M bytes)
pkts bytes target     prot opt in     out     source               destination         
  107  6623 DROP       udp  --  eth1   *       192.168.197.0/24     0.0.0.0/0            udp dpt:53 state NEW #conn src/32 > 100
1957  102K DROP       tcp  --  eth1   *       192.168.197.0/24     0.0.0.0/0            tcp dpt:80flags: 0x17/0x02 #conn src/32 > 100
1143 71126 ACCEPT     udp  --  *      *       192.168.197.0/24     0.0.0.0/0            udp dpt:53
88013   27M ACCEPT     tcp  --  *      *       192.168.197.0/24     0.0.0.0/0            tcp dpt:80
    0     0 DROP       tcp  --  eth1   *       192.168.197.0/24     0.0.0.0/0            tcpflags: 0x17/0x02 #conn src/32 > 100
12719 1259K DROP       udp  --  eth1   *       192.168.197.0/24     0.0.0.0/0            state NEW #conn src/32 > 100

Chain OUTPUT (policy ACCEPT 78 packets, 11219 bytes)
pkts bytes target     prot opt in     out     source               destination         

chenyx

在你的forward链里面添加一个state RELATED,ESTABLISHED的允许项目.

73年生人

chenyx 发表于 2013-09-04 09:39
在你的forward链里面添加一个state RELATED,ESTABLISHED的允许项目.

加了，没用。
iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

问题是SSH正常，VNC不行

chenyx

那你将iptables的INPUT默认规则设置成ACCEPT,删除所有INPUT,FORWARD里面的规则,测试下
如果可行,抓包检查下

73年生人

chenyx 发表于 2013-09-04 11:10
那你将iptables的INPUT默认规则设置成ACCEPT,删除所有INPUT,FORWARD里面的规则,测试下
如果可行,抓包检查下 ...

猪一样的问题！
远程连接的协议选错了，连接win要用RDP协议，不能用ＶＮＣ

chenyx

解决就好.谁都会犯错误的.