iptables und Bootp richtig konfigurieren

[FlashBurn]

Ich versuche gerade eine Workstation per bootp zu starten.

Allerdings scheint mein iptables noch nicht richtig konfiguriert zu sein, da ich bei einer Anfrage folgende Warnung im syslog habe:


Sep 6 18:09:45 localhost kernel: [ 3002.792898] iptables denied: IN=eth0 OUT= MAC=ff:ff:ff:ff:ff:ff:08:00:69:10:07:0a:08:00 SRC=192.168.178.201 DST=255.255.255.255 LEN=328 TOS=0x00 PREC=0x00 TTL=255 ID=43 PROTO=UDP SPT=68 DPT=67 LEN=308


Meine iptable rules sehen wie folgt aus:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -d 127.0.0.0/8 ! -i lo -j REJECT --reject-with icmp-port-unreachable
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 6666 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
-A INPUT -s 192.168.178.0/24 -p udp -m udp --dport 137 -j ACCEPT
-A INPUT -s 192.168.178.0/24 -p udp -m udp --dport 138 -j ACCEPT
-A INPUT -s 192.168.178.0/24 -p tcp -m state --state NEW -m tcp --dport 139 -j ACCEPT
-A INPUT -s 192.168.178.0/24 -p tcp -m state --state NEW -m tcp --dport 445 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 67 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 68 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 69 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 53 -j ACCEPT
-A OUTPUT -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
COMMIT


Ich bin mir sicher das nicht geantwortet weil ich auch bei wireshark keine Antwort sehe.

Kann mir einer sagen woran es liegt, dass nicht geantwortet wird?

[Der Eulenträger von Athen]

Geht es denn, wenn du den iptables Dienst stoppst?

[FlashBurn]

Geht es denn, wenn du den iptables Dienst stoppst?
Ich habe es jetzt schon mit verschiedenen Optionen probiert, aber obwohl iptables "aus" ist, kommt keine Antwort (Kontrolle per wireshark).

Folgendes habe ich im syslog stehen:

Sep 8 09:05:11 localhost bootpd[725]: recvd pkt from IP addr 192.168.178.201
Sep 8 09:05:11 localhost bootpd[725]: bootptab mtime: Sun Sep 6 17:44:12 2015
Sep 8 09:05:11 localhost bootpd[725]: request from IP addr 192.168.178.201
Sep 8 09:05:11 localhost bootpd[725]: found 192.168.178.201 (workstation)
Sep 8 09:05:11 localhost bootpd[725]: requested path="" file="fx.64"
Sep 8 09:05:11 localhost bootpd[725]: bootfile="/irix/3/stand/fx.64"
Sep 8 09:05:11 localhost bootpd[725]: vendor magic field is 0.0.0.0
Sep 8 09:05:11 localhost bootpd[725]: sending reply (with no options)

Sieht für mich danach aus, das alles so klappt wie es soll, nur das keine Daten rausgehen ;)

[Tech_FREAK_2000|GS]

Hm, der zugehörige TFTP Dienst der die angeforderten Dateien verteilen soll, läuft auch?

[FlashBurn]

Hm, der zugehörige TFTP Dienst der die angeforderten Dateien verteilen soll, läuft auch?
Da er weiß wo er die Datei herholen soll, gehe ich mal davon aus das der Dienst läuft.

[Lokadamus]

Dann guck mal mit "netstat -a" auf deiner Kiste nach, ob der Port 69 mit UDP offen ist.

Die IPTables Meldung hantiert allerdings nicht mit Port 69 rum, so weit ich es sehen kann. Ob er sich an dem Ziel Broadcast stört, weiß ich spontan nicht. Aber aus diesem Grund kam schon der Vorschlag, iptables zu beenden oder einmal alles freigeben, was intern läuft und gucken, ob es geht.

[FlashBurn]

...Aber aus diesem Grund kam schon der Vorschlag, iptables zu beenden oder einmal alles freigeben, was intern läuft und gucken, ob es geht.
Und genau das habe ich, wie oben geschrieben, gemacht und es funktioniert leider trotzdem nicht.

Die Anforderung per Bootp kommt richtig an, es wird die richtige Datei ausgewählt (also der richtige Ort) und laut syslog wird eine Antwort versendet, aber weder kommt was beim Empfänger an, noch sehe ich die Antwort per wireshark. Daraus schließe ich, dass es noch irgendwo auf dem Server hängt.

Edit::

Selbst mit aktiviertem iptables sollte der Port 69 per UDP offen sein, wie es in meinen iptables Regeln zu sehen ist.

[Lokadamus]

Tauchen den weitere Meldungen von iptables auf, das etwas geblockt wurde?

Ich würde ansonsten eine andere Kiste oder VM nehmen und schauen, dort bootp zum Laufen zu bewegen. Wenn alles läuft, kann man die Config auf deine Firewall packen und gucken, ob es geht.

[Der Eulenträger von Athen]

Was sagen denn die Logs auf dem Server?