Eu tenho Lubuntu 14.04 LTS com vsftpd e a pilha da lâmpada (apache2, etc.) instalada. Tudo funciona bem na LAN. Externamente, os serviços não reconhecem as tentativas de conexão. Eu posso ver pacotes atingindo a máquina com tcpdump-i eth0 -A , mas a máquina não envia um ACK correspondente. sudo ufw status relatórios "Status: inativo". Eu não tenho regras configuradas em "iptables"; iptables -L tem saída em branco.
Para tornar as coisas mais confusas, posso usar o IP da WAN externo atribuído a essa máquina e o nome do host de dentro da rede e as conexões são bem-sucedidas. Para usar o IP da WAN e o nome do host externamente, obtenho o mesmo comportamento do Ubuntu não enviar pacotes ACK.
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:3306 0.0.0.0:* LISTEN 1494/mysqld
tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN 1277/dnsmasq
tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN 984/vsftpd
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 977/sshd
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 669/cupsd
tcp6 0 0 :::80 :::* LISTEN 2175/apache2
tcp6 0 0 :::22 :::* LISTEN 977/sshd
tcp6 0 0 ::1:631 :::* LISTEN 669/cupsd
Sem divulgar muitas informações, a LAN é uma rede privada de classe A 10.x.x.x / 22. O servidor tem uma NIC atribuída a um endereço estático na VLAN comercial. A outra NIC do servidor tem um endereço estático de classe privada C 192.168.x.x / 24 na DMZ.
Uma varredura nmap de ambos os endereços internos mostra uma saída idêntica, mostrada abaixo:
Nmap scan report for 192.168.x.x/10.x.x.x
Host is up (0.0018s latency).
Not shown: 996 closed ports
PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
80/tcp open http
3306/tcp open mysql
Nmap done: 1 IP address (1 host up) scanned in 0.36 seconds
Uma varredura no IP externo mostra todas as portas como "filtradas", o que significa que o nmap não obteve uma resposta SYN / ACK ou ACK.
Starting Nmap 5.21 ( http://nmap.org ) at 2015-02-10 06:28 UTC
Host is up.
PORT STATE SERVICE
21/tcp filtered ftp
22/tcp filtered ssh
80/tcp filtered http
3306/tcp filtered mysql
Acabei descobrindo isso. Não foi diretamente um problema de firewall. Eu tenho dois NICs, um para a LAN e outro para o DMZ, para o qual o IP da WAN é NAT. A rota padrão estava na LAN. Ao receber pacotes da internet, o servidor tentou responder via rota padrão na LAN. A desconexão da LAN permitiu que os serviços se comuniquem pela Internet.
Eu ainda preciso da comunicação da LAN privada, mas vou resolver isso mais tarde.