Acessando mySQL de duas portas: Problemas com iptables

Question

Acessando mySQL de duas portas: Problemas com iptables

#1 resposta do (2 votos)

2

Estou tentando fazer com que meu mySQL-server (executado no Ubuntu) ouça na porta 3306 e 110, porque gostaria de acessá-lo de uma rede com poucas portas abertas.

Até agora eu encontrei esta resposta me dizendo para fazer

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 110 -j REDIRECT --to-port 3306

mas tudo que eu tenho é:

# mysql -h mydomain.com -P 3306 -u username --password=xyz
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 68863
Server version: 5.0.75-0ubuntu10.5 (Ubuntu)

Type 'help;' or '\h' for help. Type '\c' to clear the buffer.

mysql> exit
Bye

# mysql -h mydomain.com -P 110 -u username --password=xyz
ERROR 2003 (HY000): Can't connect to MySQL server on 'mydomain.com' (111)

Eu não sou especialista em iptables, então não tenho certeza onde procurar pelo problema. Estou pesquisando por algum tempo, mas ainda não encontrei nada para me ajudar.

Isso é o que o iptable me diz:

# iptables -t nat -L -n -v
Chain PREROUTING (policy ACCEPT 32M packets, 1674M bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REDIRECT   tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:110 redir ports 3306 

Chain POSTROUTING (policy ACCEPT 855K packets, 55M bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 837K packets, 54M bytes)
 pkts bytes target     prot opt in     out     source               destination   


# iptables -L -n -v
Chain INPUT (policy DROP 7 packets, 340 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 107K 5390K LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0           state INVALID limit: avg 2/sec burst 5 LOG flags 0 level 4 prefix 'INPUT INVALID ' 
 131K 6614K DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           state INVALID 
    0     0 MY_DROP    tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x3F/0x00 
    0     0 MY_DROP    tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x03/0x03 
    0     0 MY_DROP    tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x06/0x06 
    0     0 MY_DROP    tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x05/0x05 
    0     0 MY_DROP    tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x11/0x01 
    0     0 MY_DROP    tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x18/0x08 
    0     0 MY_DROP    tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x30/0x20 
6948K   12G ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
 151M   34G ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
  32M 1666M ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:80 
 1833  106K ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:443 
  603 29392 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:25 
    1    60 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:465 
   24  1180 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:110 
    1    60 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:995 
 7919  400K ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:143 
    1    60 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:993 
    0     0 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:119 
    1    60 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:53 
    7   517 ACCEPT     udp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW udp dpt:53 
 1110 65364 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:21 
 139K 8313K ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 
10176  499K ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:3306 
    2    80 ACCEPT     udp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW udp dpt:123 
    0     0 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:6060 
    4   176 ACCEPT     tcp  --  venet0 *       0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:6667 
20987 1179K MY_REJECT  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
 2159  284K LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0           state INVALID limit: avg 2/sec burst 5 LOG flags 0 level 4 prefix 'OUTPUT INVALID ' 
 2630  304K DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           state INVALID 
6948K   12G ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0           
 181M   34G ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW,RELATED,ESTABLISHED 
    0     0 MY_REJECT  all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain MY_DROP (7 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0           limit: avg 2/sec burst 5 LOG flags 0 level 4 prefix 'PORTSCAN DROP ' 
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain MY_REJECT (2 references)
 pkts bytes target     prot opt in     out     source               destination         
13806  652K LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           limit: avg 2/sec burst 5 LOG flags 0 level 4 prefix 'REJECT TCP ' 
18171  830K REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with tcp-reset 
  912  242K LOG        udp  --  *      *       0.0.0.0/0            0.0.0.0/0           limit: avg 2/sec burst 5 LOG flags 0 level 4 prefix 'REJECT UDP ' 
  912  242K REJECT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-port-unreachable 
 1904  107K LOG        icmp --  *      *       0.0.0.0/0            0.0.0.0/0           limit: avg 2/sec burst 5 LOG flags 0 level 4 prefix 'DROP ICMP ' 
 1904  107K DROP       icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0           limit: avg 2/sec burst 5 LOG flags 0 level 4 prefix 'REJECT OTHER ' 
    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-proto-unreachable

Existe alguém que possa dar uma dica onde procurar o problema?

Obrigado!

mysql iptables

por marekventur 27.12.2010 / 21:04

1 resposta

Tags mysql iptables

Conectar thin clients ao PC de mesa As entradas do arquivo de log do apache são garantidas como seqüenciais no tempo?

score 2 · Accepted Answer

O servidor mydomain.com aceita apenas conexões TCP de entrada na porta 110 quando elas vêm na interface venet0 . Como sua regra de NAT do iptables aplica-se apenas ao tráfego proveniente da interface eth0 :

o tráfego está chegando na interface venet0 e você escolheu a interface errada para a regra NAT ou
o tráfego está chegando na interface eth0 e, portanto, nunca chegar tão longe como a regra NAT porque o iptables é bloqueando isso.

Se você puder nos informar mais sobre a configuração da interface em mydomain.com ( ifconfig -a , talvez), será possível dizer qual deles é verdadeiro.