OpenVZ i firewall

[wielokropek 0]

Okazuje się, że VPSy na OpenVZ (czyli te tańsze) niosą ze sobą pewne ograniczenia w użyciu iptables:

 

# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables: No chain/target/match by that name

 

Czy jest możliwość jakiegoś w miarę sensownego ustawienia firewalla przy tego typu ograniczeniach? Może istnieje jakiś firewall dla Linuksa nieoparty na kernelu? A może jakieś inne obejście problemu? Bo jeśli nie można ustawić firewalla, to wykorzystanie tych VPSów do celów poważniejszych niż serwery gier wydaje się być niemożliwe.

[DK2 0]

Zgodnie z tym: http://wiki.openvz.org/Setting_up_an_iptables_firewall powinno to dzialac, a jesli nie dziala prawdopodobnie znaczy, ze nie calkiem porzadnie zostalo zainstalowane iptables na hoscie

[www.ionic.pl 535]

W openvz w panelu admina ustala się czy vps ma mieć dostęp do iptables z tego co pamiętam.

[kafi 2425]

a jesli nie dziala prawdopodobnie znaczy, ze nie calkiem porzadnie zostalo zainstalowane iptables na hoscie

 

Albo użytkownik ma celowo zablokowane iptables - w HyperVM jest opcja pozwalająca je włączyć/wyłączyć per kontener.

[DK2 0]

Albo użytkownik ma celowo zablokowane iptables - w HyperVM jest opcja pozwalająca je włączyć/wyłączyć per kontener.

 

 

Ale wtedy to chyba by w ogole iptables nie dzialalo, a jesli jedne regulki dzialaja, a inne, ktore teoretycznie powinny dzialac, juz nie...?

[beliq 442]

Host matka może nie mieć modułu ipt_state - z tego co pamiętam, instalacja HyperVM na CentOS'ie

tym się właście charakteryzowała i trzeba ten komponent dokompilować.

[marekxbx 71]

Z tego co wiem jest problem z niektórymi regułkami iptables na OpenVZ nawet po odblokowaniu dostępu do firewalla. Powyższy komunikat może pojawić się również wtedy gdy dostęp do iptables nie jest dozwolony - zwykle po kontakcie z supportem da się to rozwiązać

 

U nas dostęp do iptables jest domyślnie włączony, jednak zdarzyło się, że pomimo tego w pliku konfiguracyjnym VPSa (notabene generowanym przezs ten sam panel) był wyłączony, może tutaj jest podobna sytuacja.