[gentoo-user-es] Temas iptables y samba 2.2.3a-14.1

[Einar Matveinen]

Hola. Tengo un problemilla con samba e iptables. Se trata de un servidor que 
hace de servidor de ficheros utilizando samba y también hace de servidor 
WINS, además de ser el local master browser, preferred master browser de un 
grupo de trabajo windoze, no de dominio, al menos todavía no:

# set local master to no if you don't want Samba to become a master
# browser on your network. Otherwise the normal election rules apply
  local master = yes

# OS Level determines the precedence of this server in master browser
# elections. The default value should be reasonable
  os level = 34

# Domain Master specifies Samba to be the Domain Master Browser. This
# allows Samba to collate browse lists between subnets. Don't use this
# if you already have a Windows NT domain controller doing this job
  domain master = yes

# Preferred Master causes Samba to force a local browser election on startup
# and gives it a slightly higher chance of winning the election
  preferred master = yes

He creado un script utilizando reglas de iptables que deniega todos los 
paquetes entrantres y salientes y que luego va abriendo lo que yo necesito. 
Con protocolos como http, smtp, pop3, ssh, dhcp, etc, no he tenido problemas, 
los problemas los tengo con netbios y el acceso a los puertos udp 137, udp 
138 y tcp 139. Cuando activo mi script-iptables deja de funcionar el browsing 
the hosts de mi lan en los windozes, es decir, cuando trato de visualizar 
todos los host de mi red en un windoze solamente aparece el servidor de 
ficheros, el computador que ejecuta el samba y el script con las reglas 
iptables. Si limpio las reglas iptables y acepto todo esto no sucede, todo 
funcionaría entonces correctamente. Aunque el browsing no funcione el acceso 
a los directorios compartidos del servidor de ficheros es correcto. Lo único 
que falla cuando activo el sctript-iptables es el "entorno de red" o "ver 
equipos del grupo de trabajo" de los clientes windoze, algo que parece ser es 
importante para mis "queridos" compañeros de la ofi.

Mis reglas para los puertos 137, 138 y 139 son estas:

# habilitamos conexiones tcp netbios-ssn de red interna a 192.168.88.200
    iptables -A INPUT -i eth0 -s 192.168.1.0/24 -d 192.168.88.200 -p tcp 
--dport 139 -m state --state NEW,ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth0 -s 192.168.88.200 -d 192.168.88.0/24 -p tcp 
--sport 139 -m state --state ESTABLISHED -j ACCEPT

    # habilitamos conexiones tcp netbios-ssn
    iptables -A INPUT -i eth0 -s 192.168.1.0/24 -d 192.168.88.200 -p tcp 
--sport 139 -m state --state ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth0 -s 192.168.88.200 -d 192.168.88.0/24 -p tcp 
--dport 139 -m state --state NEW,ESTABLISHED -j ACCEPT

    # habilitamos conexiones udp netbios-ns de red interna a 192.168.88.200
    iptables -A INPUT -i eth0 -s 192.168.88.0/24 -d 192.168.88.200 -p udp 
--dport 137 -m state --state NEW,ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth0 -s 192.168.88.200 -d 192.168.88.0/24 -p udp 
--sport 137 -m state --state ESTABLISHED -j ACCEPT

    # habilitamos conexiones udp netbios-ns
    iptables -A INPUT -i eth0 -s 192.168.88.0/24 -d 192.168.88.200 -p udp 
--sport 137 -m state --state ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth0 -s 192.168.88.200 -d 192.168.88.0/24 -p udp 
--dport 137 -m state --state NEW,ESTABLISHED -j ACCEPT

    # habilitamos conexiones udp netbios-dgm de red interna a 192.168.88.200
    iptables -A INPUT -i eth0 -s 192.168.88.0/24 -d 192.168.88.200 -p udp 
--dport 138 -m state --state NEW,ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth0 -s 192.168.88.200 -d 192.168.88.0/24 -p udp 
--sport 138 -m state --state ESTABLISHED -j ACCEPT

    # habilitamos conexiones udp netbios-dgm
    iptables -A INPUT -i eth0 -s 192.168.88.0/24 -d 192.168.88.200 -p udp 
--sport 138 -m state --state ESTABLISHED -j ACCEPT
    iptables -A OUTPUT -o eth0 -s 192.168.88.200 -d 192.168.88.0/24 -p udp 
--dport 138 -m state --state NEW,ESTABLISHED -j ACCEPT

Por defecto la política es

# definimos la politica
    iptables -P INPUT DROP
    iptables -P OUTPUT DROP
    iptables -P FORWARD DROP

y también acepto otras cosas que no ponfgo aquí como la interfaz lo, ICMP, 
HTTPS, HTTP, SMTP, etc, etc.

Con versiones más recientes de samba he hecho la prueba y funciona, teniendo 
en cuenta (hablo de samba 3.x) que hay que habilitar también el puerto 445, 
la versión de samba que yo tengo es de una debian woody, concretamente la 
2.2.3a-14.1, ¿puede ser debido a esto?, ¿a alguien más le ha sucedido?, en 
ese caso, ¿cómo lo solucionasteis?, etc, etc.

-- 

Einar Matveinen

Vitoð ér enn eða hvat
var der mere I ville vide
Vitoð ér enn eða hvat
vil I mere før jeg forsvinder
under solen

Rekisteröitynyt Linux käyttäjä nro 221083

Katso http://barrapunto.com/index.pl?section=mbp-einarmatveinen





--
gentoo-user-es@g.o mailing list