Как добавить в iptables разрешение на подключение по порту 5432?

Question

[Dato38it]

Привет. Настраиваю правила в iptables в моем маленьком виртуальном сервере. Как добавить в iptables разрешение на подключение по порту 5432? Вот какие сейчас правила:

$ sudo iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere             multiport dports 2233,8033,8013
ACCEPT     icmp --  anywhere             anywhere             icmp echo-reply
ACCEPT     tcp  --  anywhere             anywhere             multiport dports postgresql
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:postgresql

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere             state NEW,RELATED,ESTABLISHED

Пробовал добавлять разрешение таким образом

$ sudo /sbin/iptables -A INPUT -p tcp --dport 5432 -j ACCEPT
$ sudo /sbin/iptables -A INPUT -p tcp -m multiport --dport 5432 -j ACCEPT
$ sudo /sbin/iptables-save
# Generated by iptables-save v1.8.7 on Tue Jun 18 14:53:24 2024
*filter
:INPUT DROP [4036:178199]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m multiport --dports 2233,8033,8013 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 5432 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5432 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Tue Jun 18 14:53:24 2024

Никакой реакции нету. Все также закрыт порт 5432 для удаленного сервера. Что я не так сделал?

Comments

[Alexey Dmitriev]

А что покажет netstat -tnlp | grep 5432 ?

[hint000]

Во-первых, уточните, где вы пытаетесь настраивать iptables: (1) на виртуальной машине, (2) на физическом хосте, который содержит эту виртуальную машину, или (3) на отдельном хосте, являющемся шлюзом.
Добавление правила в цепочку INPUT может иметь смысл только в первом случае (файервол на самой виртуальной машине).
Во-вторых, уточните, настроена ли сеть виртуальной машины через бридж? Если да, то iptables на том же физическом хосте не может влиять на доступность виртуальной машины. Если не через бридж, то уточнений потребуется ещё больше.

Кроме того предлагаю проверить при полностью открытом файерволе. Если результат всё равно отрицательный, то будет очевидно, что проблема вообще не в файерволе (на что выше как бы намекает Alexey Dmitriev ).
И да, предложенную им команду запускайте на виртуальной машине, независимо от того, где настраиваете iptables.

Answer 1

[Dato38it]

Проблемы то и не было. просто iptables прееминеовал 5432 в postgresql:
ACCEPT tcp -- anywhere anywhere tcp dpt:postgresql
вывод показал это.