Почему Iptables не открывает 80 порт?

Question

[HoHsi]

Добрый день!
Сразу скажу, я программист, а не админ, и у меня нет особого понимания (и желания; трепета; возможности; времени) различии CentOS 6 и 7, так-что буду тупить.

Как я понимаю, в REPL 7 вырезали iptables (через который я раньше настраивал фаервол), я попробовал вернуть его:

systemctl stop firewalld
systemctl mask firewalld

yum install iptables-services

systemctl enable iptables

/etc/sysconfig/iptables:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [214:43782]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i lo -j ACCEPT
COMMIT

systemctl restart iptables

netstat -plant # <- но там нет 80 порта

После ребута так же 80 порт не открылся. В чем проблема, и какие еще есть нюансы при переходе с 6 на 7?

Answer 1

[Даниил Муйдинов]

netstat -plant
здесь список портов которые слушают, но они могут быть зарыты iptabs'ом

iptables -L -v -n
здесь список правил

ps aux | grep имя демона который должен слушать 80 порт (например nginx)

мне кажется у вас не запущен нужный демон

Comments

[HoHsi]

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
   56  6771 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            state RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    2   104 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0

У меня не демон в него тычится, а напрямую NodeJS, но фаервол не пропускает мне 80 порт.

[Даниил Муйдинов]

iptables пускает
скорее всего SElinux блокирует
sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config
и после ребут

[HoHsi]

Даниил Муйдинов: неа, SELINUX отключен

[Даниил Муйдинов]

тогда возвращаемся к тому что в выводе netstat -plant нет приложения которое слушало бы 80 порт, значит оно не запущенно.

[HoHsi]

Даниил Муйдинов: запустил netstat -plant во второй сессии (в первой нода), 80 теперь есть, но извне все равно не пускает

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 127.0.0.1:80            0.0.0.0:*               LISTEN      800/node
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      449/sshd
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      718/master
tcp        0      0 **.***.***.**:22        ***.***.**.**:34574     ESTABLISHED 772/sshd: root@nott
tcp        0      0 **.***.***.**:22        ***.***.**.**:34589     ESTABLISHED 781/sshd: root@pts/
tcp        0     64 **.***.***.**:22        ***.***.**.**:35768     ESTABLISHED 824/sshd: root@pts/
tcp6       0      0 :::22                   :::*                    LISTEN      449/sshd
tcp6       0      0 ::1:25                  :::*                    LISTEN      718/master

[HoHsi]

Даниил Муйдинов: если вы не против, могу дать вам доступ на машину, что-бы не мучать вас догадками

[Даниил Муйдинов]

это не очень хорошая идея, открывая первому попавшемуся доступ, не стоит удивляться потом неприятно бэкдору в системе.

я бы проверил что отдает curl при запущенной ноде
curl 127.0.0.1 на самом сервере и curl IP от туда от куда должен быть конект

По разворачиванию node под centOS7 нашел такое еще материальчик
https://www.digitalocean.com/community/tutorials/h...
возможно в нем есть полезная информация
но проблема явно не в iptables в списке правил нет ни одного запрещающего правила.

[HoHsi]

Даниил Муйдинов: эта машина - игрушечный дроплет на сутки. curl отдает то, что надо. Node на 6 CentOS я разворачивал, просто сейчас начал баловаться докером, а он кернал хочет 3.10+ (на 6 CentOS это 2.5 кажется).

[HoHsi]

Даниил Муйдинов: простите, беда была в самой ноде, я по глупости явно указал имя хоста