łączenie się z irc-em

[lubmich]

Mam taki problem - przy łączeniu się z irc-em (komp za NAT-em) dostaję błąd "Authentication Timeout". Problem polega na tym, że serwer irc-a przy łączeniu skanuje porty mojego komputera (w tym wypadku serwerka na którym mam nat-a) sprawdzając porty 8080 3128 i chyba coś jeszcze poszukując proxy. W firewallu serwerka na tych portach mam regułkę drop co powoduje przedłużanie się weryfikowania i pojawienie się opisanego błędu. Jeżeli otworzę porty to wszystko jest ok - ale takie postępowanie nie jest możliwe. Liczyłem na to, żę uda mi się sytuację poprawić stosując zamiast drop-u reject ale to nie pomogło - jak rozwiązać ten przygłupi problem?

[ParanoiK]

Ke... co to za serwer ircowy który skanuje? Ja mam dropa na wszystko prócz identa i łączę się normalnie.

[lubmich]

fragmęt z irc.pl:

"Serwer IRC sprawdza, czy na komputerze, z którego się klient łączy, nie ma źle skonfigurowanego serwera proxy, który by wpuszczał anonimowo cały świat. Najczęściej są sprawdzane porty 1080 (serwer SOCKS), 3128 i 8080 (serwer PROXY). Dodatkowo wysyła do usługi ident na serwerze zapytania o tożsamość użytkownika -- tu port jest tylko jeden: 113. Jeżeli jesteś za firewallem, który jest tak skonfigurowany, że nie przepuszcza pakietów na te porty i nie informuje o tym komputera próbującego się do tych portów dostać (tu: serwera IRC), to serwer IRC ponawia próby przez 30 sekund na każdy port. Z tego powodu przez dłuższy czas może się nic nie dziać.

 

Rada dla zaawansowanych użytkowników: skonfigurować firewall tak, żeby albo przepuszczał połączenia, albo odsyłał do serwera IRC pakiet TCP RST lub ICMP PORT UNREACHABLE."

a łącze się z krakow.irc.pl

[ParanoiK]

iptables -A INPUT -p tcp -i <interface> -j REJECT --reject-with tcp-reset

iptables -A INPUT -p udp -i <interface> -j REJECT --reject-with icmp-port-unreachable

[lubmich]

Dzięki nie popatrzyłem na rejec-ta że posiada opcje ;) A u Ciebie śmiga na drop ?

[ParanoiK]

U mnie defaultową regułką jest drop, ostatnią rejecty.

[lubmich]

tzn ? jak już zrobisz drop jakiemuś pakietowi to raczej reject nie będzie miał znaczenia...

[ParanoiK]

Do dropa nigdy nie dochodzi, bo i tak się kończy na regułce reject (dla połączeń udp/tcp - drop jest dla reszty).