Beiträge von tuxmaster

Zitat von MDroid76

Was meinst Du mit GK?

Ich nehme immer die netinstall. Version ist die 7.1.1503

Wie gesagt, wenn man einmal im System ist, und Grub entsprechend anpasst, ist das Problem gelöst. Allerdings muss man ersteinmal um in das System beim ersten booten zu kommen, entsprechend rgbh quiet entfernen.

Viele Grüße
MDroid76

Jetzt konnte ich das nachstellen.
Sonst war mir das gar nicht aufgefallen, weil in meinem Zoo die Kisten vom Spacewalk per Kickstart gebaut werden.
Bei der Auswahl von Minimal wird kein X-Server samt Plymouth Thema installiert. Daher bleibt alles schwarz.
Entweder das "Nachkippen" oder Grub anpassen

Wieso die Anpassung für den ersten Start kannst doch direkt im grub machen.
Die gewünschten Parameter raus und er startet.
Dann im System grub2 dauerhaft anpassen.
Siehe den beiden Bildern.
Einfach "e" drücken.

Was benutzt du da für eine GK+Protokoll?
Und welche Version der CD/DVD nimmst du?

Es könnte eventuell mit der hier verwendeten virtuellen GK zusammen hängen.
Denn auf meinem lokalen C7 VM's geht das mit den verschlüsselten LVM ohne Probleme.
Dort wird aber statt VNC -> Spice und QXL -> Cirrus benutzt.

Dann mache es doch andersherum
Lasse nur neue Pakete aus Deutschland rein.

Kommen die au einer speziellen Region?
Wenn ja könntest du diese per set/ match raus filtern.
Bzw mit bitmap:port das filtern, da es weniger last hat, als deine beiden Regeln.

Und braucht nicht mal viel RAM. Einfach per iSCSI exportieren und gut.
Eventuell wäre das ja auch eine Idee für ein neues Produktangebot. iSCSI LUN's.
Oder mit dem eingesetzten SAN nicht machbar?

Das mit den IP sets ist eine gute Idee, nur scheint die Anleitung für eine alte oder eine ganze neue Version zu sein.
Denn die Version die mit RHEL ausgeliefert wird, kennt die Option "-N" nicht. Hier muss man "ipset create china hash:net" benutzen.
Und statt "for i in $(cat /etc/cn.zone ); do ipset -A china $i; done" wäre das denn "for i in $(cat /etc/cn.zone ); do ipset add china $i; done"

Da ist die erste Frage welches Linux du benutzte, da dies überall anders ist.

Dann würde ich versuchen nur die Länder reinzulassen die rein sollen.
GeoIP mit iptables.

Aber dieses OpenVZ Zeugs benutzt so weit ich weis eine eigene Art und weise der Filterung.
Da du ja noch die Verbindungen zur den VM's hast.
Da fürchte ich kommst mit den normalen Vorgehensweisen nicht weiter.
Hier solltest du besser ein Post aufmachen "OpenVZ Firewall" oder ähnlich

Das erklärt alles.
Hast geschaut ob das überhaupt unterstützt wird?
Virtualisierung in Virtualisierung?

Und du hast auch den orginal CentOS kernel laufen?
Was mich etwas verwirrte sind die Ketten "SOLUSVM_TRAFFIC_IN", da diese nicht in der Konfiguration stehen.
Und wenn du bevor du das Drop einbaust, eine 2. Verbindung(SSH) aufbaust, zählen die Paketzähler hoch?

Und du bist dir 100% sicher das dein sshd auf deinem port lauscht?
netstat -ntap|grep sshd

Ichs ehe gerade beim kopierne hatte sich ein Fehler eingeschichen, das "--src" muss natürlich raus.

Nach dem du die Regel angewand hat, sollte es klappen, das du eine neue Verbindung aufbaust.

na du hast dein SSH port vergesssen,
Oben schriebst du der liegt bei: 12345

Was mirt gleich auffällt, das du das tracking nicht richtig machst.
Damit wie wieder reinkommen Pakete erkannt werden solltest du die Ports via:
-A INPUT -m conntrack --ctstate NEW -m tcp -p tcp --dport ZIelPOrt -j ACCEPT öffnen
Und du solltest das mit dem default drop lassen.
besser am ende der Input kette:
-A INPUT -j DROP.
Weil sonst musst du alle ausgehen Pakete markieren.
Beispiel:
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate NEW -m tcp -p tcp --dport PORT --src -j ACCEPT
-A INPUT -j DROP
-A FORWARD -j DROP
COMMIT

Was bei dir auffällt ist:
0 0 ACCEPT all -- any any anywhere anywhere ctstate RELATED,ESTABLISHED
Er kommt nie bis dahin, was er aber müsste.
Kannst du uns mal den "Quelltext" deiner Regeln zeigen?
/etc/sysconfig/iptables

Als erstes würde ich das moderne conntrack statt state nehmen.
Des weiteren ist es immer gut SSH nicht auf Port 22 lauschen zu lassen.
Schalte doch einfach ip6 denn ab.
FAQ/CentOS7 - CentOS Wiki
Punkt Nummer 5