Ich habe also einen Webserver und einen (MySQL-)Datenbankserver. Beide haben zwei Schnittstellen, eine mit einer öffentlichen IP und eine mit einer internen IP.
Ich möchte, dass diese beiden nur über die interne IP auf dem MySQL-Standardport 3306 kommunizieren.
Hier ist meine iptables-Konfiguration vom Datenbankserver:
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x00
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:!0x17/0x02 state NEW
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x3F
ACCEPT tcp -- *My HQ* 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- *Internal IP webserver* 0.0.0.0/0 tcp dpt:3306
Und hier sind die Iptables auf meinem Webserver:
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- *ip nagios server* 0.0.0.0/0 tcp dpt:5666
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x00
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:!0x17/0x02 state NEW
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x3F
ACCEPT tcp -- *My HQ* 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:443 state NEW,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 state NEW,ESTABLISHED
ACCEPT tcp -- *My HQ* 0.0.0.0/0 tcp dpt:10081 state NEW,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:36512 state NEW,ESTABLISHED
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT tcp -- *Internal IP Database server* 0.0.0.0/0 tcp dpt:3306
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:36512 state NEW,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:465 state NEW,ESTABLISHED
ACCEPT tcp -- *Internal IP Database Server* 0.0.0.0/0 tcp dpt:3306
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:3306
Ich habe auch eine MySQL-Bindung an die interne IP.
Doch wenn ich etwas so Einfaches versuche wie:
mysql -h *internal ip db server* -u root -p
Ich erhalte die Fehlermeldung:
ERROR 2003 (HY000): Can't connect to MySQL server on '*internal db server ip*' (110)
Habe ich etwas vergessen oder stimmt mit der Einrichtung von IPTABLES etwas nicht?
Ich verwende eine CentOS 7.2.1511-Maschine und MySQL Version 5.7.
Hinweis: Es könnte durchaus sein, dass es mehr als ein Problem mit dieser Iptables-Konfiguration gibt, da ich nur damit experimentiere, um zu lernen.