Какие конкретные изменения необходимо внести, чтобы установка CentOS 7 по локальному IP-адресу 192.168.1.6могла быть telnetвыполнена с другой установкой CentOS 7 по другому локальному IP-адресу 192.168.1.5?
Как вы видите, 192.168.1.6IS МОЖЕТ ПИНГОВАТЬ 192.168.1.5следующим образом:
[root@localhost /]# ping 192.168.1.5
PING 192.168.1.5 (192.168.1.5) 56(84) bytes of data.
64 bytes from 192.168.1.5: icmp_seq=1 ttl=64 time=0.515 ms
64 bytes from 192.168.1.5: icmp_seq=2 ttl=64 time=0.565 ms
^C
--- 192.168.1.5 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1000ms
rtt min/avg/max/mdev = 0.515/0.540/0.565/0.025 ms
Но telnetFROM 192.168.1.6TO 192.168.1.5дает сбой следующим образом:
[root@localhost /]# telnet 192.168.1.5
Trying 192.168.1.5...
telnet: connect to address 192.168.1.5: No route to host
И telnetFROM 192.168.1.6TO port 5432at 192.168.1.5также терпит неудачу следующим образом:
[root@localhost /]# telnet 192.168.1.5:5432
telnet: 192.168.1.5:5432: Name or service not known
192.168.1.5:5432: Unknown host
[root@localhost /]#
PostgreSQL работает в 192.168.1.5, и должен получать telnet 192.168.1.5:5432. Поэтому я добавил следующую строку pg_hba.confПЕРЕД запуском вышеописанного:
host all all 192.168.1.6/24 trust
И я перезапустил PostgreSQL перед выполнением вышеуказанного pingи telnetввел systemctl restart postgresql.
Аналогично, перед запуском указанных выше pingкоманд telnetя также создал следующие правила брандмауэра на 192.168.1.5:
[root@localhost ~]# firewall-cmd --zone=public --add-port=5432/tcp
[root@localhost ~]# firewall-cmd --permanent --zone=trusted --add-source=192.168.1.6/32
[root@localhost ~]# firewall-cmd --reload
Также я подтвердил, что PostgreSQL работает, port 5432введя в терминале следующую команду 192.168.1.5:
[root@localhost ~]# ss -l -n | grep 5432
u_str LISTEN 0 128 /var/run/postgresql/.s.PGSQL.5432 71466 * 0
u_str LISTEN 0 128 /tmp/.s.PGSQL.5432 71468 * 0
tcp LISTEN 0 128 127.0.0.1:5432 *:*
tcp LISTEN 0 128 ::1:5432 :::*
[root@localhost ~]#
Предложения @roaima:
По совету @roaima я попробовал следующее, но все еще не могу подключиться:
С 192.168.1.6 я отправил:
[root@localhost ~]# telnet 192.168.1.5 5432
Trying 192.168.1.5...
telnet: connect to address 192.168.1.5: No route to host
А на 192.168.1.5 tcpdumpпринимающая сторона запроса telnetимела следующий вид:
[root@localhost ~]# tcpdump -i eth0 port 5432 or arp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
16:52:49.309526 IP 192.168.1.6.53328 > localhost.localdomain.postgres: Flags [S], seq 3210933916, win 29200, options [mss 1460,sackOK,TS val 629624820 ecr 0,nop,wscale 7], length 0
16:52:54.312716 ARP, Request who-has localhost.localdomain tell 192.168.1.6, length 28
16:52:54.312750 ARP, Reply localhost.localdomain is-at 52:54:00:ef:35:18 (oui Unknown), length 28
^C
3 packets captured
4 packets received by filter
0 packets dropped by kernel
Аналогично, с 192.168.1.6 я отправил следующий telnet только на уровень IP:
[root@localhost ~]# telnet 192.168.1.5
Trying 192.168.1.5...
telnet: connect to address 192.168.1.5: No route to host
[root@localhost ~]#
А на 192.168.1.5 tcpdumpпринимающая сторона запроса telnetимела следующий вид:
[root@localhost ~]# tcpdump -i eth0 port 5432 or arp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
//THESE 2 LINES PRINTED BEFORE 2ND TELNET WAS RUN: 16:58:11.619638 ARP, Request who-has gateway tell localhost.localdomain, length 28
//THESE 2 LINES PRINTED BEFORE 2ND TELNET WAS RUN: 16:58:11.619940 ARP, Reply gateway is-at b8:ec:a3:11:74:6e (oui Unknown), length 46
16:58:35.555570 ARP, Request who-has 192.168.1.6 tell localhost.localdomain, length 28
16:58:35.555753 ARP, Reply 192.168.1.6 is-at 52:54:00:ab:31:40 (oui Unknown), length 28
^C
4 packets captured
4 packets received by filter
0 packets dropped by kernel
[root@localhost ~]#
Предложения @cutrightjm:
В 192.168.1.5, я набрал следующее в одном сеансе Putty:
[root@localhost ~]# telnet localhost 5432
Trying ::1...
Connected to localhost.
Escape character is '^]'.
В то же время, в отдельном сеансе Putty для 192.168.1.5, я не увидел никаких результатов от tcpdump, а именно:
[root@localhost ~]# tcpdump -i eth0 port 5432 or arp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel
[root@localhost ~]#
Предложения @JeffSchaller:
Согласно предложениям @JeffSchaller, я выполнил следующие команды на 192.168.1.6. Обратите внимание, что это CentOS 7, который заменил netstatна ss, а который заменил iptablesна firewalld:
ss -rnвыдало 90 строк вывода. Можете ли вы предложить осмысленный grepили другой фильтр для сокращения вывода до допустимого количества для добавления в постинг?
[root@localhost ~]# iptables -Ln
iptables: No chain/target/match by that name.
[root@localhost ~]# firewall-cmd --list-all
public (active)
target: default
icmp-block-inversion: no
interfaces: eth0
sources:
services: dhcpv6-client ssh
ports: 8080/tcp
protocols:
masquerade: no
forward-ports:
sourceports:
icmp-blocks:
rich rules:
[root@localhost ~]#
Я также выполнил следующие команды 192.168.1.6:
[root@localhost ~]# ip route
default via 192.168.1.1 dev eth0 proto static metric 100
192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.6 metric 100
[root@localhost ~]# ip addr show
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
link/ether 52:54:00:ab:31:40 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.6/24 brd 192.168.1.255 scope global dynamic eth0
valid_lft 133013sec preferred_lft 133013sec
inet6 fe80::5054:ff:feab:3140/64 scope link
valid_lft forever preferred_lft forever
[root@localhost ~]#
Удаление брандмауэров на обеих машинах
В качестве экстремального теста я удалил брандмауэры на обоих 192.168.1.5компьютерах, 192.168.1.6введя yum remove firewalldи yum remove iptablesна обоих компьютерах. Затем я проверил оба удаления следующим образом:
На 192.168.1.5:
[root@localhost ~]# systemctl status firewalld
Unit firewalld.service could not be found.
[root@localhost ~]# iptables -L -n
-bash: /sbin/iptables: No such file or directory
На 192.168.1.6:
[root@localhost ~]# systemctl status firewalld
Unit firewalld.service could not be found.
[root@localhost ~]# iptables -L -n
-bash: /sbin/iptables: No such file or directory
Далее я набрал tcpdump -i eth0 port 5432 or arp, 192.168.1.5а затем telnet 192.168.1.5 5432набрал 192.168.1.6.
Результатом telnet было следующее сообщение об отказе, напечатанное на 192.168.1.6:
[root@localhost ~]# telnet 192.168.1.5 5432
Trying 192.168.1.5...
telnet: connect to address 192.168.1.5: Connection refused
[root@localhost ~]#
Одновременно с этим была получена tcpdumpраспечатка 192.168.1.5звонка : telnet1.6
[root@localhost ~]# tcpdump -i eth0 port 5432 or arp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
10:25:11.349238 ARP, Request who-has localhost.localdomain tell gateway, length 46
10:25:11.349261 ARP, Reply localhost.localdomain is-at 52:54:00:ef:35:18 (oui Unknown), length 28
10:25:14.391222 IP 192.168.1.6.53344 > localhost.localdomain.postgres: Flags [S], seq 3043089625, win 29200, options [mss 1460,sackOK,TS val 692769902 ecr 0,nop,wscale 7], length 0
10:25:14.391265 IP localhost.localdomain.postgres > 192.168.1.6.53344: Flags [R.], seq 0, ack 3043089626, win 0, length 0
10:25:19.395578 ARP, Request who-has 192.168.1.6 tell localhost.localdomain, length 28
10:25:19.396039 ARP, Reply 192.168.1.6 is-at 52:54:00:ab:31:40 (oui Unknown), length 28
^C
6 packets captured
6 packets received by filter
0 packets dropped by kernel
[root@localhost ~]#
Чтобы определить, прослушивает ли PostgreSQL port 5432, я ввел следующие две команды 192.168.1.5:
Обратите внимание, чтоfirewalldи iptablesоба они по-прежнему удаляются при выполнении следующих команд:
Сначала я просмотрел pg_hba.confфайл, 192.168.1.5чтобы убедиться, что есть правило, которому можно доверять 192.168.1.6:
[root@localhost ~]# vi /var/lib/pgsql/data/pg_hba.conf
# LOTS OF # COMMENTED LINES OMITTED HERE FOR BREVITY
# TYPE DATABASE USER ADDRESS METHOD
# "local" is for Unix domain socket connections only
local all all trust
# IPv4 local connections:
host all all 127.0.0.1/32 trust
host all all 192.168.1.6/24 trust
# IPv6 local connections:
host all all ::1/128 trust
Далее я ввел следующую netstatкоманду, 192.168.1.5чтобы проверить, есть ли правило для port 5432:
[root@localhost ~]# netstat -anpt | grep LISTEN
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 943/sshd
tcp 0 0 127.0.0.1:5432 0.0.0.0:* LISTEN 25166/postgres
tcp 0 0 127.0.0.1:25 0.0.0.0:* LISTEN 1483/master
tcp6 0 0 127.0.0.1:45228 :::* LISTEN 19089/java
tcp6 0 0 127.0.0.1:8020 :::* LISTEN 14338/java
tcp6 0 0 :::7990 :::* LISTEN 19089/java
tcp6 0 0 :::22 :::* LISTEN 943/sshd
tcp6 0 0 ::1:5432 :::* LISTEN 25166/postgres
tcp6 0 0 127.0.0.1:7992 :::* LISTEN 19066/java
tcp6 0 0 ::1:7992 :::* LISTEN 19066/java
tcp6 0 0 ::1:25 :::* LISTEN 1483/master
tcp6 0 0 127.0.0.1:36122 :::* LISTEN 19089/java
tcp6 0 0 :::8095 :::* LISTEN 14338/java
tcp6 0 0 :::5701 :::* LISTEN 19089/java
[root@localhost ~]#
решение1
Первая проблема заключалась в том, что вы использовали неправильный синтаксис для telnetкоманды. Запуск man telnetпокажет вам, что синтаксис примерно такой:
telnet <host> [<port>]
Так что в вашем случае вам следует выполнить это:
telnet 192.168.1.5 5432
Вторая проблема заключается в том, что на каждом хосте есть правило брандмауэра, предотвращающееисходящийтрафик на 5432/tcp. (И, вероятно, другие порты тоже.) Сообщение об ошибке "Нет маршрута к хосту" генерируется правилом iptables --j REJECTв OUTPUTцепочке, которое имеет --reject-with icmp-host-prohibited. Вот пример создания такого правила:
iptables -I OUTPUT -p tcp --dport 5432 -j REJECT --reject-with icmp-host-prohibited
Это удовлетворяет ситуации, когда маршрут явно существует, поскольку pingуспешно выполняется, но где ваш telnetсеанс терпит неудачу. Вы сами можете проверить это с помощью команды iptables --line-numbers -nvL(not iptables -Ln, которая пытается перечислить правила для цепочки n).
Два временных решения, подтверждающих, что трафик действительно может быть установлен:
- Полностью отключите брандмауэр на обеих системах.
Запустите эти две команды на обеих системах (вы можете удалить их позже, заменив
-Iна-D)iptables -I INPUT -p tcp --src 192.168.1.5/30 -j ACCEPT iptables -I OUTPUT -p tcp --dst 192.168.1.5/30 -j ACCEPT
Я (пока) недостаточно знаком с инструментом брандмауэра CentOS 7, чтобы дать вам полное решение для этого. Я могу покопаться или, может быть, кто-то другой захочет отредактировать этот ответ, чтобы предоставить эту информацию.