Re: Ipfw und keep-state

On Fri, Jun 27, 2003 at 04:48:06PM +0200, Patrick Hess wrote:
> Hallo,
>
> Oliver Fromme schrieb:
> > Patrick Hess <patrick_hess(at)t-online.de> wrote:
> > > Philon schrieb:
> > > > Wollen wir also mal sehen was passiert wenn ich die ipfw
> > > > Regeln neu mache und wieder einlese.
> > > >
> > > > Wie kann ich eigentlich verhindern das meine SSH-Shell dabei
> > > > beendet wird?
> > >
> > > Beendet wird sie dabei auf jeden Fall.
> >
> > Nein!
>
> Bei mir schon. Wäre nett, wenn du mir erklären könntest, wie das bei
> dir funktioniert.

Alternativ reicht auch eine geschickte Anwordnung der Regeln.
Das erfordert einen default allow und einen deny erst als letztes.
Dabei ist natürlich während des reloads ein Zeitfenster offen.

> > Beendet wird sie nur, weil das Flushen und/oder Neueinlesen
> > Ausgaben erzeugt, die durch die ssh-Verbindung geschickt
> > werden (bzw. geschickt werden wollen). Innerhalb dieses
> > kurzen Zeitintervalls werden aber die ssh-Pakete abgelehnt,
> > d.h. die Verbindung bricht zusammen.
> >
> > Verhindern kann man das, indem man dafür sorgt, daß während
> > dieses Zeitfensters kein ssh-Traffic passiert, d.h. man muß
> > stdout und stderr in eine Datei umleiten.
>
> Also, ich habe dann in einer SSH-Session folgendes eingegeben:
>
> echo "y" | ipfw flush &>/dev/null ; \
> sh /etc/rc.firewall "$RULES" &>/dev/null

/usr/share/examples/ipfw/change_rules.sh
us dem Inhalt:
[...]
# Change ipfw(8) rules with safety guarantees for remote operation
[...]

> Und wech war sie, die SSH-Verbindung. Hat dem Client nicht so gut
> gefallen, weil auch /home nun nicht mehr erreichbar war...

Warum das nicht funktioniert hat der Oliver ja schon beantwortet.

> Dann bin ich in den Keller, habe mich direkt am Server angemeldet
> und die Regeln neu eingelesen. Da an dem Ding kein Monitor dran
> ist, sondern nur ne Tastatur (für den Notfall), hatte ich für
> diesen Zweck vorsorglich einen Alias angelegt:

seriele console!!!
:)

-- 
B.Walter                   BWCT                http://www.bwct.de
ticso(at)bwct.de                                  info(at)bwct.de
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message