Não consigo mais receber arquivos da ANS via software PTA, sempre o download não inicia.

whung4
(usa CentOS)

Enviado em 23/11/2015 - 22:20h

Boa noite,

Conto com a ajuda dos amigos, já acompanho o forum e onde tive várias dúvidas solucionadas, e estou atualmente com um problema quanto ao recebimento de arquivos da ANS via um software denominado PTA. Tenho um servidor Proxy na rede onde faz o papel de firewall e proxy, usando Centos 5.11. Através do forum consegui fazer funcionar, mas no entanto de um tempo pra cá não houve nenhuma alteração nas regras do firewall e simplesmente não consigo mais fazer download dos arquivos para o ip 189.125.91.6 onde é informado que deve-se abrir as portas 80 e 21 para inicio da comunicação e as portas 20.001 a 20.019 para o recebimento do arquivo. Não consegui resolver alguém poderia me ajudar?

JJSantos
(usa Gentoo)

Enviado em 23/11/2015 - 22:26h

Como estão as regras do seu firewall?? Posta ai.

whung4
(usa CentOS)

Enviado em 24/11/2015 - 21:54h

Segue abaixo as regras do rc.local conforme solicitou. Agradeço desde já sua atenção.

Abaixo antes descrevo a explicação do aplicativo PTA da ans para configuração do firewall, não sei o que pode estar errado:

[DESCRIÇÃO CONFORME MANUAL]
1. O PTA dispara uma conexão TCP em direção ao endereço 189.21.233.19 porta 80
Neste etapa, o PTA realiza operações diversas de autenticação e obtém a lista de arquivos que estão disponíveis para
download pela operadora. [ATÉ AQUI OCORRE TUDO NORMALMENTE].

2. Em seguida, o PTA dispara uma conexão TCP em direção ao endereço 189.21.233.19 porta 21
Na verdade, neste momento, o PTA dispara uma conexão FTP (nível aplicação) sobre TCP (transporte). No entanto, por
questões de segurança, e para atender aos requisitos funcionais desta operação, o protocolo FTP foi modificado. Os
comandos são criptografados pelo PTA e traduzidos pelo servidor da ANS.

3. Por fim, para o envio efetivo dos dados, o SERVIDOR DA ANS dispara uma conexão em direção ao endereço
da operadora na porta 20.001
Note que este passo é diferente dos outros. Neste ponto quem dispara a conexão é o servidor da ANS e não o PTA, o
sentido de conexão é inverso. É preciso configurar os roteadores de sua rede para transferir as conexões da porta 20.001
para a rede interna. Se você utiliza proxy com suporte a FTP, então pode ser que o seu roteador já transfira estas
conexões para o proxy.

[RC.LOCAL]

REDE LOCAL: 192.168.0.0 - ETH1
Internet: Eth0
189.125.91.6 refere-se ao IP do dominio indicado para receber os arquivos receptor.ans.gov.br. Apesar de o manual referenciar outro IP o correto é o citado acima.


echo 1 > /proc/sys/net/ipv4/ip_forward

# Caso queira bloquear ping externo
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

echo " Carregando modulos"
/sbin/modprobe ip_tables
/sbin/modprobe iptable_filter
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe iptable_nat
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_state
/sbin/modprobe ipt_MASQUERADE
/sbin/modprobe ipt_REDIRECT

echo " Limpando regras"
/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -F -t nat
/sbin/iptables -X -t nat
/sbin/iptables -F -t mangle
/sbin/iptables -X -t mangle

echo " Mascarando a conexao"
/sbin/iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE

echo "5.2. Deixar o IP da ANS passar direto pra rede interna"
iptables -I FORWARD -p tcp --dport 80 -s 192.168.0.0/32 -d 200.255.42.71/24 -j ACCEPT
iptables -I FORWARD -p tcp --dport 80 -s 192.168.0.0/32 -d 189.125.91.6/24 -j ACCEPT
iptables -I FORWARD -p udp --dport 80 -s 192.168.0.0/32 -d 189.125.91.6/24 -j ACCEPT
iptables -I FORWARD -p tcp --dport 21 -s 192.168.0.0/32 -d 189.125.91.6/24 -j ACCEPT
iptables -I FORWARD -p udp --dport 21 -s 192.168.0.0/32 -d 189.125.91.6/24 -j ACCEPT
iptables -I FORWARD -p tcp --dport 20001 -s 192.168.0.0/32 -d 189.125.91.6/24 -j ACCEPT
iptables -I FORWARD -p udp --dport 20001 -s 192.168.0.0/32 -d 189.125.91.6/24 -j ACCEPT

echo "Liberar acesso a Porta 80 para /ans"
#Libere as portas 80,21 na cadeia PREROUTING e FORWARD
echo "3.1) Libera Portas Acesso ANS"
iptables -I INPUT -i eth1 -p udp -s receptor.ans.gov.br -j ACCEPT
iptables -I INPUT -i eth0 -p udp -s receptor.ans.gov.br -j ACCEPT

echo "3.2) Libera Portas Acesso ANS"
#iptables -I OUTPUT -i eth0 -p udp -s receptor.ans.gov.br -j ACCEPT
#iptables -I INPUT -i eth0 -p udp -s receptor.ans.gov.br -j ACCEPT

echo "3.3) Libera Portas Acesso ANS"
/sbin/iptables -t nat -I PREROUTING -p tcp -d receptor.ans.gov.br --dport 80 -j ACCEPT
/sbin/iptables -t nat -I PREROUTING -p tcp -d receptor.ans.gov.br --dport 21 -j ACCEPT
/sbin/iptables -I FORWARD -p tcp --dport 21 -d receptor.ans.gov.br -j ACCEPT
/sbin/iptables -t filter -I FORWARD -p tcp -d receptor.ans.gov.br --dport 21 -j ACCEPT
echo "3.4) Libera Portas Acesso ANS"
/sbin/iptables -I PREROUTING -p tcp --dport 80 -d receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I PREROUTING -p udp --dport 80 -d receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I PREROUTING -p tcp --dport 80 -s receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I PREROUTING -p udp --dport 80 -s receptor.ans.gov.br -j ACCEPT

echo "3.5) Libera Portas Acesso ANS"
/sbin/iptables -I FORWARD -p tcp --dport 80 -d receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I FORWARD -p udp --dport 80 -d receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I FORWARD -p tcp --dport 80 -s receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I FORWARD -p udp --dport 80 -s receptor.ans.gov.br -j ACCEPT
/sbin/iptables -t filter -I FORWARD -p tcp -d receptor.ans.gov.br --dport 80 -j ACCEPT
/sbin/iptables -t filter -I FORWARD -p tcp -s receptor.ans.gov.br --sport 80 -j ACCEPT

echo "3.6) Libera Portas Acesso ANS"
/sbin/iptables -I PREROUTING -p tcp --dport 20001:20005 -s receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I PREROUTING -p udp --dport 20000:20019 -d receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I FORWARD -p tcp --dport 20001:20005 -s receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I FORWARD -p udp --dport 20000:20019 -d receptor.ans.gov.br -j ACCEPT
/sbin/iptables -I OUTPUT -p tcp --destination-port 20001:20019 -j ACCEPT
/sbin/iptables -I INPUT -p tcp --destination-port 20001:20019 -j ACCEPT

echo "3.7) Libera Portas Acesso ANS"
iptables -I FORWARD -p tcp --dport 2013 -s 192.168.0.0/24 -d 200.244.109.93/24 -j ACCEPT
iptables -I FORWARD -p tcp --dport 2013 -s 192.168.0.0/24 -d 189.125.91.6/24 -j ACCEPT
iptables -I FORWARD -p tcp --dport 8181 -s 192.168.0.0/24 -d 189.125.91.6/24 -j ACCEPT
iptables -I FORWARD -p udp --dport 8181 -s 192.168.0.0/24 -d 189.125.91.6/24 -j ACCEPT
iptables -I FORWARD -p tcp -s receptor.ans.gov.br -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -I FORWARD -p tcp --dport 8080 -s 192.168.0.200 -d 186.216.66.130 -j ACCEPT

echo "3.8) Libera Programas ANS"
iptables -I OUTPUT -p tcp --dport 21 -d 200.255.42.71 -j ACCEPT
iptables -I FORWARD -p tcp --dport 21 -d 200.255.42.71 -j ACCEPT
iptables -I OUTPUT -p tcp --dport 80 -d 200.255.42.71 -j ACCEPT
iptables -I FORWARD -p tcp --dport 80 -d 200.255.42.71 -j ACCEPT
echo "3.9) Libera Portas Acesso ANS"
iptables -I FORWARD -p tcp --dport 20001 -d 200.255.42.71 -j ACCEPT
iptables -I INPUT -p tcp --dport 20001 -d 200.255.42.71 -j ACCEPT
iptables -I FORWARD -p tcp --dport 20001 -d 189.125.91.6 -j ACCEPT
iptables -I INPUT -p tcp --dport 20001 -d 189.125.91.6 -j ACCEPT
iptables -I INPUT -p tcp --dport 8181 -d 189.125.91.6 -j ACCEPT
iptables -I FORWARD -p tcp --dport 8181 -d 189.125.91.6 -j ACCEPT
echo "3.10) Libera Portas Acesso ANS"
iptables -I FORWARD -p tcp --dport 20001:20005 -s 189.125.91.6 -j ACCEPT
iptables -I FORWARD -p tcp --dport 20001:20005 -d 189.125.91.6 -j ACCEPT
iptables -I FORWARD -p tcp --dport 4380:4500 -s 189.125.91.6 -j ACCEPT
iptables -I FORWARD -p tcp --dport 4380:4500 -s 189.125.91.6 -j ACCEPT
echo "5. Kernel 2.6, éamanho do pacote"
/sbin/iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -m \tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu

#iptables -A FORWARD -j LOG --log-prefix "FORWARD >"

/sbin/iptables -A INPUT -p tcp --dport 8181 -j ACCEPT
/sbin/iptables -A INPUT -p udp --dport 8181 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 8280 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 3389 -j ACCEPT

#Echo 5

echo "5.1 Redirecionamento Hilum - Unimed"
/sbin/iptables -t nat -A PREROUTING -s 0/0 -m tcp -p tcp -i eth0 --dport 8080 -j DNAT --to-destination 192.168.0.200:8080
/sbin/iptables -t nat -A PREROUTING -s 0/0 -m tcp -p tcp -i eth0 --dport 3340 -j DNAT --to-destination 192.168.0.200
/sbin/iptables -t nat -A PREROUTING -s 0/0 -m tcp -p tcp -i eth0 --dport 3380 -j DNAT --to-destination 192.168.0.200

#echo "5.0 Redirecionamento Terminal Service/VNC"
#/sbin/iptables -t nat -A PREROUTING -s 0/0 -m tcp -p tcp -i eth0 --dport 3389 -j DNAT --to-destination 192.168.0.200
#/sbin/iptables -t nat -A PREROUTING -s 0/0 -m tcp -p tcp -i eth0 --dport 5800 -j DNAT --to-destination 192.168.0.3

#echo "5.0.1 Logando acessos porta 3389 "
#/sbin/iptables -A INPUT -p tcp --dport 3389 --syn -j LOG
#/sbin/iptables -A OUTPUT -p tcp --dport 3389 --syn -j LOG
#/sbin/iptables -A INPUT -p tcp --dport 8080 --syn -j LOG

echo "5.1. Envio arquivo CEF"
iptables -t nat -A PREROUTING -i eth0 -d 200.244.109.93 -p tcp --dport 2013 -j ACCEPT

echo " Redirecionamento da porta do Squid excluindo a faixa de ips da conectividade social da caixa "
/sbin/iptables -t nat -A PREROUTING -i eth1 -p tcp -d ! 200.201.174.0/24 --dport 80 -j REDIRECT --to-port 3128