| View previous topic :: View next topic |
| Author |
Message |
Leander256
l33t
Joined: 05 Jul 2003
Posts: 910
Location: Singapour
|
 Posted: Thu May 27, 2004 7:23 pm Post subject: |
 |
|
| Gilbow wrote: | Ile me reste je crois qu'un seul probleme a regler (en en attendant d'autres.) qui consiste a permettre au firewall d'acceder a internet...
| Code: | iptables -P INPUT DROP
iptables -P OUTPUT DROP
# il faut accepter que le proxy ait une connexion
# internet directe. Tant qu'à faire, on va
# mettre des états pour que ça soit bien sécurisé
iptables -A OUTPUT -o eth1 -m state \
--state NEW,ESTABLISHED -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth1 -m state \
--state ESTABLISHED -p tcp --sport 80 -j ACCEPT
|
|
Ton problème est là: tu interdis les connexions entrantes et sortantes sur ta passerelle, en effet tandis que INPUT et OUTPUT sont uniquement pour la machine elle-même, FORWARD concerne uniquement les autres machines.
Il te faut rajouter dans ton script les lignes suivantes (par exemple après l'autorisation des connexions sur l'interface lo):
| Code: | iptables -A OUTPUT -o eth1 -m state --state NEW,ESTABLISHED -p tcp -j ACCEPT
iptables -A INPUT -i eth1 -m state --state ESTABLISHED -p tcp -j ACCEPT
|
Tu peux à cet effet modifier les lignes suivantes déjà présentes (et rendues inutiles):
| Code: | iptables -A OUTPUT -o eth1 -m state \
--state NEW,ESTABLISHED -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth1 -m state \
--state ESTABLISHED -p tcp --sport 80 -j ACCEPT
|
A ce moment-là tu acceptes toute tentative de connexion vers internet, mais aucune depuis internet, sans restriction de port (i.e. pas que le port 80 comme avant). |
|
| Back to top |
|
 |
Pachacamac
Veteran
Joined: 22 Nov 2003
Posts: 1264
Location: Paris - France
|
| Posted: Thu May 27, 2004 9:42 pm Post subject: |
|
|
| Si tu n'autorise rien depuis internet tu va quand meme recevoir le retrour des paquets ? |
|
| Back to top |
|
|
kernelsensei
Bodhisattva
Joined: 22 Feb 2004
Posts: 5619
Location: Woustviller/Moselle/FRANCE (49.07°N;7.02°E)
|
| Posted: Thu May 27, 2004 9:57 pm Post subject: |
|
|
le RELATED,ESTABLISHED permet de recevoir les paquets si TU as fait une REQUETE, c a d que rien ne rentrera si tu ne demande pas ! (normalement)
moi ma regle differe un peu
| Code: |
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
|
je ne precise pas l'interface ni le port !
_________________
$ ruby -e'puts " .:@BFegiklnorst".unpack("x4ax7aaX6ax5aX15ax4aax6aaX7ax2aX5aX8 \
axaX3ax8aX4ax6aX3aX6ax3ax3aX9ax4ax2aX9axaX6ax3aX2ax4ax3aX4aXaX12ax10aaX7a").join' |
|
| Back to top |
|
|
Gilbow
n00b
Joined: 23 May 2004
Posts: 30
Location: Toulouse-France
|
| Posted: Sun May 30, 2004 10:47 am Post subject: |
|
|
Je vous remercie tous d'avoir resolu un a un mes probleme.
Mon firewall, ne bloque rien, mais permet le plus important , le partage...
je verais renforcer le firewall quand j'aurais un peu de temps et beaucoup de patience...
Voila... 
_________________
Il vaut mieux mobiliser son intelligence sur des conneries que de mobiliser sa connerie sur des choses intelligentes (nos amis les Shadoks) |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 9:39 am Post subject: |
|
|
bon j'ai envie de faire la même chose là, j'ai un pc qui va servir de passerelle (il a 2 cartes rézo)
eth0 --> adsl
eth1 --> LAN
j'ai compris pour les règles tout ça c'est ok. (c vrai que la doc de lea-linux est bien)
et cependant (je vais passer pour un lame mais c po grave) : vous parler du script mais lequel? iptables.sh qu'est dans /etc/init.d ?
où doit-on inscrire nos règles? |
|
| Back to top |
|
|
Pachacamac
Veteran
Joined: 22 Nov 2003
Posts: 1264
Location: Paris - France
|
| Posted: Mon May 31, 2004 10:08 am Post subject: |
|
|
Le script c'est toi qui le fait pour que les règles soient prises en compte au demarrage.
Sur Léa c'est firewall.sh il me semble, mais tu lui donne le nom que tu veux. |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 10:22 am Post subject: |
|
|
bah oui mais où je le met???
imagines je le met dans /var/trucmuche/bidule
et hop si je fait rc-update add iptables default
ben ouske tu crois que ce service va chercher mon script? 
il va pas deviner...
en plus tu dis qu'on lui donne le nom qu'on veut...euh comment il devine là encore que ton fichier de règles s'appelle tsointsoin.sh ?
donnes moi directement ton exemple : où est ton fichier de règles, comment se nomme-t-il et comment a tu fais pour que le service iptables sachent le trouver? s'il te plaît 
(j'ai ma passerelle qu'attend là à côté de moi de pouvoir enfin servir lol) |
|
| Back to top |
|
|
guilc
Bodhisattva
Joined: 15 Nov 2003
Posts: 3326
Location: Paris - France
|
| Posted: Mon May 31, 2004 10:25 am Post subject: |
|
|
tu exécutes ton script, ensuite, tu fais "rc-update /etc/init.d/iptables save"
Comme ça tes regles sont sauvegardées.
Pour les commandes de type echo "1" > /proc/sys/net/ipv4/ip_forward , regarde du coté de /etc/sysctl.conf, y a des lignes en modele, tu comprendra vite comment ça marche 
_________________
Merci de respecter les règles du forum.
Mon site perso : https://www.xwing.info
Mon PORTDIR_OVERLAY : https://gentoo.xwing.info ou layman -a xwing |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 10:26 am Post subject: |
|
|
là ça a l'avantage d'être clair
merci guilc
(bon c vrai aussi que je suis feignant et impatient  , j'aurais pu chercehr un peu plus par moi-même...) |
|
| Back to top |
|
|
Pachacamac
Veteran
Joined: 22 Nov 2003
Posts: 1264
Location: Paris - France
|
| Posted: Mon May 31, 2004 10:37 am Post subject: |
|
|
J'ai dit que tu pouvai lui donner le nom que tu voulai. Mais nullement que si tu voulai utiliser rc-update il pouvai etre n'importe ou... Quoique si tu fais un lien çà marche.
Pour se servir d'rc-update tu as la doc sur le site de gentoo, çà pe aider |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 10:43 am Post subject: |
|
|
Pachacamac : oki, je suis pas réveillé j'ai un peu de mal ce matin. (oué enfin on est déjà après-midi...)
c'est bon là tout devrait fonctionner
thx! |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 12:15 pm Post subject: |
|
|
ça marche pas...hum hum?
bon j'ai pas mis les lignes concernant l'icmp pour pouvoir pinguer...ça veut pas.
le partage n'est pas lancé puisque a priori la résolution de nom ne fonctionne pas (ni sur mon pc de bureau ni sur la passerelle)
je n'ai pas accès au net alors même que ma connexion adsl est bonne
j'ai essayé les 2 scripts qui était donén en page 1 de ce thread et rien à faire.
(j'ai bien changé ce qu'il fallait selon ma config réseau etho --> internet et eth1 --> lan)
rien à faire, j'ais essayé plusieurs options ça veut pas :/
kk1 voit - il d'où ça pourrait venir? |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 12:35 pm Post subject: |
|
|
bon je lis la doc je vais tout faire moi-même, depuis le temps que j'avais envie de m'y mettre tiens
je vais y aller pas à pas ! |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 1:24 pm Post subject: |
|
|
Bon j'ai refait un scirpt iptable à partir de ceux existant, je pense avoir bien compris le fionctionnement et là je dois dire que je comprends pas pkoi ça ne marche pas..
ma config :
etho est l'interface relié à mon modem...donc ppp0 passe par eth0 (ip : 192.168.0.1)
eth1 est l'interface relié à mon rézo (ip : 192.168.0.2)
mon pc de bureau a une carte rézo eth0 d'ip 192.168.0.3
avce un gateway de "eth0/192.168.0.2"
voilà mon fichier de config :
| Code: |
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F
iptables -X
iptables -N LOG_DROP
iptables -A LOG_DROP -j LOG \
--log-prefix '[IPTABLES DROP] : '
iptables -A LOG_DROP -j DROP
iptables -N LOG_ACCEPT
iptables -A LOG_ACCEPT -j LOG \
--log-prefix '[IPTABLES ACCEPT] : '
iptables -A LOG_ACCEPT -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
#ssh accepte
iptables -A INPUT -i eth1 -m state \
--state NEW,ESTABLISHED -p tcp --dport 22 -j LOG_ACCEPT
iptables -A OUTPUT -o eth1 -m state \
--state ESTABLISHED -p tcp --sport 22 -j LOG_ACCEPT
iptables -A INPUT -i ppp0 -m state \
--state NEW,ESTABLISHED -p tcp --dport 22 -j LOG_ACCEPT
iptables -A OUTPUT -o ppp0 -m state \
--state ESTABLISHED -p tcp --sport 22 -j LOG_ACCEPT
#ftp accepte
iptables -A INPUT -i eth1 -m state \
--state NEW,ESTABLISHED -p tcp --dport 21 -j LOG_ACCEPT
iptables -A OUTPUT -o eth1 -m state \
--state ESTABLISHED -p tcp --sport 21 -j LOG_ACCEPT
iptables -A INPUT -i ppp0 -m state \
--state NEW,ESTABLISHED -p tcp --dport 21 -j LOG_ACCEPT
iptables -A OUTPUT -o ppp0 -m state \
--state ESTABLISHED -p tcp --sport 21 -j LOG_ACCEPT
iptables -A FORWARD -i eth1 -o ppp0 -j ACCEPT
iptables -A FORWARD -o eth1 -i ppp0 -j ACCEPT
iptables -t nat -A POSTROUTING \
-s 192.168.0.0/24 -j MASQUERADE
iptables -A FORWARD -j LOG_DROP
iptables -A INPUT -j LOG_DROP
iptables -A OUTPUT -j LOG_DROP
|
voilà c tout...
et ça ne fonctionne pas, impossible d'avoir de résolution de nom où d'accéder à quoique ce soit... 
y aurait-il une erruer dans ce fichier?
ah oui aussi quand le service iptables ce lance il me met que "-ppp0" comme interface c pas pris en compte (forcément...y a un "-" devant)
or je suis sûr qu'il y a aucun "-" devant un ppp0 dans mon script.
j'ai bien éxécuté mon script , fait un iptables-save et tout...rien à faire il me met cet erreur là (qui vient de mon tout premier script que j'ai foiré)
des suggestions? |
|
| Back to top |
|
|
Leander256
l33t
Joined: 05 Jul 2003
Posts: 910
Location: Singapour
|
| Posted: Mon May 31, 2004 3:10 pm Post subject: |
|
|
| kwenspc wrote: | ma config :
etho est l'interface relié à mon modem...donc ppp0 passe par eth0 (ip : 192.168.0.1)
eth1 est l'interface relié à mon rézo (ip : 192.168.0.2)
|
Ce n'est pas normal que eth0 et eth1 aient des adresses IP appartenant au même sous-réseau (je suppose que tu as laissé 255.255.255.0 comme masque par défaut), ça empêche le routage correct de tes paquets. Donc il faudrait savoir pourquoi l'interface reliée au modem reçoit l'adresse IP 192.168.0.1, peut-être est-ce une erreur parce que tu n'as pas enlevé /etc/init.d/net.eth0 ? |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 3:17 pm Post subject: |
|
|
euh ptet oui, si je met juste ifconfig eth0 up sans ip sans rien ça devrait suffire.
mais c bizzare puisque sur mon pc de bureau eth0 a une ip à lui, un mask et tout et ppp0 se greffe dessus sans pb...et je peus atteindre mon pc de bureau avec mon portable au travers d'eth0 du pc de bureau...
enfin j'essaierais pkoi pas oui
je vais passer en sous-réseau 192.168.1.0 pour le LAN ça facilitera ptet |
|
| Back to top |
|
|
Pachacamac
Veteran
Joined: 22 Nov 2003
Posts: 1264
Location: Paris - France
|
| Posted: Mon May 31, 2004 3:30 pm Post subject: |
|
|
| Pour le DNS faut que tu ai sur chaque poste au moins un serveur dans /etc/resolv.conf |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 3:34 pm Post subject: |
|
|
oui c'est réglé ça aussi :/
j'ai bien mes dns sur mes 3 machines serveur/pc/portable |
|
| Back to top |
|
|
Pachacamac
Veteran
Joined: 22 Nov 2003
Posts: 1264
Location: Paris - France
|
| Posted: Mon May 31, 2004 4:16 pm Post subject: |
|
|
| Ben alors c'est bon si tu fais ce que je t'ai dit dans mon dernier post sur la pge 1 le partage doit fonctionner. |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 6:13 pm Post subject: |
|
|
non justement ça ne marche pas, j'ai bien les dns dans les resolv.conf et tout, j'ai un bon script mais ça ne marche pas.
j'ai pas eu le temps de tester d'autre soluce
je vous tiens au courant (à mon avis ça doit être un problème de sous-rézo comme le pense Leander256) |
|
| Back to top |
|
|
Pachacamac
Veteran
Joined: 22 Nov 2003
Posts: 1264
Location: Paris - France
|
| Posted: Mon May 31, 2004 7:16 pm Post subject: |
|
|
T'as fait des sous réseaux pour ton réseau perso ? 
Bref verifie que tu ai bien le routage dans iptable | Code: | | cat > /proc/sys/net/ipv4/ip_forward |
doit te retourner 1
Ensuite liste les règles d'iptables :doit te retourner (si t'as fait avec ce que je t'ai donnéà savoir iptables -A POSTROUTING -t nat -o ppp0 -j MASQUERADE )
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- anywhere anywhere
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Ensuite sur le client tu passe la commandequi doit te retourner :
Table de routage IP du noyau
Destination Passerelle Genmask Indic Metric Ref Use Iface
192.168.0.0 * 255.255.255.0 U 0 0 0 eth0
loopback localhost 255.0.0.0 UG 0 0 0 lo
default 192.168.0.2 0.0.0.0 UG 0 0 0 eth0
Pour continuer le test un ping de ton poste client vers celui qui a la connexion s'impose.
Ensuite un ping du client vers une @IP sur le net. Par exemple
Si c'est ok termine par un ping vers une adresse FQDN sur le net comme
Ensuite tu nous tiens au courant de tes avancés. |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 7:32 pm Post subject: |
|
|
hum dis moi iptables -X et ipatbles -F ça vide bien entièrement les règles?
et si je fais un iptables-save après il va en fait sauver quelque chose qui ne contiendra pas de règles?
donc si je redémarre le service iptables je ne devrais plus avoir de règles...
or là il me charge toujours la meme table de règles...foireuse en plus.
j'ai faire de nouvelles modif à mon fichier, l'éxecuté, sauvegardé les nouvelels règles et relancés iptables...il me sort toujours mes vieilles errues de script que j'ai fait en début de journée 
il existe une option pour forcer le vidage complet? |
|
| Back to top |
|
|
Pachacamac
Veteran
Joined: 22 Nov 2003
Posts: 1264
Location: Paris - France
|
| Posted: Mon May 31, 2004 7:37 pm Post subject: |
|
|
En theorie lorsque tu redemarre iptables pouf t'a plus rien. Mais tu as l'air d'avoir sauvegardé tes regles donc faire ce que t'as dit me parait etre une bonne idee.
iptables -t nat X et -L non ? pour vider la table nat |
|
| Back to top |
|
|
kwenspc
Advocate
Joined: 21 Sep 2003
Posts: 4954
|
| Posted: Mon May 31, 2004 7:54 pm Post subject: |
|
|
oué bon super...il doit y avoir une couille dans le paté et ça viens pas des scripts c'est sûr.
j'ai fait ta manip' à la lettre près
ben...le iptables -t net -L est trés bavard il me sort 20 fois la même lignes all anywhere anywhere, y en a d'autres qui s'y melent 192.168.0.0/24 anywhere et ainsi de suite.
ça fait une bonne 30aine de lignes...
et toujours cette merde d'erreur de règles soi-disant :
warning: weird character in interface '-ppp0' (No aliases etc...)
or CETTE erreur a eu lieu sur ma première version du script et a été trés vite corrigée...et il me la notifie encore!
j'ai beau flushé à donf les tables, ré-executer mon script (mainte fois vérifié) et sauvegardé l'etat de la table : rien. ça bouge pas d'un pouce
ah aussi, on est d'accord qu'avec ta règle icmp n'est pas bloqué?
bon ben impossible d'atteindre ma passerelle à partir d'un ping de mon pc de bureau...et mieux que ça : quand je fais un ping SUR ma passerelle d'une de ces ip (eth0 par ex) il me sort ça :
ping 192.168.0.1
ping: sendmsg: Operation not permitted
coool 
je dois avoir un truc de merdé je ne sais où mais ces pas ta manip ni ton scirpt ni le mien qui merdent ça c sûr... |
|
| Back to top |
|
|
Pachacamac
Veteran
Joined: 22 Nov 2003
Posts: 1264
Location: Paris - France
|
| Posted: Mon May 31, 2004 8:08 pm Post subject: |
|
|
Un couille dans le paté t'es sur ? S'il n'y en avait qu'une çà serai déjà bien.
Je te conseille de faire un
rc-update -s pour voir les scripts qui sont au demarrage. Tu dois en avoir plusieurs qui lancent plusieurs règles.
Lorsque tu fais un flush des règles et que tu ne redemarre surtout pas iptables il te sort quoi avec iptables -t nat -L ? |
|
| Back to top |
|
|
|
French
