[IPTABLES ?] pb avec un routeur (resolu)

[marvin rouge]

hi,

j'ai un modem routeur (Linksys AG041) qui sert aussi de switch.

Mon laptop se connecte dessus en dhcp. Et du coup, je n'arrive pas a configurer iptables, parce que les ports sont forwardés et je sais pas comment. Exemple :

1er coup:
eth0 received address 192.168.1.106
je me connecte sur google (port http = 80) et je loggue les paquets avec iptables:
... IN= OUT=eth0 SRC=192.168.1.106 DST=66.102.11.104 ... PROTO=TCP SPT=33148 DPT=80

2eme coup
je restarte eth0 : * eth0 received address 192.168.1.107
et rebelotte:
IN= OUT=eth0 SRC=192.168.1.107 DST=203.112.31.164 ... PROTO=TCP SPT=33149 DPT=80

et la le SPT a changé (il a pris +1)

La doc du constructeur ne dit pas comment il forwarde les ports, le site web non plus.

et du coup je ne sais plus comment configurer iptables

une idée ? une astuce ? une doc ?
est ce qu'il faut que je fasse un truc du genre
- paquets entrants filtrés sur sport
- paquets sortants filtrés sur dport

??

[scout]

[marvin rouge]

ok. et merci pour ton aide.

donc si j'ai bien compris, ca va donner en gros ca:

#on droppe tout a la base
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

#par exemple pour surfer (80) on accepte les connections en sortie
iptables -A OUTPUT -p tcp --dport www -j ACCEPT

#pour tout ce qui rentre (excepté les ports de mes serveurs, on fera des regles speciales)
#si c'est un paquet qui est relié a une connection on accepte l'entrée
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

je crois que j'ai les idees + claires. et je vais regarder tcpdump, ca sera surement + simple que de tous logger avec iptables

[scout]

[Jeremy_Z]

Tu es sur ?

Il récupère les packets avant tout traitement c'est d'ailleurs comme ca qu'il récupère des packets qui ne sont pas destinés à ton interface ethernet (adresse MAC différente).

D'ailleurs c'est aussi comme ca qu'on peut faire du port knocking.
_________________
"Because two groups of consumers drive the absolute high end of home computing: the gamers and the porn surfers." /.
My gentoo projects, Kelogviewer and a QT4 gui for etc-proposals

[marvin rouge]

du point de vue sécurité/efficacité est ce qu'il y a une contre-indication a faire (pour une machine dont je suis le seul utilisateur) :

#on droppe tout ce qui rentre et le forward
iptables -P INPUT DROP
iptables -P FORWARD DROP

#on accepte tout ce qui sort
iptables -P OUTPUT ACCEPT

#on accepte en entree les etablis/related
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

et pis c'est tout (modulo les ports serveurs)
--> pas de regles specifique pour la sortie.

??

[scout]

n'oublie pas de faire aussi
$IPTABLES -A INPUT -i lo -j ACCEPT
et puis il y a aussi
$IPTABLES -A INPUT -m state --state INVALID -j DROP
que j'ai retrouvé dans mon vieux script iptables et qui peut être pratique

sinon ce que tu proposes est un firewall assez "light", par rapport à d'autres, mais ça devrait très bien marcher
_________________
http://petition.eurolinux.org/ - Petition against ePatents
L'essence de la finesse

[marvin rouge]

merci !

en re-relisant la doc gentoo , j'ai remis a jour mon script iptables

scout:

[sireyessire]

[scout]

[sireyessire]

officiellement non hacker n'est pas pirater mais le terme qui s'en rapproche le plus serait cracker...
La grosse différence entre les 2 est que le second est motivé par la destruction et l'annihilation alors que le premier ne chercha pas à détruire.
BTW, on est grave hors topic là donc on va finir sur ICQ... (au fait moi aussi j'en ai vu 4 )
_________________
I never think of the future. It comes soon enough.
Albert Einstein

Try simpler first
Shockley