| View previous topic :: View next topic |
| Author |
Message |
Anthyme
Guru
Joined: 25 Jun 2004
Posts: 498
|
 Posted: Wed Apr 19, 2006 2:57 pm Post subject: |
 |
|
rebonjour !!
je vais prendre note de tout ce que vous m'avez dis !
mais sinon en ce qui concerne le "bien comprendre ce que tu fais" et bien j'ai pas vraiment le temps... il s'agit d'un projet pour mon ecole pour vendredi soir dernier delai et je n'ai pas que le iptable a faire (j ai egallement des difficulter a faire marcher le net logon de samba et quelques truc a faire pour faire une webmin)
sinon j'ai des besoin tres preci, donc pas a me soucier de l'evolution de ces derniers faudra juste que je rendre un projet fini...
sinon tout ceci est dans une vmware, pour faire mes test il suffit que je mette la passerrelle par defaut sur cette derniere je suppose ... en tout cas je n'arrive pas pour l'instant a me connecter en http a travers snif !
ah oui sinon mon reseau est tout simple :
WEB
|
eth1
SERVEUR
eth0
|
LAN
bon je vais continuer mes test avec ce que vous dites ... |
|
| Back to top |
|
 |
man in the hill
Veteran
Joined: 15 Dec 2005
Posts: 1552
Location: Madinina
|
| Posted: Wed Apr 19, 2006 8:31 pm Post subject: |
|
|
salut,
| Quote: | anthyme a ecrit :
mais sinon en ce qui concerne le "bien comprendre ce que tu fais" et bien j'ai pas vraiment le temps... |
Ok...je ne sais pas si le FTP fonctionne sur une machine virtuel mais tu peux tjrs essayer le mode actif
http://christian.caleca.free.fr/ftp/
Tu peux utiliser mon script en enlevant tout ce qui se rapporte à ra0 (la passerelle wifi) et pour le FTP actif regarde du côté de Creuvard.
Mon script laisse sortir automatiquement les apps qui en ont besoin , ils peuvent aussi recevoir la réponse à leur requête mais j'interdis toutes nouvelles connexions...à part ceux que je decide , bien sûr...
Tu peux aussi tout écrire ds un terminal et ensuite sauver les règles avec /etc/init.d/iptables save
Sinon pour samba, cela fait un moment que je ne l'utilise plus mais voici qques liens :
http://www.gcolpart.com/howto
http://www.ac-creteil.fr/reseaux/systemes/linux/samba-linux.html
http://ernest.tuxicity.net/index.php?choix=Reseau&tuto=samba
@+
_________________
Get Up and Go ! |
|
| Back to top |
|
|
Anthyme
Guru
Joined: 25 Jun 2004
Posts: 498
|
| Posted: Wed Apr 19, 2006 9:13 pm Post subject: |
|
|
Merci pour les liens mais la je crois que je desespere deçu ^^
l'authentification au boot de windows etait une option et je crois que ca le restera pour mon groupe ^^
en tout cas pour l'iptable j'ai fait un mix entre les 2 : l'idée d'autorisé tout l'output est vraiment une excelante idée ! et ca enleve pas mal de doublon (donc + perf ^^)sans etre moins sure, chapeau bas ! mais bon voila je ne comprend pas du tout pourquoi mais quand j'execute ce script je ne peu plus rien faire (le ssh passe plus j'ai pas essayé de diagnostiquer plus ...)
| Code: | #!/bin/bash
LAN="eth0"
WAN="eth1"
iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -X
##########################
#-Politique par default -#
##########################
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT ACCEPT
#########
#- NAT -#
#########
iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE
####################################################
#- Mise en place de lo (réseau virtuel localhost) -#
####################################################
#Autorise l'interface loopback à dialoguer avec elle-même
iptables -t filter -A INPUT -i lo -j ACCEPT
################################
#-Connexions du LAN au Serveur-#
################################
iptables -t filter -A INPUT -i $LAN -j ACCEPT
##################
## Requetes DNS ##
##################
#1) On autorise le LAN a faire des requette DNS (+serveur DNS local)
iptables --append FORWARD --in-interface $WAN -o $LAN --protocol udp --source-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $LAN -o $WAN --protocol udp --destination-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $WAN -o $LAN --protocol tcp --source-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $LAN -o $WAN --protocol tcp --destination-port 53 -j ACCEPT
iptables -A INPUT -i $WAN --protocol tcp --source-port 53 -j ACCEPT
iptables -A INPUT -i $WAN --protocol udp --source-port 53 -j ACCEPT
###############################
#-Connexions a Internet (www)-#
###############################
#1) Aurorise le LAN à faire des requettes HTTP
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 80 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 443 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 443 -m state --state NEW,ESTABLISHED -j ACCEPT
##################
#-Connection FTP-#
##################
#Autorisation pour le LAN de traverser le routeur
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 21 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 20 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 1024: -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
##################
#-Connection SSH-#
##################
# Ouverture pour le serveur ssh
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp -m state --state ! INVALID --source-port 22 -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp -m state --state ! INVALID --destination-port 22 -j ACCEPT |
pourtant le
| Code: | | iptables -t filter -A INPUT -i $LAN -j ACCEPT |
et le
| Code: | | iptables -t filter -P OUTPUT ACCEPT |
devraient suffire (non?)
J'ai du faire uen bétise quelque part ... :-/ |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Wed Apr 19, 2006 10:01 pm Post subject: |
|
|
Pour le ssh j'avais fait une boulette en écrivant le script l'autre jour . Je l'ai éditer mais tu as du prendre la première version.
| Code: |
##################
#-Connection SSH-#
##################
# Ouverture pour le serveur ssh
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp -m state --state ! INVALID --destination-port 22 -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp -m state --state ! INVALID --source-port 22 -j ACCEPT
|
Tu viens de l'extèrieur pour te connecter a DESTINATION du port 22
Le server te répond avec son port SOURCE 22
[edit]
La remarque avais été fait par PabOu
| Quote: |
Les 2 premieres lignes pour SSH.. t'as voulu faire quoi ?
Là, tu autorises INTERNET à contacter un serveur SSH qui se trouve sur ton LAN, derriere le routeur... en te trompant de ports avec la confusion source/destination |
|
|
| Back to top |
|
|
man in the hill
Veteran
Joined: 15 Dec 2005
Posts: 1552
Location: Madinina
|
| Posted: Wed Apr 19, 2006 10:27 pm Post subject: |
|
|
Salut,
Avec la politique (policy) OUTPUT ACCEPT
Tu doit encore épurer ton script par ex pour le DNS ( tu l'a déjà authorisé localement) et le HTTP
Tu dois juste autoriser les requêtes depuis le LAN vers le WWW et les réponses pour ces connexions (les services vont se démerder avec les ports...)
| Code: |
#############################################
# Autoriser le surf depuis le LAN
#############################################
iptables -t filter -A FORWARD -i eth0 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT |
| Code: |
#####################################################################
# Autoriser les connexions déjà établies à rentrer vers le LAN
######################################################################
iptables -t filter -A FORWARD -i eth1 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT |
Pour le ssh pourquoi tu ne te connecte pas du WWW sur ton serveur et ensuite à partir de celui-ci prendre le controle des machines du LAN...
Pour le serveur FTP actif se trouvant sur le LAN , Crevard t'expliquera mieux que moi car le mien est sur mon serveur (faut que je cherche  )...
@+
_________________
Get Up and Go ! |
|
| Back to top |
|
|
Anthyme
Guru
Joined: 25 Jun 2004
Posts: 498
|
| Posted: Thu Apr 20, 2006 8:14 am Post subject: |
|
|
Bon j'ai fait les modif mais j'ai toujours le meme probleme ... ceux du lan ne peuvent pas acceder au serveur ... et je ne comprend pas pourquoi :-/
(quand je parlais du ssh je voullais dire me connecter depuis le lan vers le serveur en lui meme, pas a travers)
voici le fichier de conf : (presque le meme en prenant en compte vos remarques)
| Code: | #!/bin/bash
LAN="eth0"
WAN="eth1"
iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -X
##########################
#-Politique par default -#
##########################
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT ACCEPT
#########
#- NAT -#
#########
iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE
####################################################
#- Mise en place de lo (réseau virtuel localhost) -#
####################################################
#Autorise l'interface loopback à dialoguer avec elle-même
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A OUTPUT -o lo -j ACCEPT
################################
#-Connexions du LAN au Serveur-#
################################
iptables -t filter -A INPUT -i $LAN -j ACCEPT
#####################################################################
# Autoriser les connexions déjà établies à rentrer vers le LAN
######################################################################
iptables -t filter -A FORWARD -i $WAN -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT
#############################################
# Autoriser le surf depuis le LAN
#############################################
iptables -t filter -A FORWARD -i eth0 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
##################
## Requetes DNS ##
##################
#1) On autorise le LAN a faire des requette DNS (+serveur DNS local)
iptables --append FORWARD --in-interface $WAN -o $LAN --protocol udp --source-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $LAN -o $WAN --protocol udp --destination-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $WAN -o $LAN --protocol tcp --source-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $LAN -o $WAN --protocol tcp --destination-port 53 -j ACCEPT
iptables -A INPUT -i $WAN --protocol tcp --source-port 53 -j ACCEPT
iptables -A INPUT -i $WAN --protocol udp --source-port 53 -j ACCEPT
###############################
#-Connexions a Internet (www)-#
###############################
#1) Aurorise le LAN à faire des requettes HTTP
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 80 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 443 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 443 -m state --state NEW,ESTABLISHED -j ACCEPT
##################
#-Connection FTP-#
##################
#Autorisation pour le LAN de traverser le routeur
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 21 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 20 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 1024: -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
##################
#-Connection SSH-#
##################
# Ouverture pour le serveur ssh
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp -m state --state ! INVALID --source-port 22 -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp -m state --state ! INVALID --destination-port 22 -j ACCEPT |
|
|
| Back to top |
|
|
man in the hill
Veteran
Joined: 15 Dec 2005
Posts: 1552
Location: Madinina
|
| Posted: Thu Apr 20, 2006 11:06 am Post subject: |
|
|
Salut,
Tu n'as rien changé à part surcharger ton script, ce qui n'est pas le but...
Tu peux enlever le OUTPUT du lo car tu as un OUTPUT ACCEPT
Commente avec # le DNS et les connexions a internet que tu spécifies avec les ports car le travail est déjà fait.
Résumons:
| Code: |
################################
#-Connexions du LAN au Serveur-#
################################
iptables -t filter -A INPUT -i $LAN -j ACCEPT |
Avec cette ligne, en ayant OUTPUT ACCEPT, tout le LAN peut communiquer (HTTP, DNS, FTP, SSH).
| Code: |
#############################################
# Autoriser le surf depuis le LAN
#############################################
iptables -t filter -A FORWARD -i eth0 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT |
Avec cette ligne toutes les connexions depuis le LAN vers internet sont authorisé (requête DNS, HTTP, FTP, etc...), l'avantage de ce genre de ligne c'est que tu n'as pas à spécifier les ports , un navigateur internet par ex fera une demande sur le port 80 d'un serveur HTTP et communiquera au serveur son IP et son port de réception, la ligne iptables ci-dessus permet toutes les requêtes de sortir sans problème (pas seulement HTTP, aussi DNS, FTP, etc...) et celle ci-dessous permet toutes connexions établies de passer...
| Code: |
#####################################################################
# Autoriser les connexions déjà établies à rentrer vers le LAN
######################################################################
iptables -t filter -A FORWARD -i $WAN -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT |
Avec cette ligne toutes les réponses au requête depuis le LAN ci-dessus (DNS, HTTP, FTP, etc...) sont authorisées car se sont des connexion déjà établie ou en relation...
J'utilise ssh tous les jours pour gérer mon serveur '"headless" et j'utilise mon script comme firewall...Tu n'as pas besoin de rajouter une ligne pour le ssh en local...
Quel sont les services sur ton serveur ?
Est-ce que tu ne peux communiqué avec aucun services ?
@+
_________________
Get Up and Go ! |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Thu Apr 20, 2006 11:16 am Post subject: |
|
|
| Anthyme wrote: | | quand je parlais du ssh je voullais dire me connecter depuis le lan vers le serveur en lui meme, pas a travers |
Ok Au temps pour moi j'avais pas compris.  Je pensais que le serveur SSH étais cacher dans le LAN.
| Code: |
# Ouverture pour le serveur ssh (uniquement pour le LAN)
iptables --append INPUT --in-interface $LAN --protocol tcp --destination-port 22 -j ACCEPT
iptables --append OUTPUT --out-interface $LAN --protocol tcp --source-port 22 -j ACCEPT
|
|
|
| Back to top |
|
|
Anthyme
Guru
Joined: 25 Jun 2004
Posts: 498
|
| Posted: Sun Apr 23, 2006 11:37 am Post subject: |
|
|
Bonjour !
J'ai de la chance le rendu de projet a été reponssé d'une 10ene de jour ^^
Je me suis penché un peu sur vos conf et je suis arrivé a ça :
| Code: | #!/bin/bash
LAN="eth0"
WAN="eth1"
iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
iptables -X
##########################
#-Politique par default -#
##########################
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT ACCEPT
#########
#- NAT -#
#########
iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE
####################################################
#- Mise en place de lo (réseau virtuel localhost) -#
####################################################
#Autorise l'interface loopback à dialoguer avec elle-même
iptables -t filter -A INPUT -i lo -j ACCEPT
################################
#-Connexions du LAN au Serveur-#
################################
iptables -t filter -A INPUT -i $LAN -j ACCEPT
#####################################################################
# Autoriser les connexions déjà établies à rentrer vers le LAN
######################################################################
iptables -t filter -A FORWARD -i $WAN -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT
#############################################
# Autoriser le surf depuis le LAN
#############################################
iptables -t filter -A FORWARD -i $LAN -o $WAN -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -A FORWARD -i $WAN -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT
##########################################################################################
# Gestion des connexions externes déjà établies entrant sur la machine locale
##########################################################################################
iptables -t filter -A INPUT -i $WAN -m state --state ESTABLISHED,RELATED -j ACCEPT
|
Quand j'ai vu que ma connection ssh n'avais pas sauté j'etait tres content !! ^^
mais ce n'etait pas encore ca ... en effet je ne peux pas créer de nouvelle connection SSH ! Je ne comprend vraiment de moins en moins :-/
j'ai essayer avec ces ligne en options qui ne me semblais plus util :
| Code: | ##################
## Requetes DNS ##
##################
#1) On autorise le LAN a faire des requette DNS (+serveur DNS local)
iptables --append FORWARD --in-interface $WAN -o $LAN --protocol udp --source-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $LAN -o $WAN --protocol udp --destination-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $WAN -o $LAN --protocol tcp --source-port 53 -j ACCEPT
iptables --append FORWARD --in-interface $LAN -o $WAN --protocol tcp --destination-port 53 -j ACCEPT
iptables -A INPUT -i $WAN --protocol tcp --source-port 53 -j ACCEPT
iptables -A INPUT -i $WAN --protocol udp --source-port 53 -j ACCEPT eth0 192.168.0.6 et eth1 192.168.0.178
###############################
#-Connexions a Internet (www)-#
###############################
#1) Aurorise le LAN à faire des requettes HTTP
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 80 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 443 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 443 -m state --state NEW,ESTABLISHED -j ACCEPT
##################
#-Connection FTP-#
##################
#Autorisation pour le LAN de traverser le routeur
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 21 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 21 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 20 -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $WAN -o $LAN --protocol tcp --source-port 1024: -m state --state ESTABLISHED -j ACCEPT
iptables --append FORWARD -i $LAN -o $WAN --protocol tcp --destination-port 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
|
peut etre que c du au fait que je fait mes test en vmware ...
la vmware a 2 interface :
| Code: | | eth0 192.168.0.6 et eth1 192.168.0.178 |
et sur mon pc client j ai fait un
| Code: | | route add default gw 192.168.0.6 |
et ensuite j'ai tenté des truc genre :
ou un :
| Code: | lathar Group mod # wget 216.239.59.147
--13:28:06-- http://216.239.59.147/
=> `index.html'
Connexion vers 216.239.59.147:80... |
mais rien n'y fait 
Si vous avez des idées en plus ... |
|
| Back to top |
|
|
Anthyme
Guru
Joined: 25 Jun 2004
Posts: 498
|
| Posted: Sun Apr 23, 2006 11:46 am Post subject: |
|
|
Sinon man in the hill j'ai fais un copier coller de ton fichier de conf sur le lien que tu m'as donnée et c parrail ... :-/
vous pensez que cela viens de la vmware ? |
|
| Back to top |
|
|
PabOu
Veteran
Joined: 11 Feb 2004
Posts: 1088
Location: Namur - Belgium
|
| Posted: Mon Apr 24, 2006 8:39 am Post subject: |
|
|
En quel mode est configuré ton réseau vmware ?
avoir deux interfaces qui sont sur le même sous-réseau (192.168.0.0) pour faire firewall.. c'est pas tres malin ! je vois pas l'intérêt dans ce cas-ci. Avec tout ca, j'ai énormément de mal à comprendre la structure de ton réseau (même si il est tout simple).
ping c'est le protocole ICMP.
_________________
Mangez du poulet ! |
|
| Back to top |
|
|
man in the hill
Veteran
Joined: 15 Dec 2005
Posts: 1552
Location: Madinina
|
| Posted: Mon Apr 24, 2006 12:01 pm Post subject: |
|
|
salut,
Mon réseau a une passerelle wifi donc pas de copier/coller...
Sinon, tu as un doublon qui ne sert à rien :
| Code: |
#####################################################################
# Autoriser les connexions déjà établies à rentrer vers le LAN
######################################################################
iptables -t filter -A FORWARD -i $WAN -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT
#############################################
# Autoriser le surf depuis le LAN
#############################################
iptables -t filter -A FORWARD -i $LAN -o $WAN -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -A FORWARD -i $WAN -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT
|
Tu authorises dèjà les connexions établies à rentrer vers le LAN , donc la ligne ci-dessus peut-être enlevé...
Tu as toutes les règles pour avoir les connexions en local avec les règles suivantes:
| Code: |
##########################
#-Politique par default -#
##########################
iptables -t filter -P OUTPUT ACCEPT
################################
#-Connexions du LAN au Serveur-#
################################
iptables -t filter -A INPUT -i $LAN -j ACCEPT |
Tu peux avoir toutes les connexions locales que tu souhaites avec ces 2 règles...donc ton problème de SSH , c'est pas normal...post tes fichiers ssh_config et sshd_config.
Combien de services as tu sur ton serveur, Il faudrait accorder des nouvelles connexions(NEW) , si tu veux que l'on puisse se connecter de puis le WWW sur un serveur HTTP ou FTP.
| Code: |
##########################################################################################
# Gestion des connexions externes déjà établies entrant sur la machine locale
##########################################################################################
iptables -t filter -A INPUT -i $WAN -m state --state ESTABLISHED,RELATED -j ACCEPT
|
Enfin pour vmware suis les conseilles de PaBou...La technologie wmware peut compliquer les choses , c'est sûr !
Voilà,
@+
_________________
Get Up and Go ! |
|
| Back to top |
|
|
Anthyme
Guru
Joined: 25 Jun 2004
Posts: 498
|
| Posted: Mon Apr 24, 2006 12:33 pm Post subject: |
|
|
Oki merci des précision
sinon pour la conf de la vmware : les 2 sont en briged ... c'est pas forcement optimal c'est sur ... je vais essayer de mettre celle du lan en host to host ca sera peut etre mieux |
|
| Back to top |
|
|
man in the hill
Veteran
Joined: 15 Dec 2005
Posts: 1552
Location: Madinina
|
| Posted: Mon Apr 24, 2006 1:02 pm Post subject: |
|
|
Salut,
Les nouvelles connexions (NEW) venant du WWW vers ton serveur doivent être dirigés vers un service et un port bien précis sinon c'est le moulin...
@+
_________________
Get Up and Go ! |
|
| Back to top |
|
|
Anthyme
Guru
Joined: 25 Jun 2004
Posts: 498
|
| Posted: Mon Apr 24, 2006 1:29 pm Post subject: |
|
|
hummm mais pour l'instant je n'ai aucun new venant du WAN ?? donc y a pas de trou normallement
En tout cas je laisse tombé la vmware pour le firewall je testerai sur un vrai pc dans quelques jours pasque c'est vraiment pas pratique ... en host to host je suis plus sur une bonne plage d'ip et en nat parrail donc j'ai des problemes pour le contacter ... :-/
a dans quelques jours peut etre ^^ |
|
| Back to top |
|
|
man in the hill
Veteran
Joined: 15 Dec 2005
Posts: 1552
Location: Madinina
|
| Posted: Mon Apr 24, 2006 2:48 pm Post subject: |
|
|
salut,
C'est la meilleur solution pour que les choses soient claires et limpides !
@ +
_________________
Get Up and Go ! |
|
| Back to top |
|
|
PabOu
Veteran
Joined: 11 Feb 2004
Posts: 1088
Location: Namur - Belgium
|
| Posted: Tue Apr 25, 2006 6:50 am Post subject: |
|
|
non, le vmware n'est pas si compliqué que ca, en bridge, c'est exactement comme si tu avais chaque PC client connecté sur le même switch/hub que ton vrai ordi (ou alors si t'es directement connecté à un modem/routeur adsl/wifi, c'est l'équivalent d'ajouter un switch et d'y connecter ce modem aussi). Après, il faut quelques notions de réseau pour comprendre comment se fait le routage d'un paquet IP.
| Code: |
chemin vers internet---(switch)------ton vrai pc
| \\
| ``=======ton "firewall" sous vmware (2 interfaces)
|
`--- éventuellement, un autre pc (vrai ou sous vmware) |
imaginons que ton "vrai" réseau (avec le chemin vers internet) ait le range d'ip 192.168.1.0/24, et que ton réseau privé (LAN) ait le range 192.168.2.0/24
Il faut donc attribuer une ip de chacun de ces réseaux à ton firewall. Disons 192.168.1.1 et 192.168.2.1 :)
Tes ordis, doivent tous avoir une adresse dans le range 192.168.2.0 et comme passerelle, l'ip du firewall (la .2.1)
et puis le firewall doit forwarder tout vers le "chemin vers internet" qui est peut-être lui même une passerelle (avec une ip dans le range .1.0)
C'est pas si compliqué que ca en fait, mais à cause de vmware, on ne se rend pas bien compte du schéma. C'est plein de confusion d'avoir 2 ranges d'ip sur le meme switch. Mais c'est (en utilisation, pas en audit), l'équivalent de ca :
| Code: |
internet--(switch réseau .1.0)--FW vmware--(switch réseau .2.0)-- ton vrai pc
\
`--- autre pc (vrai ou vmware) |
Voilà ! J'espère que c'est un réseau comme ceci que tu as concu ou alors tes problèmes sont normaux
_________________
Mangez du poulet ! |
|
| Back to top |
|
|
Anthyme
Guru
Joined: 25 Jun 2004
Posts: 498
|
| Posted: Wed Apr 26, 2006 3:47 pm Post subject: |
|
|
bon j'ai pas voullu me casser plus la tete ..., j'ai testé sur un pc physique et ca marche beaucoup mieu !!!
je pense que je vais proposer 2 possibilité de firewalling pour "la boite" : une proche de celle de man of the hill et une autre plus répréssive avec DNS/HTTP/FTP en gros !
merci beaucoup ! |
|
| Back to top |
|
|
|
French
