| View previous topic :: View next topic |
| Author |
Message |
kangal
Guru
Joined: 25 Jun 2005
Posts: 362
Location: Paris
|
 Posted: Sat Sep 03, 2005 9:31 am Post subject: [ip forwarding] |
 |
|
Bonjour a tous!!!
Je me suis fait une petite gateway avec une machine dediee a la gestion de mon adsl, de mon firewall, iptable etc...
Voici comment c'est fait:
freebox-----eth0 de ma gateway (dhcp)
eh1 de ma gateway (192.168.0.10/255.225.255.0) ----switch 4 ports (192.168.0.1)-----monpc (192.168.0.2 avec comme gateway 192.168.0.10)
Lorsque j'en reste la, je suis connecter au net avec ma gateway, je peux donc pinger google, me ssh sur mon pc, de mon pc, je peux pinguer ma freebox, je peux me ssh sur ma gateway, mais je ne peux pas pinger google... Il me semble que c'est normal a ce niveau la vu que rien n'est encore active...
Un de mes amis m'a dit d'executer ce script:
| Code: |
###Potection ANTI - Spoofing
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]; then
echo -n "Setting up IP spoofing protection..."
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
echo 1 > $f
done
echo "done."
else
echo PROBLEMS SETTING UP IP SPOOFING PROTECTION. BE WORRIED.
fi
## On met tout down par default
iptables -F
iptables -N LOGDROP
iptables -A LOGDROP -j LOG
iptables -A LOGDROP -j DROP
##creation firewall et des regles d'iptables
iptables -N firewall
iptables -A firewall -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A firewall -m state --state NEW -s 192.168.0.0/24 -d 0.0.0.0/0 -j ACCEPT
iptables -A firewall -m state --state NEW -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
iptables -A firewall -m state --state NEW -s 127.0.0.1 -d 192.168.0.2 -j ACCEPT
##iptables -A firewall -m state --state NEW -i eth1 -s 0.0.0.0/0 -p tcp --dport 2200 -j ACCEPT
iptables -A firewall -m state --state NEW -i eth1 -s 0.0.0.0/0 -p tcp --dport 22 -j ACCEPT
iptables -A firewall -j DROP
iptables -A firewall -j LOGDROP ###AU cas ou tu veuilles logguer les drop
iptables -A INPUT -j firewall
iptables -A FORWARD -j firewall
iptables -t nat -A POSTROUTING -j MASQUERADE -s 192.168.0.0/24 -d 0.0.0.0/0
echo "activation ip forwarding...."
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#rfuse source routed packets
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
#prot synflood
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo "ajout passerelle par defaut..."
route add default dev eth1
echo "redemarrage de l'interface ext..."
ifdown eth1
ifup eth1
|
Selon lui ca aurait du creer les regle primaire d'iptable et de nat qui auraient du me permettre d'acceder au net depuis mon pc... Je ne connais pas encore tres bien le nat et les iptables, alors si quelqu'un peut me souffler la solution 
bon week end!
_________________
SNK 4 Ever |
|
| Back to top |
|
 |
El_Goretto
Moderator
Joined: 29 May 2004
Posts: 3174
Location: Paris
|
| Posted: Sat Sep 03, 2005 9:44 am Post subject: |
|
|
Grand classique: essaie de pinger google.fr en tappant directement sur son IP, si çà marche alors copie le /etc/resolv.conf de ta passerelle sur ton PC.
Secundo: si tu n'es pas un mordu d'iptables en ligne de commande, que tu as quand même les connaissances de base en firewalling et réseau, passe par fwbuilder pour configurer ta passerelle. Ca marche très bien, l'élaboration d'un ensemble de règles très fines est possible (donc garante d'une meilleur sécurité).
_________________
-TrueNAS & jails: µ-serv Gen8 E3-1260L, 16Go ECC + µ-serv N40L, 10Go ECC
-Réseau: APU2C4 (OpenWRT) + GS726Tv3 + 2x GS108Tv2 + Archer C5v1 (OpenWRT) |
|
| Back to top |
|
|
kangal
Guru
Joined: 25 Jun 2005
Posts: 362
Location: Paris
|
| Posted: Sat Sep 03, 2005 9:52 am Post subject: |
|
|
merci de ton aide, malheureusement ca n'as pas fonctionner...Je precise que ma gateway est sous fedeora meme si je ne pense pas que ca change quelque chose...
pour fwbuilder, je connais, mais je souhaite precisement m'ameliorer en iptables 
Si tu a une autre idee, je suis preneur
_________________
SNK 4 Ever |
|
| Back to top |
|
|
El_Goretto
Moderator
Joined: 29 May 2004
Posts: 3174
Location: Paris
|
| Posted: Sat Sep 03, 2005 10:12 am Post subject: |
|
|
Donc c'est un problème pour sortir de ton LAN. T'as bien configuré la passerelle sur ton PC (gentoo lui?)? T'as sniffé les pings qui sont censés sortir de ta passerelle vers le WAN? Si ca sort bien, est-ce la réponse passe bien sur le ien LAN? etc.
Bref, savoir où çà bloque.
_________________
-TrueNAS & jails: µ-serv Gen8 E3-1260L, 16Go ECC + µ-serv N40L, 10Go ECC
-Réseau: APU2C4 (OpenWRT) + GS726Tv3 + 2x GS108Tv2 + Archer C5v1 (OpenWRT) |
|
| Back to top |
|
|
kangal
Guru
Joined: 25 Jun 2005
Posts: 362
Location: Paris
|
| Posted: Sat Sep 03, 2005 10:18 am Post subject: |
|
|
ouai, la gateway est bien faite normalement, par contre je vois pas ce que tu veux que je fasse pour sniffer les paquets qui sont cense sortir de ma gateway vers le lan...
en gros tout marche sauf l'acces au lan par mon pc... 
_________________
SNK 4 Ever |
|
| Back to top |
|
|
El_Goretto
Moderator
Joined: 29 May 2004
Posts: 3174
Location: Paris
|
| Posted: Sat Sep 03, 2005 10:55 am Post subject: |
|
|
Reprend mon dernier message en parlant d'un ping émis par ton PC vers google.fr: il passe sur ton LAN, franchit la passerelle vers le WAN, la réponse revient, etc...
Sinon, tu mélanges les liens LAN (entre la passerelle et le PC) et WAN (passerelle côté freebox) ou bien j'ai compris ton problème de travers?
(note: désactive iptable sur ton PC le temps de faire des tests, histoire que tes vieux réglages ne viennent pas mettre la zone).
_________________
-TrueNAS & jails: µ-serv Gen8 E3-1260L, 16Go ECC + µ-serv N40L, 10Go ECC
-Réseau: APU2C4 (OpenWRT) + GS726Tv3 + 2x GS108Tv2 + Archer C5v1 (OpenWRT) |
|
| Back to top |
|
|
kangal
Guru
Joined: 25 Jun 2005
Posts: 362
Location: Paris
|
| Posted: Sat Sep 03, 2005 1:49 pm Post subject: |
|
|
Alors je recapitule:
quand je ping google, depuis mon pc, j'ai l'impression qu'il n'emet aucun paquet, il n'arrive pas a passer par le lan vers le wan, donc bien evidement je n'ai aucune reponse... par contre je peux me ssh depuis n'importe ou vers ma gateway et ensuite me logguer vers mon pc en lan ...
J'espere que je m'exprime bien
_________________
SNK 4 Ever |
|
| Back to top |
|
|
Ey
l33t
Joined: 07 Apr 2005
Posts: 863
Location: Paris
|
| Posted: Sat Sep 03, 2005 3:16 pm Post subject: Re: [ip forwarding] |
|
|
| kangal wrote: | Bonjour a tous!!!
| Code: |
echo "ajout passerelle par defaut..."
route add default dev eth1
echo "redemarrage de l'interface ext..."
ifdown eth1
ifup eth1
|
Selon lui ca aurait du creer les regle primaire d'iptable et de nat qui auraient du me permettre d'acceder au net depuis mon pc... Je ne connais pas encore tres bien le nat et les iptables, alors si quelqu'un peut me souffler la solution
|
Sauf que ton copain n'a pas la même configuration que toi. Son WAN est sur eth1 donc soit tu vires ces lignes qui ne servent de toute façon à rien, soit tu mets eth0 à la place de eth1. |
|
| Back to top |
|
|
kangal
Guru
Joined: 25 Jun 2005
Posts: 362
Location: Paris
|
| Posted: Sat Sep 03, 2005 4:45 pm Post subject: |
|
|
lol, je suis un ane, j'ai adapte tout le scripts a pars ces lignes la
g donc limiter le script a ca:
| Code: | iptables -t nat -A POSTROUTING -j MASQUERADE -s 192.168.0.0/24 -d 0.0.0.0/0
echo "activation ip forwarding...."
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#rfuse source routed packets
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
#prot synflood
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo "ajout passerelle par defaut..."
route add default dev eth0
echo "redemarrage de l'interface ext..."
ifdown eth0
ifup eth0
|
maintenant je peux pinguer n'importe quoi depuis mon pc, mais pas contre, je ne peux pas surfer, comme si le nat n'etait fais que dans un sens...
en tout cas merci beaucoup 
_________________
SNK 4 Ever |
|
| Back to top |
|
|
kangal
Guru
Joined: 25 Jun 2005
Posts: 362
Location: Paris
|
| Posted: Sat Sep 03, 2005 9:54 pm Post subject: |
|
|
edit: Ca marche maintenant, je peux surfer,mais mon debit en prend un coup considerable... j'affiche des pages en une eternite et msn ne se connecte plus...
J'utilise ce script, est ce que ca peux expliquer les lenteurs et le fait que msn ne fonctionne plus??
| Code: |
iptables -t nat -A POSTROUTING -j MASQUERADE -s 192.168.0.0/24 -d 0.0.0.0/0
echo "activation ip forwarding...."
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#rfuse source routed packets
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
#prot synflood
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo "ajout passerelle par defaut..."
route add default dev eth0
echo "redemarrage de l'interface ext..."
ifdown eth0
ifup eth0
|
_________________
SNK 4 Ever |
|
| Back to top |
|
|
fabienZ
n00b
Joined: 12 Oct 2004
Posts: 34
Location: France
|
| Posted: Sun Sep 04, 2005 5:26 am Post subject: petits trucs |
|
|
Salut,
déjà, tout les "echo [10] > /etc/bla/foo/bar/", pour faire propre, ça se configure dans /etc/sysctl.conf 
Ajoute ça au tout début de ton script :
| Code: |
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
|
ça nettoies tes tables avant chaque execution.
ensuite, vu que tu as fait le ménage dans le script, il manque ça:
| Code: | | iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT |
si tu as toujours des problémes de lenteur excessives, logue ce qui est rejeté par iptables en rajoutant à la fin de tes régles :
| Code: |
iptables -A FORWARD -i eth0 -j LOG --log-prefix "iptables a bloque ca :"
|
et ensuites tu auras dans /var/log/messages ce qu'iptbles a rejeté/droppé.
Sinon, si tu veux te mettre à la config d'iptables, je te file un lien vers une doc sublime, que je recommande toujours quand j'en ai l'occasion:
http://www.linux-france.org/prj/inetdoc/guides/packet-filtering-HOWTO/ |
|
| Back to top |
|
|
kangal
Guru
Joined: 25 Jun 2005
Posts: 362
Location: Paris
|
| Posted: Sun Sep 04, 2005 8:09 am Post subject: |
|
|
Merci beaucoup zouzou!!! Je vais lire ta doc avec attention!!
Alors j'ai rajouter tes lignes a mon scripts, et je peux maintenant me connecter a msn, mais par contre, la vitesse d'affichage des pages reste tres proche d'un 56k...  Et pour l'instant je n'ai aucun log...
Je viens de me rendre compte que ma carte eth0 etait en 10Mps, mais je pense pas que ce soit la cause de mon probleme... 
_________________
SNK 4 Ever |
|
| Back to top |
|
|
fabienZ
n00b
Joined: 12 Oct 2004
Posts: 34
Location: France
|
| Posted: Sun Sep 04, 2005 1:42 pm Post subject: |
|
|
bon je suis vraiment à côté de la plaque moi aujourd'hui, c'est tout à fait normal que tu ne logue rien, vu que tu ne filtre rien...
Ton probléme de lenteur d'affichage des pages web doit venir d'autre chose qu'iptables à priori, mais je ne saurais te dire quoi au juste.
Essaies de regarder tes logs pour voir s'il y a quelque chose d'anormal ou de telecharger un fichier sur un site qui débite bien.
bon courage |
|
| Back to top |
|
|
kangal
Guru
Joined: 25 Jun 2005
Posts: 362
Location: Paris
|
| Posted: Sun Sep 04, 2005 2:22 pm Post subject: |
|
|
Bon, je suis allez Dl un iso de fedora, j'etais a 450 ko/sec... Donc je pense pas que ce soit un probleme hardware, mais plutot de conf...et j'up tres bien aussi...
Un autre detail troublant: quand je ping google via son adresse ip, j'ai des temps de reponses correcte et le "rapport" du paquets apparait instantannement, alors que si je le ping comme ca: ping google.fr , les temps de reponses sont aussi bon, mais par contre, il ne m'affiche les lignes de ping que tres rarement, pour mieux m'illustrer, voici un exemple ou j'ai laisser pinger google pendant une vingtaine de seconde:
| Code: |
kangal:~ >> ping google.fr
PING google.fr (216.239.59.104) 56(84) bytes of data.
64 bytes from 216.239.59.104: icmp_seq=1 ttl=244 time=340 ms
64 bytes from 216.239.59.104: icmp_seq=2 ttl=244 time=452 ms
64 bytes from 216.239.59.104: icmp_seq=3 ttl=244 time=519 ms
--- google.fr ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 11665ms
rtt min/avg/max/mdev = 340.413/437.601/519.437/73.888 ms
kangal:~ >> ping 216.239.57.104
PING 216.239.57.104 (216.239.57.104) 56(84) bytes of data.
64 bytes from 216.239.57.104: icmp_seq=1 ttl=239 time=624 ms
64 bytes from 216.239.57.104: icmp_seq=2 ttl=239 time=652 ms
64 bytes from 216.239.57.104: icmp_seq=3 ttl=239 time=647 ms
64 bytes from 216.239.57.104: icmp_seq=4 ttl=239 time=659 ms
64 bytes from 216.239.57.104: icmp_seq=5 ttl=239 time=654 ms
64 bytes from 216.239.57.104: icmp_seq=6 ttl=239 time=664 ms
64 bytes from 216.239.57.104: icmp_seq=7 ttl=239 time=675 ms
64 bytes from 216.239.57.104: icmp_seq=8 ttl=239 time=670 ms
64 bytes from 216.239.57.104: icmp_seq=9 ttl=239 time=682 ms
64 bytes from 216.239.57.104: icmp_seq=10 ttl=239 time=693 ms
64 bytes from 216.239.57.104: icmp_seq=11 ttl=239 time=688 ms
64 bytes from 216.239.57.104: icmp_seq=14 ttl=239 time=697 ms
64 bytes from 216.239.57.104: icmp_seq=15 ttl=239 time=447 ms
64 bytes from 216.239.57.104: icmp_seq=16 ttl=239 time=368 ms
64 bytes from 216.239.57.104: icmp_seq=17 ttl=239 time=593 ms
64 bytes from 216.239.57.104: icmp_seq=18 ttl=239 time=591 ms
64 bytes from 216.239.57.104: icmp_seq=19 ttl=239 time=611 ms
64 bytes from 216.239.57.104: icmp_seq=20 ttl=239 time=606 ms
--- 216.239.57.104 ping statistics ---
20 packets transmitted, 18 received, 10% packet loss, time 19022ms
rtt min/avg/max/mdev = 368.308/624.024/697.657/83.913 ms
kangal:~ >>
|
C'est super bizare non???Je ne trouve pas d'explication...
Et j'ai egallement essayer de brancher un portable sous windobe sur mon switch (voir schema du premier post ), je lui ait donner comme ip 192.168.0.3 avec comme masque 255.255.255.0 et comme gateway 192.168.0.10, mais il ne veut rien savoir, je n'ai pas du tout acces au net...
Merci du coup de main
_________________
SNK 4 Ever |
|
| Back to top |
|
|
fabienZ
n00b
Joined: 12 Oct 2004
Posts: 34
Location: France
|
| Posted: Sun Sep 04, 2005 4:01 pm Post subject: |
|
|
| fabienZ wrote: | bon je suis vraiment à côté de la plaque moi aujourd'hui, c'est tout à fait normal que tu ne logue rien, vu que tu ne filtre rien...
|
...c'est archi-faux ce que je dis #@$! ...en fait, tu devrais loguer tout ce qui n'est pas déjà pris en compte par une des régles précédente de la table. Donc ma régle est totalement inutile!
sinon ton ping est extrémement mauvais. De plus, tu as manifestement un probléme de DNS.
Pourquoi ne pas essayer de suivre cette doc ? http://www.gentoo.org/doc/fr/home-router-howto.xml |
|
| Back to top |
|
|
|
French
