| View previous topic :: View next topic |
| Author |
Message |
floc_12
Apprentice
Joined: 28 Jun 2006
Posts: 191
|
 Posted: Mon Dec 31, 2007 12:35 am Post subject: [Xen] Dom0 + wifi + iptables |
 |
|
Bonjour,
J'essaye de mettre en place un firewall depuis un bon moments, mais je rame.
Ma machine fonctionne sous un noyau xen en mode bridge sur mon interface eth0. Sur ce dom0, j'ai aussi une carte wifi connecté a ma livebox (ath0). Je souhaiterais monter mon Dom0 en tand que passerelle afin que mes domU ait acces au net.
J'ai essayé plusieurs méthodes, notamment une avec les ebtables, mais qui ne fonctionne pas. (apparemment, il est impossible de "partager" ma carte wifi avec mes machines virtuelles).
Voici mon script iptables (inspriré de mon ancienne passerelle qui fonctionnait correctement):
| Quote: |
#!/bin/sh
# Firewall Iptables
INTERNET="ath0"
LOCAL="eth0"
DMZ="xenbr0"
# REMISE à ZERO des règles de filtrage
iptables -F
iptables -t nat -F
# On drop tout par defaut, on libere au fur et a mesure
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i $LOCAL -j ACCEPT
iptables -A INPUT -i $DMZ -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o $INTERNET -j MASQUERADE
iptables -A FORWARD -i $LOCAL -o $INTERNET -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i $DMZ -o $INTERNET -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS -o $INTERNET --clamp-mss-to-pmtu
iptables -A INPUT -j DROP
|
Mais cela ne change rien du tout.
Pourriez vous m'aider svp ? Quelqu'un a t'il déja fais ceci ?
Merci
PS : un ifconfig :
| Quote: |
ath0 Link encap:Ethernet HWaddr 00:1B:2F:C0:DD:64
inet addr:192.168.1.69 Bcast:192.168.1.255 Mask:255.255.255.0
inet6 addr: fe80::21b:2fff:fec0:dd64/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:3665 errors:0 dropped:0 overruns:0 frame:0
TX packets:3704 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:159510 (155.7 Kb) TX bytes:353922 (345.6 Kb)
eth0 Link encap:Ethernet HWaddr 00:10:DC:F0:40:05
inet addr:192.168.0.67 Bcast:192.168.0.255 Mask:255.255.255.0
inet6 addr: fe80::210:dcff:fef0:4005/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:9114 errors:0 dropped:0 overruns:0 frame:0
TX packets:3567 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:1588738 (1.5 Mb) TX bytes:322794 (315.2 Kb)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:4 errors:0 dropped:0 overruns:0 frame:0
TX packets:4 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:336 (336.0 b) TX bytes:336 (336.0 b)
peth0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF
inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link
UP BROADCAST RUNNING NOARP MTU:1500 Metric:1
RX packets:407907 errors:0 dropped:14 overruns:0 frame:0
TX packets:4578 errors:0 dropped:0 overruns:0 carrier:0
collisions:279 txqueuelen:1000
RX bytes:156299548 (149.0 Mb) TX bytes:418523 (408.7 Kb)
Interrupt:17 Base address:0x2e00
vif0.0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF
inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link
UP BROADCAST RUNNING NOARP MTU:1500 Metric:1
RX packets:3590 errors:0 dropped:0 overruns:0 frame:0
TX packets:9134 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:326388 (318.7 Kb) TX bytes:1590598 (1.5 Mb)
vif1.0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF
inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link
UP BROADCAST RUNNING NOARP MTU:1500 Metric:1
RX packets:4732 errors:0 dropped:0 overruns:0 frame:0
TX packets:1067 errors:0 dropped:1829 overruns:0 carrier:0
collisions:0 txqueuelen:32
RX bytes:377925 (369.0 Kb) TX bytes:120153 (117.3 Kb)
vif1.1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF
inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link
UP BROADCAST RUNNING NOARP MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:1 errors:0 dropped:5 overruns:0 carrier:0
collisions:0 txqueuelen:32
RX bytes:0 (0.0 b) TX bytes:70 (70.0 b)
vif2.0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF
inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link
UP BROADCAST RUNNING NOARP MTU:1500 Metric:1
RX packets:28 errors:0 dropped:0 overruns:0 frame:0
TX packets:243 errors:0 dropped:1813 overruns:0 carrier:0
collisions:0 txqueuelen:32
RX bytes:1679 (1.6 Kb) TX bytes:44808 (43.7 Kb)
vif3.0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF
inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link
UP BROADCAST RUNNING NOARP MTU:1500 Metric:1
RX packets:77 errors:0 dropped:0 overruns:0 frame:0
TX packets:162 errors:0 dropped:1612 overruns:0 carrier:0
collisions:0 txqueuelen:32
RX bytes:10637 (10.3 Kb) TX bytes:30850 (30.1 Kb)
wifi0 Link encap:UNSPEC HWaddr 00-1B-2F-C0-DD-64-D0-E7-00-00-00-00-00-00-00-00
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:53432 errors:0 dropped:0 overruns:0 frame:48091
TX packets:4375 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:199
RX bytes:5703851 (5.4 Mb) TX bytes:510445 (498.4 Kb)
Interrupt:18
xenbr0 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF
inet addr:192.168.0.65 Bcast:192.168.0.255 Mask:255.255.255.0
inet6 addr: fe80::fcff:ffff:feff:ffff/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:196 errors:0 dropped:0 overruns:0 frame:0
TX packets:6 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:21668 (21.1 Kb) TX bytes:468 (468.0 b)
xenbr1 Link encap:Ethernet HWaddr FE:FF:FF:FF:FF:FF
inet6 addr: fe80::200:ff:fe00:0/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:6 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:0 (0.0 b) TX bytes:468 (468.0 b) |
|
|
| Back to top |
|
 |
anigel
Bodhisattva
Joined: 14 Apr 2003
Posts: 1894
Location: Un petit bled pas loin de Limoges ;-)
|
| Posted: Mon Dec 31, 2007 4:00 pm Post subject: |
|
|
Bonjour,
Tu rencontre 2 soucis différents. D'abord tu veux bridger une interface wifi (là à priori pas de soucis) en la gérant avec iptables (1er problème : iptables et Xen c'est pas forcément trivial). Ensuite tu veux utiliser le tout avec une LiveBox, qui fait un double filtrage MAC / WPA pour toute connexion sans-fil. bref, y'a du boulot.
Tu as plusieurs solutions : renoncer au bridging et NATer ton interface wifi pour tes domU (dans ce cas rien à faire sur la Livebox : si le dom0 a le net, les autres aussi ; par contre tu vas devoir configurer iptables correctement). Ou alors seconde solution : bridger ton interface wifi comme tu le fais actuellement, sans t'occuper d'iptables, mais en autorisant chaque interface virtuelle à se connecter sur la LB.
Bon courage dans tous les cas  !
_________________
Il y a 10 sortes d'individus en ce bas-monde : ceux qui causent binaire, et les autres. |
|
| Back to top |
|
|
floc_12
Apprentice
Joined: 28 Jun 2006
Posts: 191
|
| Posted: Tue Jan 01, 2008 6:12 pm Post subject: |
|
|
au moins tu as bien (meme tres bien) cerner et résumé mon probleme.
| Quote: | | renoncer au bridging et NATer ton interface wifi pour tes domU (dans ce cas rien à faire sur la Livebox : si le dom0 a le net, les autres aussi ; par contre tu vas devoir configurer iptables correctement) |
Et je pense que cette solution serait la plus simple et la plus résonnable pour debuter (d'autant plus que c'est "plus ou moins" la meme archi que j'avais précédemment sur mon serveur (1 interface wlan0 et 1 pont reliant mon interface eth0 et mon interface tap0 de openvpn).
Mais bon, je ne comprends pas trop pourquoi rien ne marche.
Et au fait, je ne bridge pas mon interface wifi actuellement ! Qu'est ce qu'il te fais dire ca?
M'enfin, merci de ton résumé, je vais my repencher.
Ced |
|
| Back to top |
|
|
floc_12
Apprentice
Joined: 28 Jun 2006
Posts: 191
|
| Posted: Wed Jan 02, 2008 11:15 pm Post subject: |
|
|
Salut,
bon, j'ai reussi a partagé ma connexion en changeant legerement de script et en bidouillant au niveau de mon bridge.
| Quote: |
localhost myscripts # iptables -L -vn
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
484 36558 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
47 5644 ACCEPT all -- xenbr0 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 0
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 3
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 4
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 11
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 12
1 40 LOG_DROP all -- * * 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
1807 212K ACCEPT all -- xenbr0 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- xenbr0 ath0 0.0.0.0/0 0.0.0.0/0 state NEW,RELATED,ESTABLISHED
1466 951K ACCEPT all -- ath0 xenbr0 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED
0 0 ACCEPT all -- xenbr0 ath0 0.0.0.0/0 0.0.0.0/0 ctstate NEW
29 1424 ACCEPT tcp -- ath0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4662 ctstate NEW
0 0 ACCEPT udp -- ath0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:4672 ctstate NEW
0 0 ACCEPT tcp -- ath0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:4661 ctstate NEW
0 0 ACCEPT udp -- ath0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:4665 ctstate NEW
0 0 ACCEPT udp -- ath0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:4242 ctstate NEW
0 0 ACCEPT tcp -- ath0 * 0.0.0.0/0 0.0.0.0/0 tcp dpts:6881:6889 ctstate NEW
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x04 limit: avg 1/sec burst 5
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 8 limit: avg 1/sec burst 5
0 0 LOG_DROP all -- * * 0.0.0.0/0 0.0.0.0/0
Chain OUTPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
360 57608 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT all -- * lo 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- * xenbr0 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0
12 712 LOG_DROP all -- * * 0.0.0.0/0 0.0.0.0/0
Chain LOG_DROP (3 references)
pkts bytes target prot opt in out source destination
13 752 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 LOG flags 0 level 7 prefix `[DIVERS REFUSE] : '
13 752 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 |
Cependant, j'ai un autre probleme. Mon firewall fonctionne correctement pour mes machines physiques, mais mes domU n'ont pas de resolution de nom. Leurs resolv.conf sont bien rempli pourtant avec l'adresse ip de ma livebox, je reussi à pinguer le 12.27.48.10 par exemple, mais pas free.fr.
Est ce normal ? y a t'il un fichier a renseigné dans la conf de xen, ou dois je mettre un dns sur mon dom0 ?
Merci |
|
| Back to top |
|
|
floc_12
Apprentice
Joined: 28 Jun 2006
Posts: 191
|
| Posted: Sun Jan 06, 2008 5:36 pm Post subject: |
|
|
Bonjour,
Je reviens vers vous encore pour mes petits problemes de réseau.
Don en ce qui concerne la résolution de nom (cf message precedents), j'ai installé un serveur dns sur mon dom0 qui fonctionne nikel.
Cependant, je me suis rendu compte que aucun traffic ne passait pour mes domU. Ces derniers n'accèdent pas au net via lynx, apt ou emerge ne fonctionne pas, etc.... seul l'icmp passe. Mes machines exterieures quand a elles fonctionnent parfaitement. Je presume donc que le forward ou nat vers mes domU est "boiteux" !!!
Mon xen est en mode bridge (j'ai teste routeur ou nat, c'est pareil).
Voici mon script iptables :
| Quote: | ####################################################################################################
#################################### Définition des interfaces #####################################
####################################################################################################
INTERNET="ath0"
LOCAL="xenbr0"
####################################################################################################
#################################### MISE A ZERO DES TABLES ########################################
####################################################################################################
#******************
# Mise a zero **
#******************
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
iptables -t nat -X
iptables -t nat -Z
echo - Vidage : [OK]
#**********************
# Regles par default **
#**********************
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
echo - DROP IOF : [OK]
#*************************************
# Connexion etablies et en relation **
#*************************************
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#**************
# Regles Nat **
#**************
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
echo - Accept Nat : [OK]
####################################################################################################
#################################### REGLE LOCALHOST l0 ############################################
####################################################################################################
#**********************
# Regles par default **
#**********************
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
echo - Accept lo : [OK]
##############################################################################################################
####################################### REGLE DES CLIENTS LAN eth0 ###########################################
#### Rezo 192.168.0.0 Netmask 255.255.255.0 Adr 192.168.0.1 / 192.168.0.254 Broadcast 192.168.0.255 #######
##############################################################################################################
#**********************
# Regles par default **
#**********************
iptables -A INPUT -i $LOCAL -j ACCEPT
iptables -A OUTPUT -o $LOCAL -j ACCEPT
iptables -A FORWARD -i $LOCAL -j ACCEPT
echo - Accept $LOCAL : [OK]
#**************
# Regles Nat **
#**************
iptables -A FORWARD -i xenbr0 -o xenbr0 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.0.0/255.255.255.0 -o $INTERNET -j MASQUERADE
iptables -A FORWARD -i $LOCAL -o $INTERNET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i $INTERNET -o $LOCAL -m state --state ESTABLISHED,RELATED -j ACCEPT
echo - Accept Nat $LOCAL : [OK]
############################################################################################################
#################################### REGLE DES CLIENTS wlan0 ###############################################
############################################################################################################
#**************
# Regles ssh **
#**************
iptables -A INPUT -p tcp --dport ssh -i $INTERNET -j ACCEPT
iptables -A OUTPUT -p tcp --sport ssh -o $INTERNET -j ACCEPT
echo - Accept ssh : [OK]
#***************
# rsync **
#***************
iptables -A INPUT -p tcp --dport 873 -i $INTERNET -j ACCEPT
iptables -A OUTPUT -p tcp --sport 873 -o $INTERNET -j ACCEPT
echo - Accept rsync : [OK]
#***************
# DNS Local **
#***************
iptables -A OUTPUT -o $INTERNET -p udp --dport 53 -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i $INTERNET -p udp --sport 53 -m state --state RELATED,ESTABLISHED -j ACCEPT
echo - Accept dns : [OK]
#****************
# Regles emule **
#****************
iptables -t nat -A POSTROUTING -o $INTERNET -j SNAT --to-source 192.168.1.69
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i $LOCAL -o $INTERNET -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i $INTERNET -p tcp --dport 4662 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i $INTERNET -p udp --dport 4672 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i $INTERNET -p tcp --dport 4661 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -i $INTERNET -p udp --dport 4665 -m conntrack --ctstate NEW -j ACCEPT
sysctl -w net.ipv4.ip_forward=1
iptables -A PREROUTING -t nat -d 192.168.1.69 -p udp --dport 4672 -j DNAT --to-destination 192.168.0.15
iptables -A PREROUTING -t nat -d 192.168.1.69 -p tcp --dport 4662 -j DNAT --to-destination 192.168.0.15
iptables -A PREROUTING -t nat -d 192.168.1.69 -p udp --dport 4665 -j DNAT --to-destination 192.168.0.15
iptables -A PREROUTING -t nat -d 192.168.1.69 -p tcp --dport 4661 -j DNAT --to-destination 192.168.0.15
echo - Accept emule for $INTERNET : [OK]
iptables -A FORWARD -i $INTERNET -p udp --dport 4242 -m conntrack --ctstate NEW -j ACCEPT
iptables -A PREROUTING -t nat -d 192.168.1.69 -p udp --dport 4242 -j DNAT --to-destination 192.168.0.15
#******************
# Regles torrent **
#******************
iptables -A FORWARD -i $INTERNET -p tcp --dport 6881:6889 -m conntrack --ctstate NEW -j ACCEPT
iptables -A PREROUTING -t nat -d 192.168.1.69 -p tcp --dport 6881:6889 -j DNAT --to-destination 192.168.0.15
echo - Accept torrent for $INTERNET : [OK]
####################################################################################################
#################################### REGLE DES PING & NMAP #########################################
####################################################################################################
#***************
# Regles icmp **
#***************
iptables -A OUTPUT -p icmp -j ACCEPT
iptables -A INPUT -p icmp -m state --state RELATED -j ACCEPT
iptables -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
iptables -A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
iptables -A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT
iptables -A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
iptables -A INPUT -p icmp -m icmp --icmp-type 12 -j ACCEPT
echo - Accept icmp : [OK]
#******************
# AntiScanPort **
#******************
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
echo - Limit antiscanport : [OK]
#******************
# AntiPingDead **
#******************
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
echo - Accept antipingdead : [OK]
####################################################################################################
###################################### REDIRECTION DES LOGS ########################################
####################################################################################################
#*********
# Log **
#*********
iptables -N LOG_DROP
iptables -A LOG_DROP -j LOG --log-level 7 --log-prefix '[DIVERS REFUSE] : '
iptables -A LOG_DROP -j DROP
iptables -A FORWARD -j LOG_DROP
iptables -A INPUT -j LOG_DROP
iptables -A OUTPUT -j LOG_DROP
echo - Accept Log : [OK]
|
Merci
cc |
|
| Back to top |
|
|
floc_12
Apprentice
Joined: 28 Jun 2006
Posts: 191
|
| Posted: Wed Jan 09, 2008 9:55 pm Post subject: |
|
|
personne n'a jamais eut ce probleme  Je bloque completement la ! |
|
| Back to top |
|
|
|
|
You cannot post new topics in this forum
You cannot reply to topics in this forum
You cannot edit your posts in this forum
You cannot delete your posts in this forum
You cannot vote in polls in this forum
|
|
French
