Petit problème avec IPTABLES

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Petit problème avec IPTABLES

redvivi

Bonjour à tous !

Je cherche à bloquer les adresses du type https://myip:3000/ et https://myip:3001/ "entrant" sur l'interface eth2, donc j'ai mis au point ces règles:

Code :

iptables -F
iptables -X
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A INPUT -i eth2 -j ACCEPT
iptables -A OUTPUT -o eth2 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -A FORWARD -i eth2 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth1 -o eth2 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --sport 53 -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth2 -p tcp --dport 3000 -j DROP
iptables -A INPUT -i eth2 -p tcp --dport 3001 -j DROP
iptables -A INPUT -p tcp --dport 2145 -i eth1 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 2145 -o eth1 -j ACCEPT
iptables -A INPUT -p icmp -m state --state RELATED -j ACCEPT
iptables -A INPUT -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -p udp --sport 123 -j ACCEPT

Mais ça ne fonctionne pas et je ne vois pas pourquoi ! ou est le problème ?

Merci d'avance !
RedVivi

Message cité 1 fois

Publicité

Zzozo

Modérateur
Un peu, passionément, à la fol

Sérieux, tu ne vois pas où est le problème ?

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle

RiderCrazy

Tu prends le problème à l'envers. Le plus simple et le plus sur quand tu configures un firewall, c'est de tout bloquer par défaut et de n'ouvrir que ce qui est pertinent (donc le strict minimum).

Message cité 1 fois

Zzozo

Modérateur
Un peu, passionément, à la fol

Ton firewall sert pas à grand chose avec les règles aux lignes 5 à 7, telles qu'elles sont écrites là

Tu lui dis en gros "Laisses passer tout"

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle

Zzozo

Modérateur
Un peu, passionément, à la fol

RiderCrazy a écrit :

Tu prends le problème à l'envers. Le plus simple et le plus sur quand tu configures un firewall, c'est de tout bloquer par défaut et de n'ouvrir que ce qui est pertinent (donc le strict minimum).

A priori, c'est qu'il voulait faire, il s'est juste trompé sur les lignes 5 à 7. Faut qu'il mette DROP au lieu de ACCEPT et ça ira mieux

Message cité 1 fois

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle

Zzozo

Modérateur
Un peu, passionément, à la fol

Elles viennent d'où ces règles ? faites à la main ou générées par un qconque outil/script ?

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle

_p1c0_

Zzozo a écrit :

A priori, c'est qu'il voulait faire, il s'est juste trompé sur les lignes 5 à 7. Faut qu'il mette DROP au lieu de ACCEPT et ça ira mieux

ou qu'il insère ses règles de DROP et non pas qu'il utilise -A...

---------------
-_- http://www.scienceshopping.com -_-

redvivi

J'ai mis accept pour des raisons de tests, les règles sont écrites à la main.

En fait je veux juste bloquer 2 ports sur l'interface eth2 sur laquelle tout est ouvert.

Message cité 1 fois
Message édité par redvivi le 20-08-2007 à 11:47:33

_p1c0_

redvivi a écrit :

J'ai mis accept pour des raisons de tests, les règles sont écrites à la main.

En fait je veux juste bloquer 2 ports sur l'interface eth2 sur laquelle tout est ouvert.

oui enfin la vraie facon de concevoir un pare feux, c'est de tout bloquer sauf ce qu'on veut laisser passer. Après, pour ton test, il faut que tu mettes des -I au lieu des -A sur tes règles qui DROP les ports visés...

---------------
-_- http://www.scienceshopping.com -_-

Zzozo

Modérateur
Un peu, passionément, à la fol

Tu risques pas de tester grand chose avec ces lignes là :

Citation :

#iptables -A INPUT -i eth2 -j ACCEPT
#iptables -A OUTPUT -o eth2 -j ACCEPT

Elles matchent tous les paquets qui rentrent ou sortent de eth2 avant toutes les autres ... Tu tenais vraiment à ce qu'ils passent tes paquets, parce qu'entre ça et la Policy par défaut à ACCEPT

Message cité 2 fois

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle

Publicité

redvivi

Ok merci ! Je suis d'accord avec toi pour la conception des pare-feu...mais c'est ce que j'ai fait pour l"interface eth1 (qui normalement se prends les policy DROP mais qui la sont sur ACCEPT), je considère en effet que eth0 (réseau de backup, eth2 (réseau local) sont sur, je n'ai fait que du filtrage sur eth1

Message édité par redvivi le 20-08-2007 à 11:56:12

redvivi

Zzozo a écrit :

Tu risques pas de tester grand chose avec ces lignes là :

Citation :

#iptables -A INPUT -i eth2 -j ACCEPT
#iptables -A OUTPUT -o eth2 -j ACCEPT

Elles matchent tous les paquets qui rentrent ou sortent de eth2 avant toutes les autres ... Tu tenais vraiment à ce qu'ils passent tes paquets, parce qu'entre ça et la Policy par défaut à ACCEPT

OOps! Ok merci !

Message cité 1 fois

_p1c0_

redvivi a écrit :

Code :

iptables -A INPUT -i eth2 -p tcp --dport 3000 -j DROP
iptables -A INPUT -i eth2 -p tcp --dport 3001 -j DROP

je vais peut etre etre insistant, mais avec un -I sur ces lignes, ca suffirait pour tester non ? meme si ca permet pas d'arriver à un "vrai" pare feux...

---------------
-_- http://www.scienceshopping.com -_-

memaster

ki a volé mon 62?

Zzozo a écrit :

Tu risques pas de tester grand chose avec ces lignes là :

Citation :

#iptables -A INPUT -i eth2 -j ACCEPT
#iptables -A OUTPUT -o eth2 -j ACCEPT

Elles matchent tous les paquets qui rentrent ou sortent de eth2 avant toutes les autres ... Tu tenais vraiment à ce qu'ils passent tes paquets, parce qu'entre ça et la Policy par défaut à ACCEPT

éventuellement, il faut mettre ça à la fin et en tout cas après tes 2 DROP.
iptables fait une lecture des regles de "haut en bas", s'il trouve un règle qui accept tout avant tes drop
ben c'est fini, il passe et ne matche rien :non:

Message cité 1 fois

---------------
ma conduite intérieure .:R | memaster pilote officiel de la HFR Badoit-Auchan F1 Team | zéro tracas, zéro blabla MMa.ster

Zzozo

Modérateur
Un peu, passionément, à la fol

redvivi a écrit :

OOps! Ok merci !

Honnêtement, tu ferais mieux de repartir de zéro pour faire un truc clean, mais en ayant surtout décidé et écrit sur une feuille de papier ce que tu dois faire (les ports/proto à filtrer/accepter, ceux à forwarder, etc ...)

Parce que là, ça fait un peu peur ton truc ...

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle

Zzozo

Modérateur
Un peu, passionément, à la fol

memaster a écrit :

Ici, il a même pas besoin de les mettre en fait, parce que si aucune règle matche, sa Policy est ACCEPT c'est plus radical encore

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle

redvivi

Code :

iptables -F
iptables -X
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A INPUT -i eth2 -j ACCEPT
iptables -A OUTPUT -o eth2 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -A FORWARD -i eth2 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth1 -o eth2 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --sport 53 -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I INPUT -i eth2 -p tcp --dport 3000 -j DROP
iptables -I INPUT -i eth2 -p tcp --dport 3001 -j DROP
iptables -A INPUT -p tcp --dport 2145 -i eth1 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 2145 -o eth1 -j ACCEPT
iptables -A INPUT -p icmp -m state --state RELATED -j ACCEPT
iptables -A INPUT -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -p udp --sport 123 -j ACCEPT

C'est mieux comme ça ?

Message édité par redvivi le 20-08-2007 à 13:34:10

redvivi

Remarque non vu que ça ne fonctionne pas...j'ai du louper quelquechose..

Taz

bisounours-codeur

genre c'est un peu en forward qu'il faut travailler.

redvivi

en forward ? non c'est un serveur qui tourne sur le port 3000 et 3001 du serveur donc je pense que ce serait sur INPUT non?

Taz

bisounours-codeur

bah on sait pas, on y comprends rien à ton serveur routeur et tes règles sans queue ni tête.

redvivi

Bon....je recommence tout...j'ai 2 processes tournants sur le sereur local sur le port 3000 et 3001, eth2 représente la connexion vers le réseau local, je veux juste ne pas pouvoir accéder aux ports de ses processes depuis le réseau local, autremet dit bloquer les ports 3000 et 3001 "sur" l'interface eth2 en traffic entrant, eth1 represente la connexion vers internet et eth0 un réseau privé (sans importance). Voici la config que j'ai actuellement:

Code :

iptables -F
iptables -X
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD ACCEPT
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A INPUT -i eth2 -j ACCEPT
iptables -A OUTPUT -o eth2 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -A FORWARD -i eth2 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth1 -o eth2 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --sport 53 -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I INPUT -i eth2 -p tcp --dport 3000 -j DROP
iptables -I INPUT -i eth2 -p tcp --dport 3001 -j DROP
iptables -A INPUT -p tcp --dport 2145 -i eth1 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 2145 -o eth1 -j ACCEPT
iptables -A INPUT -p icmp -m state --state RELATED -j ACCEPT
iptables -A INPUT -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -p udp --sport 123 -j ACCEPT

Taz

bisounours-codeur

bah tu reconfigures tes softs pour n'écouter que sur la bonne adresse ...

Message cité 1 fois

redvivi

Malheureusement je ne peux pas choisir sur quelle interface écouter (programme ntop).

Message cité 1 fois

redvivi

Là par contre j'ai trouvé quelquechose de curieux, j'ai remplacé (dans mon dernier copier coller de mon script)

Code :

iptables -A INPUT -i eth2 -j ACCEPT
iptables -A OUTPUT -o eth2 -j ACCEPT

par

Code :

iptables -A INPUT -i eth2 -j DROP
iptables -A OUTPUT -o eth2 -j DROP

j'ai enlevé

Code :

iptables -I INPUT -i eth2 -p tcp --dport 3000 -j DROP
iptables -I INPUT -i eth2 -p tcp --dport 3001 -j DROP

et j'arrive à me connecter sur les ports 3000 et 3001 !

Message édité par redvivi le 20-08-2007 à 15:17:06

Taz

bisounours-codeur

redvivi a écrit :

Malheureusement je ne peux pas choisir sur quelle interface écouter (programme ntop).

oh que si. RTFM.

redvivi

Voici tout ce que j'au trouvé dans man ntop:

Code :

-i --interface Specifies the network interface or interfaces to be used by ntop for network monitoring.

Il n'y a rien d'autres visiblement sur l"interface d'écoute du serveur http.

Taz

bisounours-codeur

Taz a écrit :

bah tu reconfigures tes softs pour n'écouter que sur la bonne adresse ...

[:quoted]

redvivi

Je veux bien mais avec ntop ce n'est point possible...On trouve juste l'interface de monitoring (capture réseau) mais pas l'interface d'écoute du serveur http

Message cité 1 fois

redvivi

Problème résolu, j'ai mis toutes les policies sur DROP et , j'ai mis le INPUT OUTPUT sur eth2 en ACCEPT et j'ai bloqué les ports à l'aide de:

Code :

iptables -I INPUT -i eth2 -p tcp --dport 3000 -j DROP
iptables -I INPUT -i eth2 -p tcp --dport 3001 -j DROP

Taz

bisounours-codeur

redvivi a écrit :

Je veux bien mais avec ntop ce n'est point possible...On trouve juste l'interface de monitoring (capture réseau) mais pas l'interface d'écoute du serveur http

man si, seulement faudrait avoir la force de RTFM

Publicité

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

Petit problème avec IPTABLES

Sujets relatifs
Probleme installation Nvidia driver	[OPEN VPN et WRT54GL] Problème de connection
amsn + gcc-4.2.0 = problème ?	[iptables] permettre une rapide connexion a Skype ?
probleme avec les podcast video ?	Problème de connexion avec root en ssh
Problème de téléchargement Ubuntu Studio	Probleme connection ipod video 80g 5eme generation
probleme de modem	Probleme Samba impossible copie fichier
Plus de sujets relatifs à : Petit problème avec IPTABLES

Page générée en 0.118 secondes