Forum |  HardWare.fr | News | Articles | PC | S'identifier | S'inscrire | Shop Recherche
2742 connectés 

 
 


 Mot :   Pseudo :  
 
 Page :   1  2  3
Page Suivante
Page Précédente
Bas de page 
Auteur Sujet :

Problème étrange avec iptables -HELP NEEDED

n°129992
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 11:53:47  profilanswer
 

Reprise du message précédent :

bobor a écrit a écrit :

bah c'est pour NATé le serveur lorsqu'il est utilisé comme station. C'est pas bon? En tout cas ça marche  :D  
 
J'ai rien trouvé dans les logs kernel. Où je peux trouver les logs spécifiques iptables, sachant que je n'ai pas de règles dans mon script? (Mandrake)




Ben rajoutes ca pour logger, sinon ca va etre emmerdant pour savoir ce qui va pas :
 
- à la fin des chaines INPUT :
iptables -A INPUT -j CatchAll
 
- à la fin des chaines OUTPUT :
$IPTABLES -A OUTPUT -j CatchAll
 
- à la fin des chaines FORWARD :
$IPTABLES -A FORWARD -j CatchAll
 
- Au moment de la création des chaines personalisée, rajoute ca:
$IPTABLES -N CatchAll
 
- Et juste après la création des chaines personnalisées :
$IPTABLES -A CatchAll -j LOG  --log-level info --log-prefix "FW DROP "  -m limit --limit 40/minute
$IPTABLES -A CatchAll  -j DROP


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
mood
Publicité
Posté le 26-07-2002 à 11:53:47  profilanswer
 

n°129994
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 11:55:42  profilanswer
 

bobor a écrit a écrit :

bah c'est pour NATé le serveur lorsqu'il est utilisé comme station. C'est pas bon? En tout cas ça marche  :D  
 
J'ai rien trouvé dans les logs kernel. Où je peux trouver les logs spécifiques iptables, sachant que je n'ai pas de règles dans mon script? (Mandrake)




Ca sert à rien ...  
Qd tu utilises le serveur comme station et que tu vas sur Internet les paquets sortent pas par l'interface lo ...
Tu peux la virer, tu verras que tu accèdes tjrs à internet si tu utilises le serveur comme station ....
 [:zerod]


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130009
bobor
tueur de n44b
Posté le 26-07-2002 à 12:16:18  profilanswer
 

Zzozo a écrit a écrit :

 
Ca sert à rien ...  
Qd tu utilises le serveur comme station et que tu vas sur Internet les paquets sortent pas par l'interface lo ...
Tu peux la virer, tu verras que tu accèdes tjrs à internet si tu utilises le serveur comme station ....
 [:zerod]  



[:xfalken]


---------------
Gitan des temps modernes
n°130013
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 12:20:28  profilanswer
 

bobor a écrit a écrit :

 [:xfalken]  




tu me crois pas ? :D
ca marche comme ca chez moi et chez bcp de gens ...
EDIT : cé sérieux ce que je te dis


Message édité par Zzozo le 26-07-2002 à 12:22:01

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130017
bobor
tueur de n44b
Posté le 26-07-2002 à 12:28:17  profilanswer
 

voici le log résultant:
 
[cpp][/cpp]


Message édité par bobor le 26-07-2002 à 13:32:34

---------------
Gitan des temps modernes
n°130019
bobor
tueur de n44b
Posté le 26-07-2002 à 12:31:23  profilanswer
 

il faudrait que j'ouvre le port 1041 dans inet_lan
 
Bizarre, j'ai rien en 1041 dans /etc/services.
 
EDIT:
bon en fait cela change à chaque fois. Il faudrait alors que j'accepte tous les ESTABLISHED,RELATED


Message édité par bobor le 26-07-2002 à 12:34:02

---------------
Gitan des temps modernes
n°130023
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 12:37:22  profilanswer
 

bobor a écrit a écrit :

il faudrait que j'ouvre le port 1041 dans inet_lan
 
Bizarre, j'ai rien en 1041 dans /etc/services.
 
EDIT:
bon en fait cela change à chaque fois. Il faudrait alors que j'accepte tous les ESTABLISHED,RELATED




Oui et pas seulement pour le proto Http et ftp mais pour tous ...
Mais que tu n'acceptes de forwarder (ou le ouput pour utiliser le fw comme station ...) les nouvelles connexions que si elles ont pour port de destination 80,20 et 21 (les ports de htpp et ftp quoi) .. met aussi les ports SMTP et pop3 en forward, ainsi que dns si t'as pas de dns en internet ...
 
EDIT : et puis t'inquiètes pas trop va .... les règles RELATED et ESTABLISHED ne te créent pas de gros trous de sécurité ;) ... ca marche vraiment bien dans les noyaux 2.4.x ... mé si tu veux être parano, dis toi que y'a des bugs partout même dans netfilter ... [:ddr555] (ou comment foutre la merde en 5s arf ;) ... )


Message édité par Zzozo le 26-07-2002 à 12:39:34

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130026
bobor
tueur de n44b
Posté le 26-07-2002 à 12:40:33  profilanswer
 

mise à jour:
- je ne peux pas accéder aux ftp depuis IE sur la station cliente
- par contre j'y accède depuis "ftp" en ligne de commande de windows  :pt1cable:  
 
IE est configuré en mode passive. Est-ce que le ftp en ligne de commande l'est aussi???
 
Là ça me dépasse totalement


---------------
Gitan des temps modernes
n°130027
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 12:41:43  profilanswer
 

bobor a écrit a écrit :

mise à jour:
- je ne peux pas accéder aux ftp depuis IE sur la station cliente
- par contre j'y accède depuis "ftp" en ligne de commande de windows  :pt1cable:  
 
IE est configuré en mode passive. Est-ce que le ftp en ligne de commande l'est aussi???
 
Là ça me dépasse totalement




Envoies moi le script tel qu'il est maintenant ...


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130030
bobor
tueur de n44b
Posté le 26-07-2002 à 12:43:53  profilanswer
 

Zzozo a écrit a écrit :

 
Oui et pas seulement pour le proto Http et ftp mais pour tous ...
Mais que tu n'acceptes de forwarder (ou le ouput pour utiliser le fw comme station ...) les nouvelles connexions que si elles ont pour port de destination 80,20 et 21 (les ports de htpp et ftp quoi) .. met aussi les ports SMTP et pop3 en forward, ainsi que dns si t'as pas de dns en internet ...
 
EDIT : et puis t'inquiètes pas trop va .... les règles RELATED et ESTABLISHED ne te créent pas de gros trous de sécurité ;) ... ca marche vraiment bien dans les noyaux 2.4.x ... mé si tu veux être parano, dis toi que y'a des bugs partout même dans netfilter ... [:ddr555] (ou comment foutre la merde en 5s arf ;) ... )




 
j'ai un dns local et lme resolve.conf du serveur sur mamadou.
 
Donc je n'ouvre les ports dns que entre le lan et le serveur. Pour le smtp et pop, idem, c'est le serveur qui va chercher tout ça et qui retransmet vers l'extérieur. Le LAN va se servir sur le serveur. Donc tout est ok de ce coté là.
 
Et effectivement le postrouting localhost était là juste pour faire joli :D


---------------
Gitan des temps modernes
mood
Publicité
Posté le 26-07-2002 à 12:43:53  profilanswer
 

n°130036
bobor
tueur de n44b
Posté le 26-07-2002 à 12:46:28  profilanswer
 

Code :
  1. #!/bin/sh
  2. #
  3. #
  5. ###########################################################################
  6. #
  7. # Local Area Network configuration.
  8. #
  10. LAN_IP0="192.168.100.254"
  11. LAN_IP1="192.168.101.254"
  12. LAN_IP2="192.168.102.254"
  13. LAN_IP3="192.168.103.254"
  14. LAN_IP_RANGE0="192.168.100.0/24"
  15. LAN_IP_RANGE1="192.168.101.0/24"
  16. LAN_IP_RANGE2="192.168.102.0/24"
  17. LAN_IP_RANGE3="192.168.103.0/24"
  18. LAN_BCAST_ADRESS0="192.168.100.255"
  19. LAN_BCAST_ADRESS1="192.168.101.255"
  20. LAN_BCAST_ADRESS2="192.168.102.255"
  21. LAN_BCAST_ADRESS3="192.168.103.255"
  22. LAN_IFACE0="eth0"
  23. LAN_IFACE1="eth1"
  24. LAN_IFACE2="eth2"
  25. LAN_IFACE3="eth3"
  26. LO_IFACE="lo"
  27. LO_IP="127.0.0.1"
  29. ##################################################
  31. #########################
  32. #
  33. # Internet Configuration.
  34. #
  36. echo -e "Internet Configuration ..\n"
  38. INET_IP=`ifconfig 'ppp0' | grep 'inet adr' | awk '{print $2}' | sed -e 's/adr\://'`
  39. INET_IFACE="ppp0"
  41. echo "External interface: $INET_IP"
  42. echo "1st Internal interface: $LAN_IP0"
  43. echo "2sd Internal interface: $LAN_IP1"
  44. echo "3th Internal interface: $LAN_IP2"
  45. echo "4th Internal interface: $LAN_IP3"
  47. ###########################################################################
  48. #
  49. # IPTables Configuration.
  50. #
  52. IPTABLES="/sbin/iptables"
  53. ##################################################
  55. #########################
  56. #
  57. # 2. Module loading.
  58. #
  60. echo "Module Loading .."
  61. #/sbin/depmod -q
  64. /sbin/modprobe ip_conntrack
  65. /sbin/modprobe ip_tables
  66. /sbin/modprobe iptable_filter
  67. /sbin/modprobe iptable_mangle
  68. /sbin/modprobe iptable_nat
  69. /sbin/modprobe ipt_LOG
  70. /sbin/modprobe ip_nat_ftp
  71. #/sbin/modprobe -a -k -s -v ip_nat_h323
  72. /sbin/modprobe ipt_REJECT
  73. /sbin/modprobe ipt_MASQUERADE
  75. #/sbin/modprobe ipt_owner
  77. /sbin/modprobe ip_conntrack_ftp
  78. /sbin/modprobe ip_conntrack_irc
  80. echo "Done loading modules"
  82. ###########################################################################
  83. #
  84. # 3. /proc set up.
  85. #
  87. echo "enabling forwarding .."
  88. echo "1" > /proc/sys/net/ipv4/ip_forward
  90. #
  91. # Dynamic IP users:
  92. #
  93. echo "enabling DynamicAddr .."
  94. echo "1" > /proc/sys/net/ipv4/ip_dynaddr
  96. ##################################################
  98. $IPTABLES -P INPUT ACCEPT
  99. $IPTABLES -P FORWARD ACCEPT
  100. $IPTABLES -P OUTPUT ACCEPT
  101. $IPTABLES -t nat -P PREROUTING ACCEPT
  102. $IPTABLES -t nat -P POSTROUTING ACCEPT
  103. $IPTABLES -t nat -P OUTPUT ACCEPT
  104. $IPTABLES -t mangle -P PREROUTING ACCEPT
  105. $IPTABLES -t mangle -P OUTPUT ACCEPT
  107. echo "Flush all rules and chains ..."
  109. $IPTABLES -F
  110. $IPTABLES -X
  111. $IPTABLES -t nat -F
  112. $IPTABLES -t nat -X
  113. $IPTABLES -t mangle -F
  114. $IPTABLES -t mangle -X
  116. echo "Set  policies."
  118. $IPTABLES -P INPUT DROP
  119. $IPTABLES -P OUTPUT DROP
  120. $IPTABLES -P FORWARD DROP
  122. #############################################################################
  123. # Create separate chains
  124. #############################################################################
  126. echo "Create separate chains"
  128. $IPTABLES -N inet_svr
  129. $IPTABLES -N lan_svr
  130. $IPTABLES -N svr_lan
  131. $IPTABLES -N svr_inet
  132. $IPTABLES -N inet_lan
  133. $IPTABLES -N lan_inet
  134. $IPTABLES -N spoofing
  136. $IPTABLES -N Catch_all
  138. $IPTABLES -A Catch_all -j LOG --log-level info --log-prefix "FW DROP " -m limit --limit 40/minute
  139. $IPTABLES -A Catch_all -j ACCEPT
  140. ####
  141. # Spoofing rules
  142. ####
  144. $IPTABLES -A spoofing -s 224.0.0.0/4 -j DROP
  145. $IPTABLES -A spoofing -i $INET_IFACE -s 192.168.0.0/16 -j DROP
  146. $IPTABLES -A spoofing -i $LAN_IFACE3 ! -s 192.168.103.0/24 -j DROP
  147. $IPTABLES -A spoofing -s 10.0.0.0/8 -j DROP
  148. $IPTABLES -A spoofing -s 172.16.0.0/24 -j DROP
  150. ####
  151. # INET_SVR
  152. ####
  154. $IPTABLES -A inet_svr -p TCP --sport http -m state --state ESTABLISHED,RELATED -j ACCEPT
  155. $IPTABLES -A inet_svr -p TCP --dport 20:21 -j ACCEPT  #ftp
  156. $IPTABLES -A inet_svr -p TCP --sport smtp -m state --state ESTABLISHED,RELATED -j ACCEPT
  157. $IPTABLES -A inet_svr -p TCP --sport pop3 -m state --state ESTABLISHED,RELATED -j ACCEPT
  158. $IPTABLES -A inet_svr -p UDP --sport domain -m state --state ESTABLISHED,RELATED -j ACCEPT 
  159. $IPTABLES -A inet_svr -p ICMP -j ACCEPT
  161. ####
  162. #SVR_INET
  163. ####
  165. $IPTABLES -A svr_inet -p udp --dport  domain -j ACCEPT
  166. $IPTABLES -A svr_inet -p TCP --dport http -j ACCEPT
  167. $IPTABLES -A svr_inet -p TCP --dport 20:21 -j ACCEPT
  168. $IPTABLES -A svr_inet -p TCP --dport smtp -j ACCEPT
  169. $IPTABLES -A svr_inet -p TCP --dport pop3 -j ACCEPT
  171. ####
  172. # LAN_SVR
  173. ####
  175. $IPTABLES -A lan_svr -p ICMP -j ACCEPT
  176. $IPTABLES -A lan_svr -p UDP --dport domain -j ACCEPT
  177. $IPTABLES -A lan_svr -p udp --dport netbios-ns -j ACCEPT  #samba
  178. $IPTABLES -A lan_svr -p udp --dport 138 -j ACCEPT  #samba
  179. $IPTABLES -A lan_svr -p TCP --dport netbios-ssn -j ACCEPT  #samba
  180. $IPTABLES -A lan_svr -p TCP --dport pop3 -j ACCEPT 
  181. $IPTABLES -A lan_svr -p TCP --dport smtp -j ACCEPT 
  182. $IPTABLES -A lan_svr -p TCP --dport bootps -j ACCEPT  #dhcp
  183. $IPTABLES -A lan_svr -p UDP --dport bootps -j ACCEPT  #dhcp
  184. $IPTABLES -A lan_svr -p tcp --dport auth -j ACCEPT
  185. $IPTABLES -A lan_svr -p tcp --sport auth -j ACCEPT
  186. $IPTABLES -A lan_svr -p TCP --dport 10000 -s 192.168.100.0/24 -j ACCEPT
  188. ####
  189. #SVR_LAN
  190. ####
  192. $IPTABLES -A svr_lan -p ICMP -j ACCEPT
  193. $IPTABLES -A svr_lan -p udp --sport 138 -j ACCEPT  #samba
  194. $IPTABLES -A svr_lan -p udp --sport netbios-ns -j ACCEPT  #samba
  195. $IPTABLES -A svr_lan -p TCP --sport netbios-ssn -j ACCEPT  #samba
  196. $IPTABLES -A svr_lan -p TCP --sport bootps -j ACCEPT  #dhcp
  197. $IPTABLES -A svr_lan -p UDP --sport bootps -j ACCEPT  #dhcp
  198. $IPTABLES -A svr_lan -p udp --sport domain -j ACCEPT
  199. $IPTABLES -A svr_lan -p tcp --sport pop3 -j ACCEPT
  200. $IPTABLES -A svr_lan -p tcp --sport smtp -j ACCEPT
  201. $IPTABLES -A svr_lan -p tcp --dport auth -j ACCEPT
  202. $IPTABLES -A svr_lan -p tcp --sport auth -j ACCEPT
  203. $IPTABLES -A svr_lan -p TCP --sport 10000 -d 192.168.100.0/24 -j ACCEPT
  205. ####
  206. #LAN_INET
  207. ####
  209. $IPTABLES -A lan_inet -p TCP -m state --state ESTABLISHED,RELATED -j Catch_all
  210. $IPTABLES -A lan_inet -p TCP -m multiport --dport 80,21 -m state --state NEW -j Catch_all  #ftp
  211. $IPTABLES -A lan_inet -p ICMP -j Catch_all
  213. ####
  214. #INET_LAN
  215. ####
  216. $IPTABLES -A inet_lan -p TCP --sport http -m state --state ESTABLISHED,RELATED -j Catch_all
  217. $IPTABLES -A inet_lan -p TCP --sport 20:21 -j Catch_all  #ftp
  218. $IPTABLES -A inet_lan -p TCP --dport 20:21 -j Catch_all  #ftp
  219. $IPTABLES -A inet_lan -p ICMP -j Catch_all
  221. ############################################################################
  222. # PROTECTIONS
  223. ############################################################################
  225. echo "Define protection rules ..."
  227. # Elimination des paquets de demande de connection n ayant pas le flag SYN active
  228. $IPTABLES -A FORWARD -i $INET_IFACE -p tcp ! --syn -m state --state NEW -j DROP
  229. $IPTABLES -A INPUT -i $INET_IFACE -p tcp ! --syn -m state --state NEW -j DROP
  231. # Elimination des paquets avec aucun ou tous les flags TCP actives
  232. # (Protection contre les tests de port furtif)
  233. $IPTABLES -A FORWARD -p tcp --tcp-flag ALL ALL -j DROP
  234. $IPTABLES -A FORWARD -p tcp --tcp-flag ALL NONE -j DROP
  235. $IPTABLES -A INPUT -p tcp --tcp-flag ALL ALL -j DROP
  236. $IPTABLES -A INPUT -p tcp --tcp-flag ALL NONE -j DROP
  238. # Protection syn-flood
  239. $IPTABLES -A FORWARD -p tcp --syn -m limit --limit 5/m -j ACCEPT
  240. $IPTABLES -A INPUT -p tcp --syn -m limit --limit 5/m -j ACCEPT
  242. $IPTABLES -A INPUT -j spoofing
  243. $IPTABLES -A FORWARD -j spoofing
  245. $IPTABLES -A FORWARD -m state --state INVALID -j DROP
  246. $IPTABLES -A INPUT -m state --state INVALID -j DROP
  248. #############################################################################
  249. # POSTROUTING chain
  250. #############################################################################
  251. echo "Enabling NAT"
  253. #$IPTABLES -t nat -A POSTROUTING -s $LO_IP --o $INET_IFACE -j MASQUERADE
  254. $IPTABLES -t nat -A POSTROUTING -s 192.168.100.0/24 --o $INET_IFACE -j MASQUERADE
  255. $IPTABLES -t nat -A POSTROUTING -s 192.168.102.0/24 --o $INET_IFACE -j MASQUERADE
  257. ############################################################################
  258. # INPUT chain
  259. ############################################################################
  261. echo "Enabling INPUT INTERNET chain"
  262. $IPTABLES -A INPUT -i $INET_IFACE -j inet_svr
  264. echo "Enabling INPUT ETH0 chain"
  265. $IPTABLES -A INPUT -i $LAN_IFACE0 -j lan_svr
  267. echo "Enabling INPUT Loopback chain"
  268. $IPTABLES -A INPUT -p ALL -i $LO_IFACE -j ACCEPT
  270. #############################################################################
  271. # OUTPUT chain
  272. #############################################################################
  274. echo "Enabling OUTPUT chain"
  276. $IPTABLES -A OUTPUT -o $LAN_IFACE0 -j svr_lan
  277. $IPTABLES -A OUTPUT -o ppp0 -j svr_inet
  278. $IPTABLES -A OUTPUT -p ALL -o $LO_IFACE -j ACCEPT
  280. #############################################################################
  281. # FORWARD chain
  282. #############################################################################
  284. $IPTABLES -A FORWARD -j spoofing
  286. echo "Enabling FORWARD ETH0 chain"
  287. $IPTABLES -A FORWARD -i $INET_IFACE -o $LAN_IFACE0 -j inet_lan
  288. $IPTABLES -A FORWARD -i $LAN_IFACE0 -o $INET_IFACE -j lan_inet
  289. echo "Enabling FORWARD ETH2 chain"
  290. $IPTABLES -A FORWARD -i $INET_IFACE -o $LAN_IFACE2 -j inet_lan
  291. $IPTABLES -A FORWARD -i $LAN_IFACE2 -o $INET_IFACE -j lan_inet


---------------
Gitan des temps modernes
n°130038
bobor
tueur de n44b
Posté le 26-07-2002 à 12:51:58  profilanswer
 

remise à jour:
en ftp ligne de commande, je peux me balader dans les répertoires mais je ne parviens pas à faire de get. Et seulement sur un ftp anonymous.
je ne parviens pas à me loguer sur mon ftp perso


---------------
Gitan des temps modernes
n°130041
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 12:55:41  profilanswer
 

bobor a écrit a écrit :

remise à jour:
en ftp ligne de commande, je peux me balader dans les répertoires mais je ne parviens pas à faire de get. Et seulement sur un ftp anonymous.
je ne parviens pas à me loguer sur mon ftp perso




et dans le log, il y'a quoi concernant Ftp ?


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130045
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 13:03:40  profilanswer
 

GRRRRRRRRRRRRRRR ...
Tu logues pas les paquets droppé là ....  :non:  
Tu logues ceux qui passent ... ca sert à rien .. on s'en fout de ca ..


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130053
bobor
tueur de n44b
Posté le 26-07-2002 à 13:11:59  profilanswer
 

après modif catch_all en drop  :ange:
cela donne qq chose comme ça
 

Code :
  1. Jul 26 13:38:03 server kernel: FW DROP IN=ppp0 OUT= MAC= SRC=212.208.254.21 DST=217.128.107.214 LEN=44 TOS=0x00 PREC=0x00 TTL=115 ID=25575 DF PROTO=TCP SPT=21 DPT=33089 WINDOW=2320 RES=0x00 ACK SYN URGP=0
  2. Jul 26 13:38:05 server kernel: FW DROP IN=ppp0 OUT=eth0 SRC=212.208.254.21 DST=192.168.100.10 LEN=40 TOS=0x00 PREC=0x00 TTL=114 ID=25831 DF PROTO=TCP SPT=1629 DPT=1820 WINDOW=8760 RES=0x00 ACK URGP=0
  3. Jul 26 13:38:05 server kernel: FW DROP IN=ppp0 OUT=eth0 SRC=212.208.254.21 DST=192.168.100.10 LEN=44 TOS=0x00 PREC=0x00 TTL=114 ID=26087 DF PROTO=TCP SPT=1629 DPT=1820 WINDOW=8760 RES=0x00 ACK SYN URGP=0
  4. Jul 26 13:38:16 server kernel: FW DROP IN=ppp0 OUT= MAC= SRC=212.208.254.21 DST=217.128.107.214 LEN=44 TOS=0x00 PREC=0x00 TTL=115 ID=26599 DF PROTO=TCP SPT=21 DPT=33089 WINDOW=2320 RES=0x00 ACK SYN URGP=0
  5. Jul 26 13:38:19 server kernel: FW DROP IN=ppp0 OUT=eth0 SRC=212.208.254.21 DST=192.168.100.10 LEN=44 TOS=0x00 PREC=0x00 TTL=114 ID=27367 DF PROTO=TCP SPT=1629 DPT=1820 WINDOW=8760 RES=0x00 ACK SYN URGP=0


Message édité par bobor le 26-07-2002 à 13:39:42
n°130054
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 13:14:11  profilanswer
 

Mais tu droppes tout là !!!!!  :ouch:  
 :eek2:  :pt1cable:


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130055
bobor
tueur de n44b
Posté le 26-07-2002 à 13:15:43  profilanswer
 

oups je crois que je me suis encore planté... c'est tous les forward où je mets catch_all et je retire lan_inet et inet_lan?
 
EDIT: non c'est bon j'ai compris, je rajoute juste la règle catch_all après les autres


Message édité par bobor le 26-07-2002 à 13:18:55
n°130056
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 13:21:34  profilanswer
 

bobor a écrit a écrit :

oups je crois que je me suis encore planté... c'est tous les forward où je mets catch_all et je retire lan_inet et inet_lan?




non t'as pas lu ce que j'ai posté auparavant ...
tu laisses les accept comme tu avais sans logguer aucun message
mais à la fin des blocs INPUT, OUTPUT, FORWARD, tu mets une règle
du style :
$IPTABLES -A XXXX -j Catch_all (avec XXXX qui est parmi INPUT, OUTPUT, FORWARD suivant le bloc dans lequel tu es)
Ces règles te permettent de récupérer les paquets qui ne correspondent à aucune règle et qui seront dropppés par la policy par défaut normalement, sauf que là on les logues avant de les dropper ...
Cé bon ?


Message édité par Zzozo le 26-07-2002 à 13:22:07

---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130059
bobor
tueur de n44b
Posté le 26-07-2002 à 13:31:35  profilanswer
 

bon j'ai édité le log précédent. Tu peux y jeté un oeil  :D

n°130061
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 13:35:17  profilanswer
 

:hello:
 
Alors marche toujours pas le FTP ?
 
Juste une remarque : apres -multiport c'est pas -dports au lieu de -dport ?


---------------
Qui cherche le soleil évite la pluie !
n°130062
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 13:37:18  profilanswer
 

bobor a écrit a écrit :

bon j'ai édité le log précédent. Tu peux y jeté un oeil  :D  




Cé tout ce qu'il y a pour le FTP ?
T'en a pas plus ? réessayes en changeant le --limit 40/minute en
--limit 100/minute
Par contre cé louche cette histoire de port 1900 en UDP ...  :heink:


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130063
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 13:38:48  profilanswer
 

Gaellick a écrit a écrit :

:hello:
 
Alors marche toujours pas le FTP ?
 
Juste une remarque : apres -multiport c'est pas -dports au lieu de -dport ?




---------------
Qui cherche le soleil évite la pluie !
n°130064
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 13:38:58  profilanswer
 

Gaellick a écrit a écrit :

:hello:
 
Alors marche toujours pas le FTP ?
 
Juste une remarque : apres -multiport c'est pas -dports au lieu de -dport ?




Exact ... tu tombes bien toi ... je vais pouvoir me coucher maintenant alors, je peux te refiler le bébé ...
[:tgrx]


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130065
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 13:40:16  profilanswer
 

Heu pas tout de suite je pars dans une heure :D


---------------
Qui cherche le soleil évite la pluie !
n°130066
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 13:40:58  profilanswer
 

Gaellick a écrit a écrit :

Heu pas tout de suite je pars dans une heure :D




 
Mais je reviens 2  heures apres, on va pas le laisser tombrer Bobor :D


---------------
Qui cherche le soleil évite la pluie !
n°130068
bobor
tueur de n44b
Posté le 26-07-2002 à 13:44:28  profilanswer
 

merci à tous  :D  
 
j'ai corrigé en dports mais toujours pareil et en plus je pouvais quanb même surfer sur le net


---------------
Gitan des temps modernes
n°130071
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 13:47:10  profilanswer
 

Gaellick a écrit a écrit :

 
 
Mais je reviens 2  heures apres, on va pas le laisser tombrer Bobor :D




Cé moi qui vais tomber si ca continue ...  :pt1cable:


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130072
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 13:47:32  profilanswer
 

Quel est l'adresse IP de ta machine Windows depuis laquelle tu essaies d'acceder au net et FTP ?


---------------
Qui cherche le soleil évite la pluie !
n°130077
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 13:53:25  profilanswer
 

Y'a plus personnne :heink:


---------------
Qui cherche le soleil évite la pluie !
n°130079
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 13:55:42  profilanswer
 

bobor a écrit a écrit :

 
 
j'ai un dns local et lme resolve.conf du serveur sur mamadou.
 
Donc je n'ouvre les ports dns que entre le lan et le serveur. Pour le smtp et pop, idem, c'est le serveur qui va chercher tout ça et qui retransmet vers l'extérieur. Le LAN va se servir sur le serveur. Donc tout est ok de ce coté là.
 
Et effectivement le postrouting localhost était là juste pour faire joli :D  




Au fait ca suffit pas ca ... le resolv.conf, cé pas lui qui va indiquer à ton serveur DNS local de rediriger les requetes qu'il sait pas traiter vers les DNS de Mammadoo ... ca se fait dans la config du DNS et pas dans le resolv.conf ... le resolv.conf ne sert à définir que les résolutions de nom (DNS, hosts, NIS, etc ...) de ton serveur que lorsqu'il se comporte commme client ...
Tu dois avoir des lignes comma ca dans un des fichiers de config de ton DNS :
forwarders {
  193.252.19.3;
  193.252.19.4;
};


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130080
bobor
tueur de n44b
Posté le 26-07-2002 à 13:56:08  profilanswer
 

windows 192.168.100.10
server 192.168.100.254
ftp 212.208.254.21 (ftp externe)


---------------
Gitan des temps modernes
n°130082
bobor
tueur de n44b
Posté le 26-07-2002 à 14:00:52  profilanswer
 

Zzozo a écrit a écrit :

 
Au fait ca suffit pas ca ... le resolv.conf, cé pas lui qui va indiquer à ton serveur DNS local de rediriger les requetes qu'il sait pas traiter vers les DNS de Mammadoo ... ca se fait dans la config du DNS et pas dans le resolv.conf ... le resolv.conf ne sert à définir que les résolutions de nom (DNS, hosts, NIS, etc ...) de ton serveur que lorsqu'il se comporte commme client ...
Tu dois avoir des lignes comma ca dans un des fichiers de config de ton DNS :
forwarders {
  193.252.19.3;
  193.252.19.4;
};




 
oui effectivement mais je l'ai bien mis. Par contre j'ai des trucs que je comprends pas trop dans le DNS. Notamment les enregistrements mail MX. J'ai déclaré mon serveur mail en MX pour la zone domainmail.moi. Mais je ne peux pas le pinguer. Donc je rajoute un CNAME entre mail.domainname.moi vers le server et là je peux le pinguer. Mais je ne crois pas qu'on puisse mettre un MX et un CNAME. En tout cas ça marche.
 
L'enregistrement MX est-il nécessaire?  
POstfix me fait ensuite un relayhost vers mamadou.


---------------
Gitan des temps modernes
n°130084
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-07-2002 à 14:01:41  profilanswer
 

Bon moi je vais dodo ...
je serais pas utile dans cet état là ...
 :sleep:  
 :hello:


---------------
« Ce qui ne vous tue pas vous rend plus fort » F. Nietzsche | « Vise_ la Lune. Si tu rates, au pire, t'es dans la merde » Un poète disparu dans le cercle
n°130090
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 14:06:03  profilanswer
 

Si je comprends bien ton lan est en 192.168.0.0/24
et ton serveur FTP
est en
212.208.254.21
 
Et ut voudrais pour l'instant arriver a acceder a ton serveur FTP depuis ton LAN en interne sans passer par le net dans un premier temps c'est ca ?
Si tu peux me faire un petit recapitulatif merci :sarcastic:


---------------
Qui cherche le soleil évite la pluie !
n°130095
bobor
tueur de n44b
Posté le 26-07-2002 à 14:12:45  profilanswer
 

non
 
serveur/firewall/routeur: 192.168.100.254
LAN sur eth0: 192.168.100.0
station connectée sur eth0: 192.168.100.10
 
ftp qui n'est pas chez moi mais ailleurs (ftp de D-link en l'occurence) que j'utilise pour mes essais donc qui apparait dans les logs : 212.208.254.21
 
Moi je n'ai pas encore mis de serveur ftp sur mon serveur à moi qui m'appartient. Je veux simplement accéder aux serveurs qui sont sur la planète, qui ne m'appartiennent pas et qui sont pas à moi. :pt1cable:


---------------
Gitan des temps modernes
n°130101
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 14:19:59  profilanswer
 

Donc tu veux pouvoir acceder aux serveur FTP de la planete depuis ton LAN en 192.168.0.0/24 (ou 192.168.0.10 pour ta machine Windows) et ton LAN accede a ton serveur/passerelle/routeur par eth0. Ca yy'est je crois que j'ai compris.
Faut que je m'en aille la mais je reviens dans 2 heures. Est-ce que tu peux me mettre la derniere version de ton script STP ainsi qu'une copie de tes logs quand tu essaies de te connecter au FTP. Je vais avoir le temps de mater ca pendant les 2 heures qui viennent.


---------------
Qui cherche le soleil évite la pluie !
n°130108
bobor
tueur de n44b
Posté le 26-07-2002 à 14:26:13  profilanswer
 

la dernière version du script:
 

Code :
  1. #!/bin/sh
  2. #
  3. #
  5. ###########################################################################
  6. #
  7. # Local Area Network configuration.
  8. #
  10. LAN_IP0="192.168.100.254"
  11. LAN_IP1="192.168.101.254"
  12. LAN_IP2="192.168.102.254"
  13. LAN_IP3="192.168.103.254"
  14. LAN_IP_RANGE0="192.168.100.0/24"
  15. LAN_IP_RANGE1="192.168.101.0/24"
  16. LAN_IP_RANGE2="192.168.102.0/24"
  17. LAN_IP_RANGE3="192.168.103.0/24"
  18. LAN_BCAST_ADRESS0="192.168.100.255"
  19. LAN_BCAST_ADRESS1="192.168.101.255"
  20. LAN_BCAST_ADRESS2="192.168.102.255"
  21. LAN_BCAST_ADRESS3="192.168.103.255"
  22. LAN_IFACE0="eth0"
  23. LAN_IFACE1="eth1"
  24. LAN_IFACE2="eth2"
  25. LAN_IFACE3="eth3"
  26. LO_IFACE="lo"
  27. LO_IP="127.0.0.1"
  29. ##################################################
  31. #########################
  32. #
  33. # Internet Configuration.
  34. #
  36. echo -e "Internet Configuration ..\n"
  38. INET_IP=`ifconfig 'ppp0' | grep 'inet adr' | awk '{print $2}' | sed -e 's/adr\://'`
  39. INET_IFACE="ppp0"
  41. echo "External interface: $INET_IP"
  42. echo "1st Internal interface: $LAN_IP0"
  43. echo "2sd Internal interface: $LAN_IP1"
  44. echo "3th Internal interface: $LAN_IP2"
  45. echo "4th Internal interface: $LAN_IP3"
  47. ###########################################################################
  48. #
  49. # IPTables Configuration.
  50. #
  52. IPTABLES="/sbin/iptables"
  53. ##################################################
  55. #########################
  56. #
  57. # 2. Module loading.
  58. #
  60. echo "Module Loading .."
  61. #/sbin/depmod -q
  64. /sbin/modprobe ip_conntrack
  65. /sbin/modprobe ip_tables
  66. /sbin/modprobe iptable_filter
  67. /sbin/modprobe iptable_mangle
  68. /sbin/modprobe iptable_nat
  69. /sbin/modprobe ipt_LOG
  70. /sbin/modprobe ip_nat_ftp
  71. #/sbin/modprobe -a -k -s -v ip_nat_h323
  72. /sbin/modprobe ipt_REJECT
  73. /sbin/modprobe ipt_MASQUERADE
  75. #/sbin/modprobe ipt_owner
  77. /sbin/modprobe ip_conntrack_ftp
  78. /sbin/modprobe ip_conntrack_irc
  80. echo "Done loading modules"
  82. ###########################################################################
  83. #
  84. # 3. /proc set up.
  85. #
  87. echo "enabling forwarding .."
  88. echo "1" > /proc/sys/net/ipv4/ip_forward
  90. #
  91. # Dynamic IP users:
  92. #
  93. echo "enabling DynamicAddr .."
  94. echo "1" > /proc/sys/net/ipv4/ip_dynaddr
  96. ##################################################
  98. $IPTABLES -P INPUT ACCEPT
  99. $IPTABLES -P FORWARD ACCEPT
  100. $IPTABLES -P OUTPUT ACCEPT
  101. $IPTABLES -t nat -P PREROUTING ACCEPT
  102. $IPTABLES -t nat -P POSTROUTING ACCEPT
  103. $IPTABLES -t nat -P OUTPUT ACCEPT
  104. $IPTABLES -t mangle -P PREROUTING ACCEPT
  105. $IPTABLES -t mangle -P OUTPUT ACCEPT
  107. echo "Flush all rules and chains ..."
  109. $IPTABLES -F
  110. $IPTABLES -X
  111. $IPTABLES -t nat -F
  112. $IPTABLES -t nat -X
  113. $IPTABLES -t mangle -F
  114. $IPTABLES -t mangle -X
  116. echo "Set  policies."
  118. $IPTABLES -P INPUT DROP
  119. $IPTABLES -P OUTPUT DROP
  120. $IPTABLES -P FORWARD DROP
  122. #############################################################################
  123. # Create separate chains
  124. #############################################################################
  126. echo "Create separate chains"
  128. $IPTABLES -N inet_svr
  129. $IPTABLES -N lan_svr
  130. $IPTABLES -N svr_lan
  131. $IPTABLES -N svr_inet
  132. $IPTABLES -N inet_lan
  133. $IPTABLES -N lan_inet
  134. $IPTABLES -N spoofing
  136. $IPTABLES -N Catch_all
  138. $IPTABLES -A Catch_all -j LOG --log-level info --log-prefix "FW DROP " -m limit --limit 40/minute
  139. $IPTABLES -A Catch_all -j DROP
  140. ####
  141. # Spoofing rules
  142. ####
  144. $IPTABLES -A spoofing -s 224.0.0.0/4 -j DROP
  145. $IPTABLES -A spoofing -i $INET_IFACE -s 192.168.0.0/16 -j DROP
  146. $IPTABLES -A spoofing -i $LAN_IFACE3 ! -s 192.168.103.0/24 -j DROP
  147. $IPTABLES -A spoofing -s 10.0.0.0/8 -j DROP
  148. $IPTABLES -A spoofing -s 172.16.0.0/24 -j DROP
  150. ####
  151. # INET_SVR
  152. ####
  154. $IPTABLES -A inet_svr -p TCP --sport http -m state --state ESTABLISHED,RELATED -j ACCEPT
  155. $IPTABLES -A inet_svr -p TCP --dport 20:21 -j ACCEPT  #ftp
  156. $IPTABLES -A inet_svr -p TCP --sport smtp -m state --state ESTABLISHED,RELATED -j ACCEPT
  157. $IPTABLES -A inet_svr -p TCP --sport pop3 -m state --state ESTABLISHED,RELATED -j ACCEPT
  158. $IPTABLES -A inet_svr -p UDP --sport domain -m state --state ESTABLISHED,RELATED -j ACCEPT 
  159. $IPTABLES -A inet_svr -p ICMP -j ACCEPT
  161. ####
  162. #SVR_INET
  163. ####
  165. $IPTABLES -A svr_inet -p udp --dport  domain -j ACCEPT
  166. $IPTABLES -A svr_inet -p TCP --dport http -j ACCEPT
  167. $IPTABLES -A svr_inet -p TCP --dport 20:21 -j ACCEPT
  168. $IPTABLES -A svr_inet -p TCP --dport smtp -j ACCEPT
  169. $IPTABLES -A svr_inet -p TCP --dport pop3 -j ACCEPT
  171. ####
  172. # LAN_SVR
  173. ####
  175. $IPTABLES -A lan_svr -p ICMP -j ACCEPT
  176. $IPTABLES -A lan_svr -p UDP --dport domain -j ACCEPT
  177. $IPTABLES -A lan_svr -p udp --dport netbios-ns -j ACCEPT  #samba
  178. $IPTABLES -A lan_svr -p udp --dport 138 -j ACCEPT  #samba
  179. $IPTABLES -A lan_svr -p TCP --dport netbios-ssn -j ACCEPT  #samba
  180. $IPTABLES -A lan_svr -p TCP --dport pop3 -j ACCEPT 
  181. $IPTABLES -A lan_svr -p TCP --dport smtp -j ACCEPT 
  182. $IPTABLES -A lan_svr -p TCP --dport bootps -j ACCEPT  #dhcp
  183. $IPTABLES -A lan_svr -p UDP --dport bootps -j ACCEPT  #dhcp
  184. $IPTABLES -A lan_svr -p tcp --dport auth -j ACCEPT
  185. $IPTABLES -A lan_svr -p tcp --sport auth -j ACCEPT
  186. $IPTABLES -A lan_svr -p TCP --dport 10000 -s 192.168.100.0/24 -j ACCEPT
  188. ####
  189. #SVR_LAN
  190. ####
  192. $IPTABLES -A svr_lan -p ICMP -j ACCEPT
  193. $IPTABLES -A svr_lan -p udp --sport 138 -j ACCEPT  #samba
  194. $IPTABLES -A svr_lan -p udp --sport netbios-ns -j ACCEPT  #samba
  195. $IPTABLES -A svr_lan -p TCP --sport netbios-ssn -j ACCEPT  #samba
  196. $IPTABLES -A svr_lan -p TCP --sport bootps -j ACCEPT  #dhcp
  197. $IPTABLES -A svr_lan -p UDP --sport bootps -j ACCEPT  #dhcp
  198. $IPTABLES -A svr_lan -p udp --sport domain -j ACCEPT
  199. $IPTABLES -A svr_lan -p tcp --sport pop3 -j ACCEPT
  200. $IPTABLES -A svr_lan -p tcp --sport smtp -j ACCEPT
  201. $IPTABLES -A svr_lan -p tcp --dport auth -j ACCEPT
  202. $IPTABLES -A svr_lan -p tcp --sport auth -j ACCEPT
  203. $IPTABLES -A svr_lan -p TCP --sport 10000 -d 192.168.100.0/24 -j ACCEPT
  205. ####
  206. #LAN_INET
  207. ####
  209. $IPTABLES -A lan_inet -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
  210. $IPTABLES -A lan_inet -p TCP -m multiport --dports 80,21 -m state --state NEW -j ACCEPT  #ftp
  211. $IPTABLES -A lan_inet -p ICMP -j ACCEPT
  213. ####
  214. #INET_LAN
  215. ####
  216. $IPTABLES -A inet_lan -p TCP --sport http -m state --state ESTABLISHED,RELATED -j ACCEPT
  217. $IPTABLES -A inet_lan -p TCP --sport 20:21 -j ACCEPT  #ftp
  218. $IPTABLES -A inet_lan -p TCP --dport 20:21 -j ACCEPT  #ftp
  219. $IPTABLES -A inet_lan -p ICMP -j ACCEPT
  221. ############################################################################
  222. # PROTECTIONS
  223. ############################################################################
  225. echo "Define protection rules ..."
  227. # Elimination des paquets de demande de connection n ayant pas le flag SYN active
  228. $IPTABLES -A FORWARD -i $INET_IFACE -p tcp ! --syn -m state --state NEW -j DROP
  229. $IPTABLES -A INPUT -i $INET_IFACE -p tcp ! --syn -m state --state NEW -j DROP
  231. # Elimination des paquets avec aucun ou tous les flags TCP actives
  232. # (Protection contre les tests de port furtif)
  233. $IPTABLES -A FORWARD -p tcp --tcp-flag ALL ALL -j DROP
  234. $IPTABLES -A FORWARD -p tcp --tcp-flag ALL NONE -j DROP
  235. $IPTABLES -A INPUT -p tcp --tcp-flag ALL ALL -j DROP
  236. $IPTABLES -A INPUT -p tcp --tcp-flag ALL NONE -j DROP
  238. # Protection syn-flood
  239. $IPTABLES -A FORWARD -p tcp --syn -m limit --limit 5/m -j ACCEPT
  240. $IPTABLES -A INPUT -p tcp --syn -m limit --limit 5/m -j ACCEPT
  242. $IPTABLES -A INPUT -j spoofing
  243. $IPTABLES -A FORWARD -j spoofing
  245. $IPTABLES -A FORWARD -m state --state INVALID -j DROP
  246. $IPTABLES -A INPUT -m state --state INVALID -j DROP
  248. #############################################################################
  249. # POSTROUTING chain
  250. #############################################################################
  251. echo "Enabling NAT"
  253. #$IPTABLES -t nat -A POSTROUTING -s $LO_IP --o $INET_IFACE -j MASQUERADE
  254. $IPTABLES -t nat -A POSTROUTING -s 192.168.100.0/24 --o $INET_IFACE -j MASQUERADE
  255. $IPTABLES -t nat -A POSTROUTING -s 192.168.102.0/24 --o $INET_IFACE -j MASQUERADE
  257. ############################################################################
  258. # INPUT chain
  259. ############################################################################
  261. echo "Enabling INPUT INTERNET chain"
  262. $IPTABLES -A INPUT -i $INET_IFACE -j inet_svr
  264. echo "Enabling INPUT ETH0 chain"
  265. $IPTABLES -A INPUT -i $LAN_IFACE0 -j lan_svr
  267. echo "Enabling INPUT Loopback chain"
  268. $IPTABLES -A INPUT -p ALL -i $LO_IFACE -j ACCEPT
  269. $IPTABLES -A INPUT -i $LAN_IFACE0 -d $LAN_BCAST_ADRESS0 -j ACCEPT
  270. $IPTABLES -A INPUT -i $LAN_IFACE1 -d $LAN_BCAST_ADRESS1 -j ACCEPT
  271. $IPTABLES -A INPUT -i $LAN_IFACE2 -d $LAN_BCAST_ADRESS2 -j ACCEPT
  272. $IPTABLES -A INPUT -i $LAN_IFACE3 -d $LAN_BCAST_ADRESS3 -j ACCEPT
  273. $IPTABLES -A INPUT -j Catch_all
  274. #############################################################################
  275. # OUTPUT chain
  276. #############################################################################
  278. echo "Enabling OUTPUT chain"
  279. $IPTABLES -A OUTPUT -o $LAN_IFACE0 -d $LAN_BCAST_ADRESS0 -j ACCEPT
  280. $IPTABLES -A OUTPUT -o $LAN_IFACE1 -d $LAN_BCAST_ADRESS1 -j ACCEPT
  281. $IPTABLES -A OUTPUT -o $LAN_IFACE2 -d $LAN_BCAST_ADRESS2 -j ACCEPT
  282. $IPTABLES -A OUTPUT -o $LAN_IFACE3 -d $LAN_BCAST_ADRESS3 -j ACCEPT
  283. $IPTABLES -A OUTPUT -o $LAN_IFACE0 -j svr_lan
  284. $IPTABLES -A OUTPUT -o ppp0 -j svr_inet
  285. $IPTABLES -A OUTPUT -p ALL -o $LO_IFACE -j ACCEPT
  286. $IPTABLES -A OUTPUT -j Catch_all
  287. #############################################################################
  288. # FORWARD chain
  289. #############################################################################
  291. $IPTABLES -A FORWARD -j spoofing
  293. echo "Enabling FORWARD ETH0 chain"
  294. $IPTABLES -A FORWARD -i $INET_IFACE -o $LAN_IFACE0 -j inet_lan
  295. $IPTABLES -A FORWARD -i $LAN_IFACE0 -o $INET_IFACE -j lan_inet
  296. $IPTABLES -A FORWARD -j Catch_all
  297. echo "Enabling FORWARD ETH2 chain"
  298. $IPTABLES -A FORWARD -i $INET_IFACE -o $LAN_IFACE2 -j inet_lan
  299. $IPTABLES -A FORWARD -i $LAN_IFACE2 -o $INET_IFACE -j lan_inet


 
Le log est juste au dessus


---------------
Gitan des temps modernes
n°130116
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 14:33:46  profilanswer
 

Merci
 
Essaies en remplacant ca  


$IPTABLES -t nat -A POSTROUTING -s 192.168.100.0/24 --o $INET_IFACE -j MASQUERADE
  $IPTABLES -t nat -A POSTROUTING -s 192.168.102.0/24 --o $INET_IFACE -j MASQUERADE


Par ca


$IPTABLES -t nat -A POSTROUTING -i $LAN_IFACE0 -s 192.168.100.0/24 --o $INET_IFACE -j MASQUERADE
  $IPTABLES -t nat -A POSTROUTING -i $LAN_IFACE2 -s 192.168.102.0/24 --o $INET_IFACE -j MASQUERADE


Message édité par Gaellick le 26-07-2002 à 14:34:29

---------------
Qui cherche le soleil évite la pluie !
n°130123
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 14:45:10  profilanswer
 

De plus je pense que le client FTP de ton poste Windows n'utilise pas ton server DNS pour la resolution de nom. Essaie en autorisant les connections au port 53 dans tes regles de FORWARD si ce que j'ai mis au dessus ne marche pas.


---------------
Qui cherche le soleil évite la pluie !
n°130128
bobor
tueur de n44b
Posté le 26-07-2002 à 14:51:38  profilanswer
 

je ne crois pas qu'on ait le droit de mettre un -i sur un PSOTROUTING (seulement INPUT, FORWARD et PREROUTING).
 
Pour le DNS, on voit bien l'IP du serveur ftp dans les logs ce qui prouve que la station va chercher le bon DNS. En fait c'est le serveur qui va chercher de manière transparente. La station est client dhcp et le serveur lui fournit le serveur dns c'est à dire le serveur lui-même qui fait alors le relai vers mamadou.


---------------
Gitan des temps modernes
n°130140
Gaellick
Quoi ??? Noooonn !! Si !
Posté le 26-07-2002 à 15:06:06  profilanswer
 

bobor a écrit a écrit :

je ne crois pas qu'on ait le droit de mettre un -i sur un PSOTROUTING (seulement INPUT, FORWARD et PREROUTING).
 
Pour le DNS, on voit bien l'IP du serveur ftp dans les logs ce qui prouve que la station va chercher le bon DNS. En fait c'est le serveur qui va chercher de manière transparente. La station est client dhcp et le serveur lui fournit le serveur dns c'est à dire le serveur lui-même qui fait alors le relai vers mamadou.




 
Exact on peut pas mettre de -i j'avais oublie desole.
 
On va essayer autre chose juste pour voir.
 
tu mets
 


$IPTABLES -A FORWARD -i $LAN_IFACE0 -s 192.168.100.0/24 -o $INET_IFACE -j ACCEPT


 
avant tes regles INPUT juste apres les POSTROUTING


---------------
Qui cherche le soleil évite la pluie !
mood
Publicité
Posté le   profilanswer
 

 Page :   1  2  3
Page Suivante
Page Précédente
Haut de page 

Aller à :
Ajouter une réponse
 

Sujets relatifs
gros problème performance réseau avec SambaProblème avec su
[Samba] probleme de droits :([HELP] Empecher le lancement de KDM ? [Résolu]
[Iptables] Aide sur un scriptProbleme au boot et telechargement dune distrib
Problème de compilation de Wine avec Perl. [résolu]C'est quoi le probleme avec la recherche ?
explication sur une règle iptablespb iptables et nat
Plus de sujets relatifs à : Problème étrange avec iptables -HELP NEEDED

Forum MesDiscussions.Net, Version 2010.2
(c) 2000-2011 Doctissimo
Page générée en 0.203 secondes

Copyright © 1997-2025 Groupe LDLC (Signaler un contenu illicite / Données personnelles)