problème passerelle internet (Iptables, je pense)

Recherche :

Dernière réponse
Sujet : problème passerelle internet (Iptables, je pense)
sisier	bon .. je rame de plus en plus J'ai essayé de mettre http_access allow all à la place de http_access deny all cela ne change rien. j'ai installé squidguard (pour tester)... si le site est interdit dans els listes, celui ci prend le dessus et affiche ma page d'erreur. Sinon c'est squid qui m'affiche acces denied. je suis un peu perdu

Votre réponse

Nom d'utilisateur

Pour poster, vous devez être inscrit sur ce forum .... si ce n'est pas le cas, cliquez ici !

Le ton de votre message

Votre réponse

Smilies

Liste des smilies perso
Wiki smilies
Chercher un smiley

Options

Activer votre signature
Désactiver les smilies
Activer la notification par email du sujet

Aperçu

Vous avez perdu votre mot de passe ?

Vue Rapide de la discussion

sisier

bon .. je rame de plus en plus
J'ai essayé de mettre
http_access allow all
à la place de
http_access deny all
cela ne change rien.

j'ai installé squidguard (pour tester)... si le site est interdit dans els listes, celui ci prend le dessus et affiche ma page d'erreur.
Sinon c'est squid qui m'affiche acces denied.

je suis un peu perdu

sisier

Hello,

Grâce à votre aide, j'ai réussi à configurer mon firewall.
Mais je me retrouve de nouveau bloqué pour mettre en place mon proxy transparent squid. :/

Mon réseau local passe bien par le proxy.
Mais celui ci, interdit tout accès.

cela doit être un problème d'acl mais je seche.

voici ma config :

Code :

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563 # https, snews
acl SSL_ports port 873 # rsync
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 631 # cups
acl Safe_ports port 873 # rsync
acl Safe_ports port 901 # SWAT
acl purge method PURGE
acl CONNECT method CONNECT
acl LocalNet src 192.168.2.0/255.255.255.0

Code :

http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow LocalNet
http_access deny all
http_reply_access allow all
icp_access allow all

Code :

httpd_accel_port 80
httpd_accel_single_host off
httpd_accel_with_proxy on
httpd_accel_host virtual

Quelqu'un voit il un problème?

Merci de votre aide.

sisier

merci, ca marche .. j'ai honte.

J'ai encore un problème quand j'active mon serveur proxy.. ca bloque mon acces Internet.
Je vais cherché.. et si je trouve pas .. je vais faire appel à vos lumières ;).

Merci encore.

sisier

oups, merci.
j'essaie de suite.

l0ky

J'ai pas tout regardé mais si ton réseau local (la ou tes clients sont) est en 192.168.2.0/24, ta règle

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j MASQUERADE

est fausse
C'est :

iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth1 -j MASQUERADE

qu'il faut mettre

sisier

Hello,

Je dispose de 2 cartes réseaux sur un ordinateur tournant sous Linux Debian.
Cette ordinateur doit servir de passerelle internet(et faire proxy aussi ;) ).

1 des cartes réseaux (eth1), reçoit par le modem son IP (en DHCP donc)
L'autre (eth0)est en IP fixe (192.168.2.1) et attribue les IPs de mon réseau local.

Mais je n'arrive pas à accèder à Internet à partir de mon réseau local.

Lorsque je tape la commande :
route -n
192.168.2.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
0.0.0.0 192.168.1.1 0.0.0.0 UG 0 0 0 eth1

Mes régles d'iptables sont les suivantes (que j'ai fait en lisant de la doc à droite et à gauche):

Code :

firewall_start() {
echo "[Démarrage du firewall]"
########################## REGLES PAR DEFAUT ###########################
echo "[Initialisation de la table filter]"
iptables -F
iptables -X
echo "[Politique par défaut de la table filter]"
# On ignore tout ce qui entre ou transite par la passerelle
iptables -P INPUT DROP
iptables -P FORWARD DROP
# On accepte, ce qui sort
iptables -P OUTPUT ACCEPT
# autoriser l'accès à la loopback
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
############################ LOCAL-INTERNET ###########################
echo "[On autorise les clients à accéder à internet ]"
#On créé une nouvelle chaîne, le nom est indifférent
# appelons-la "local-internet"
iptables -N local-internet
# On définit le profil de ceux qui appartiendront à "local-internet"
# "local-internet" concerne toutes les connections sauf celles venant d'internet ( ! = non)
iptables -A local-internet -m state --state NEW -i ! eth1 -j ACCEPT
#Evidemment, une fois acceptées comme "local-internet", les connections peuvent continuer
# et faire des petits :-)
iptables -A local-internet -m state --state ESTABLISHED,RELATED -j ACCEPT
# On termine en indiquant que les connections appartenant à "local-internet"
# accèdent à internet de manière transparente.
iptables -A INPUT -j local-internet
iptables -A FORWARD -j local-internet
################# LES TABLES NAT ET MANGLE #############################
echo "[Initialisation des tables nat]"
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
#iptables -t mangle -F
#iptables -t mangle -X
#iptables -t mangle -P PREROUTING ACCEPT
#iptables -t mangle -P OUTPUT ACCEPT
############### LE MASQUERADING ########################################
echo "[Mise en place du masquerading]"
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j MASQUERADE
############### REDIRECTION IP/PORT ####################################
echo "[Activation du filtrage web redirection proxy]"
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
######################### ACTIVATION DE LA PASSERELLE ##################
echo "[Activation de la passerelle]"
echo 1 > /proc/sys/net/ipv4/ip_forward
########################### PAS DE SPOOFING ############################
echo "[Pas de spoofing]"
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ] ; then
for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $filtre
done
fi
################################## PAS DE SYNFLOOD ####################
echo "[Pas de synflood]"
if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
fi
############################ PAS DE PING ###############################
#echo "[Pas ping]"
#echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
#echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
#if [ -e /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses ] ; then
# echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
#fi
######### Fonctionnalités serveurs #####################################
echo "[Etude des fonctionalités serveurs, visibles depuis internet ]"
echo "[autorisation du serveur ssh(22) ...]"
iptables -A INPUT -p tcp --dport ssh -j ACCEPT
#echo "[autorisation du serveur http(80) ...]"
#iptables -A INPUT -p tcp --dport www -j ACCEPT
#echo "[autorisation du serveur https(443) ...]"
#iptables -A INPUT -p tcp --dport https -j ACCEPT
echo "[autorisation du serveur DNS(53) ...]"
iptables -A INPUT -p udp --dport domain -j ACCEPT
iptables -A INPUT -p tcp --dport domain -j ACCEPT
#echo "[autorisation du serveur FTP(21 et 20) ...]"
#iptables -A INPUT -p tcp --dport ftp -j ACCEPT
#iptables -A INPUT -p tcp --dport ftp-data -j ACCEPT
echo "[firewall activé !]"
}

Quelqu'un voit il des erreurs de conception?

Merci de votre aide.