[firewall Iptables] accés proxy et dns

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : [firewall Iptables] accés proxy et dns

watcher

Bonjour ...

Voila je posséde un reseau avec bien entendue un server linux debian stable qui me sert de :

Firewall iptable (c'est lui qui et méchant !)
Proxy (Squid + Privoxy) je compte maitre par la suite un clamaV pour scanner le cache du Squid...
SNORT (Intrusion Detection System)
Server DNS Bind9
Server FTP
Server Web

Plant du réseau :

Routeur Alice box

[R1] => [eth1 server eth0] => [Poste client]

Server :
eth1 :
ip : 192.168.1.200 mask : 255.255.255.0
pass : 192.168.1.1
dns : 127.0.0.1

eth0 :
ip : 10.0.0.1 mask 255.0.0.0
pass : 10.0.0.1
dns : 127.0.0.1

et les poste clients :
ip : 10.0.0.xxx mask : 255.0.0.0
pass : 10.0.0.1
dns : 10.0.0.1

le poste principale qui permet l'administration du server et le poste 10.0.0.2 (le mien )

Config :

squid.conf

Code :

# Define Privoxy as parent proxy (without ICP)
cache_peer 127.0.0.1 parent 8118 7 no-query
# Define ACL for protocol FTP
acl ftp proto FTP
# Forward all the rest to Privoxy
#never_direct allow all
# Do not forward FTP requests to Privoxy
always_direct allow ftp
# Pas d'infos sur ces lignes
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
# Taille maximum de mémoire vive utilisée pour stocker du cache
cache_mem 16 MB
# Taille maximum des objets stockés dans le cache
maximum_object_size 15 MB
# Paramétrage du cache N°1 sur le premier disque
# - Type de stockage
# - Emplacement du cache
# - Taille totale du cache en MB
# - Nombre de répertoires de niveau 1 et de niveau 2
cache_dir ufs /var/spool/squid 512 16 256
# Paramétrage du cache N°2 sur le deuxième disque
cache_dir ufs /home/dd2/squid 512 16 256
# Format des logs :
# -> Avec off, squid utilise son propre format de logs,
# mais la date et l'heure ne sont pas lisible.
# -> Avec on, squid utilise le format standard CLF
emulate_httpd_log off
# Ces deux lignes permettent d'intégrer le plugin SquidGuard
#redirect_program /usr/bin/squidGuard
#redirect_children 4
# Pas d'infos sur ces lignes
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
# **********************************************************
# ** Définition des restrictions pour l'accès au cache **
# **********************************************************
# Liste des acl par défaut -> A conserver
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563 # https, snews
acl SSL_ports port 873 # rsync
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 631 # cups
acl Safe_ports port 873 # rsync
acl Safe_ports port 901 # SWAT
acl purge method PURGE
acl CONNECT method CONNECT
# ACL qui définit le réseau utilisant le cache
acl MonReseau src 10.0.0.0/255.0.0.0
# Accès par défaut -> A conserver
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
# Donne accès au cache au réseau
http_access allow MonReseau
# Interdit tout le reste
http_access deny all
# Autorise les réponses pour tout le monde (par défaut)
http_reply_access allow all
# Autorise le protocole icp pour tout le monde (par défaut)
icp_access allow all
coredump_dir /var/spool/squid

le fichier de configuration de mon firewall iptables :

firewall.sh

Code :

#!/bin/sh
# Activation du forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
# pour empêcher les attaques de type spoofing
# et bloquer les réponses ICMP du firewall,
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
then
for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $filtre
done
fi
# pas de icmp
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
# chargement de iptables.
modprobe ip_tables
# on va charger quelques modules supplémentaires pour
# gérer la translation d'adresse, l'IRC et le FTP
modprobe ip_nat_ftp
modprobe ip_nat_irc
modprobe iptable_filter
modprobe iptable_nat
# vidages de toutes les règles
iptables -F
iptables -X
# activation des logs
iptables -N LOG_DROP
iptables -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : '
iptables -A LOG_DROP -j DROP
iptables -N LOG_ACCEPT
iptables -A LOG_ACCEPT -j LOG --log-prefix '[IPTABLES ACCEPT] : '
iptables -A LOG_ACCEPT -j ACCEPT
# ont refuse tout
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
# Pour éviter les problèmes, on va tout accepter sur
# la machine en local (interface lo).
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
echo " [initialisation terminé]"
# autorisation du proxy squid a sortire sur l interface eth1 par le port 80
iptables -A OUTPUT -o eth1 -m state --state NEW,ESTABLISHED -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth1 -m state --state ESTABLISHED -p tcp --sport 80 -j ACCEPT
# proxy soit totalement transparent pour le LAN
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 127.0.0.1:3128
#==============================================================
#==============================================================
### activation routage entre eth1 et eth0 ###
iptables -A POSTROUTING -t nat -o eth1 -j MASQUERADE
### acceptation des connection ssh port 22 de la machine 10.0.0.2 ###
iptables -A INPUT -i eth0 -s 10.0.0.2 -m state --state NEW,ESTABLISHED -p tcp --dport 22 -j LOG_ACCEPT
iptables -A OUTPUT -o eth0 -d 10.0.0.2 -m state --state ESTABLISHED -p tcp --sport 22 -j LOG_ACCEPT
### acceptation du dns ###
iptables -A INPUT -i eth0 --protocol udp --source-port 53 -j ACCEPT
iptables -A OUTPUT -o eth0 --protocol udp --destination-port 53 -j ACCEPT
iptables -A INPUT -i eth0 --protocol tcp --source-port 53 -j ACCEPT
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 53 -j ACCEPT
### acceptation de Edonkey2000 sur 10.0.0.2 ###
iptables -A PREROUTING -t nat -i eth1 -p tcp --dport 3404 -j DNAT --to 10.0.0.2:3404
iptables -A PREROUTING -t nat -i eth1 -p udp --dport 3403 -j DNAT --to 10.0.0.2:3403
iptables -A INPUT -p udp -m state --state NEW --dport 3403 -i eth1 -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW --dport 3404 -i eth1 -j ACCEPT
#==============================================================
#==============================================================
# ont accpete les connection du eth0(reseau) vers le eth1(internet)
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
iptables -A FORWARD -o eth0 -i eth1 -j ACCEPT
# permettre à l'ensemble du LAN de dialoguer sur internet avec la même adresse IP sinon, bien
iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -j MASQUERADE
# Toutes les règles qui n'ont pas passé les
# règles du firewall seront refusées et loguées...
iptables -A FORWARD -j LOG_DROP
iptables -A INPUT -j LOG_DROP
iptables -A OUTPUT -j LOG_DROP
echo " [Termine]"

le fichier qui me permet de suprimer le firewall iptables :
desac_firewall.sh

Code :

#!/bin/sh
# On remet la police par défaut à ACCEPT
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
# On remet les polices par défaut pour la table NAT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
# On vide (flush) toutes les règles existantes
iptables -F
iptables -t nat -F
# On efface toutes les chaînes qui ne sont pas à defaut dans la table filter et nat
iptables -X
iptables -t nat -X
echo " [termine]"

et mon fichier de configuration par default de mon iptables :
default.sh

Code :

#!/bin/sh
### acceptation de Edonkey2000 sur 10.0.0.2 ###
iptables -A PREROUTING -t nat -i eth1 -p tcp --dport 3404 -j DNAT --to 10.0.0.2:3404
iptables -A PREROUTING -t nat -i eth1 -p udp --dport 3403 -j DNAT --to 10.0.0.2:3403
iptables -A INPUT -p udp -m state --state NEW --dport 3403 -i eth1 -j ACCEPT
iptables -A INPUT -p tcp -m state --state NEW --dport 3404 -i eth1 -j ACCEPT
### activation routage entre eth1 et eth0 ###
iptables -A POSTROUTING -t nat -o eth1 -j MASQUERADE

Quand je désactive le firewall iptables et que je lance mon fichier de comfiguration "default.sh" tout se passe bien ,j'ai bien le proxy 10.0.0.1:3128 etc ...

Quand le lance le firewall Iptables "Firewall.sh" je n'ai plus de dns ainsi que de proxy que ce soit transparent ou non... mais je posséde toujour la connection vue que la radio de winamp marche toujour etc ... je ne posséde juste plus de proxy ni de dns ...

Je pence que dans mon fichier "Firewall.sh" je doit avoir 2 erreur :

1. sur le DNS
2. sur le proxy trensparent

Je ne suis pas une téte en iptables ... je suis aussi a la recherche de bonne documentation sur iptables sur le NAT .

Si vous avez des idée ...

Message édité par watcher le 26-01-2006 à 18:19:06

Publicité

watcher

Personne peut m'aidez .... ? .... :??:

Klaimant

1. Je pense qu'il faudrait également autoriser ton DNS à sortir sur internet pour faire ses requêtes (si tu ne t'en sers pas exclusivement comme DNS interne)

2. Qu'est ce qui se passe quand tu fais une requète http quand ton script de firewall est activé? (tu as une page d'erreur du proxy ou erreur 404)

---------------
Fais le ou ne le fais pas, mais il n'y a pas d'essai !!!

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

[firewall Iptables] accés proxy et dns

Sujets relatifs
Apache et reverse proxy	probleme iptables
Restreindre accès smtp à un serveur	Firewall et antivirus sous linux??
[Topic unique] Regles iptables: Securiser un serveur	Permissions d'accès aux fichiers
distrib firewall avancée ?	Firewall linux : existe-t-il une interface graphique pour newbies ?
Reverse Proxy : authentification et ACL des sites
Plus de sujets relatifs à : [firewall Iptables] accés proxy et dns

Page générée en 0.081 secondes