Freeradius, principe de fonctionnement

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Freeradius, principe de fonctionnement

redvivi

Bonjour à tous !

J'ai une petite question: lorsque l'on a installé un serveur Freeradius sans spécifier de NAS, est-ce que le serveur FreeRadius bloque les accès au serveur sur toutes les interfaces tant qu'on ne s'est pas authentifié à travers un NAS ? En gros j'ai installé un serveur FreeRadius et depus je n'arrive plus à accéder à mon serveur en SSH, pourtant le seul NAS que j'ai spécifié est localhost....ça peut etre lié ?

Merci d'avance !
RedVivi

Publicité

l0ky

Je penses pas non.

Freeradius est simplement un serveur radius. Tu l'installes et par la suite tu configures les services qui nécessitent une authentification via radius. Regardes si il y a eu modification de ta configuration PAM ou si elle est foireuse.

je viens de l'installer sous debian (lenny), je n'ai pas eu ce genre de question. C'est dans quel cadre ? Quel OS ? Par NAS tu veux dire Network Attached Storage ou Network Access Server ? Peux tu préciser un peu ton environnement stp ?

Message édité par l0ky le 20-07-2007 à 14:14:14

redvivi

Un serveur Debian Etch tout bete sur lequel j'ai installé Freeradius pour une authentification par adresse MAC, voici le schema:

[WWW]===[Debian]===LAN

J'ai demandé à FreeRadius d'écouter sur toutes les cartes, en fait les NAS seront les switches du LAN (authentification 802.1), mais depuis que j'ai installé ce serveur, j'ai l'accès SSH bloqué depuis le WWW (server unexpectedly closed connection).

Message édité par redvivi le 20-07-2007 à 15:34:04

redvivi

En fait je me demande si tu n'as pas raison pour PAM car j'ai du utiliser plusieurs commandes pour générer un certificat root pour Freeradius....Comment restaurer / corriger cette configuration PAM ?

[EDIT] J'utilise forcément PAM si j'utilise SSH ?

Message édité par redvivi le 20-07-2007 à 15:45:21

l0ky

Tu pourrais décrire précisément comment tu l'as installé ton freeradius ? Tuto suivit ?

l0ky

Normalement tu dois avoir un fichier /etc/pam.d/ssh contenant ca

Pris sur une debian testing.

# PAM configuration for the Secure Shell service

# Read environment variables from /etc/environment and
# /etc/security/pam_env.conf.
auth required pam_env.so # [1]
# In Debian 4.0 (etch), locale-related environment variables were moved to
# /etc/default/locale, so read that as well.
auth required pam_env.so envfile=/etc/default/locale

# Standard Un*x authentication.
@include common-auth

# Disallow non-root logins when /etc/nologin exists.
account required pam_nologin.so

# Uncomment and edit /etc/security/access.conf if you need to set complex
# access limits that are hard to express in sshd_config.
# account required pam_access.so

# Standard Un*x authorization.
@include common-account

# Standard Un*x session setup and teardown.
@include common-session

# Print the message of the day upon successful login.
session optional pam_motd.so # [1]

# Print the status of the user's mailbox upon successful login.
session optional pam_mail.so standard noenv # [1]

# Set up user limits from /etc/security/limits.conf.
session required pam_limits.so

# Set up SELinux capabilities (need modified pam)
# session required pam_selinux.so multiple

# Standard Un*x password updating.
@include common-password

Par contre si tu as un message "server unexpectedly closed connection", je trouve bizarre que ca vienne de la. Il devrait plutot te dire que tu ne t'aies pas authentifier correctement

Message cité 1 fois

redvivi

Le voici: http://christian.caleca.free.fr/lansecure/radius/

Par contre à un moment il me parle de générer des certificats, j'ai utilisé /usr/share/..../certs.sh qui m'a fait une erreur, alors j'ai utilisé le CA.all (même répertoire) et il m'a généré les certificats, quelques temps après j'exécuté mon script iptables et puis plus rien .....alors que avant ce script iptables me permettzit d'accéder à la machine et je n'ai rien changé dans ce script ! De tout de façon la communication se fait sinon j'obtiendrai un timeout si le port était bloqué...

redvivi

l0ky a écrit :

Par contre si tu as un message "server unexpectedly closed connection", je trouve bizarre que ca vienne de la. Il devrait plutot te dire que tu ne t'aies pas authentifier correctement

Attends je n'ai pas le prompt SSH, je lance putty, j'attend une minute et j'ai ce message.

l0ky

Si tu fais un telnet sur le port 22, ca te donne quoi ?

SSH-2.0-OpenSSH_4.6p1 Debian-4

?
Ca ressemble à un probleme de FW.
Vérifie tes règles (iptables -t filter -L -v -n)

Message édité par l0ky le 20-07-2007 à 15:54:20

redvivi

Je te promets que je l'ai testé en long en large et en travers ! le voici d'ailleurs:

eth1 est la connection Internet, eth2 celle du lan et eth0 ne sert pas

Code :

#Fichier de configuration permettant de d‚finir les politique de routage,
#de pare-feu, et de gestion de la bande passante (QoS)
echo "Activation du routage..."
echo 1 > /proc/sys/net/ipv4/ip_forward
echo "Activation de l'anti IP-Spoofing..."
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
then
for f in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $f
done
fi
# Nous vidons les chaŒs :
iptables -F
# Nous supprimons d'‚ntuelles chaŒs personnelles :
iptables -X
# Nous les faisons pointer par d‚ut sur DROP
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
# Nous faisons de mˆ avec toutes les autres tables,
# …avoir "nat" et "mangle", mais en les faisant pointer
# par d‚ut sur ACCEPT. Ca ne pose pas de problŠs
# puisque tout est bloqu‚u niveau "filter"
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
# Nous consid‚ns que la machine elle mˆ est s–# et que les processus locaux peuvent communiquer entre eux
# via l'interface locale :
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# Nous consid‚ns que notre r‚au local est
# ‚lement s–e qui n'est pas forc‚nt vrai, d'ailleurs).
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A INPUT -i eth2 -j ACCEPT
iptables -A OUTPUT -o eth2 -j ACCEPT
# Translation d'adresses pour tout ce qui traverse la passerelle
# en sortant par eth1 (AccŠInternet)
echo "Application du partage de connexion Internet..."
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
# Toutes les connexions qui sortent du LAN vers le Net
# sont accept‚
echo "Mise en place de l'ouverture dynamique de ports..."
iptables -A FORWARD -i eth2 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Seules les connexions d‚ ‚blies ou en relation avec
# des connexions ‚blies sont accept‚ venant du Net vers le LAN
iptables -A FORWARD -i eth1 -o eth2 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Autorisation des requˆs DNS locales
iptables -A OUTPUT -o eth1 -p udp --sport 1024: --dport 53 -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p udp --sport 53 --dport 1024: -m state --state RELATED,ESTABLISHED -j ACCEPT
# Autorisation des requˆs DNS sur Internet
iptables -A OUTPUT -o eth2 -p udp --sport 1024: --dport 53 -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth2 -p udp --sport 53 --dport 1024: -m state --state RELATED,ESTABLISHED -j ACCEPT
# Autorisation des requˆs DWeb de la passerelle
iptables -A OUTPUT -o eth1 -p tcp -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
# Autorisation des envois SMTP locaux
iptables -A OUTPUT -o eth1 -p tcp --sport 1024: --dport 25 -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp --sport 25 --dport 1024: -m state --state RELATED,ESTABLISHED -j ACCEPT
# AccŠSSH depuis le Net
iptables -A INPUT -p tcp --dport 2145 -i eth1 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 2145 -o eth1 -j ACCEPT
#On accepte la transmission des erreurs de ping
iptables -A INPUT -p icmp -m state --state RELATED -j ACCEPT
# Options de configuration pour limitation:
# DEV - correspond au p‚ph‚que ethX connect‚u modem
# RATEUP - …ositionner …ne valeur inf‚eure …a bande
# passante montante de la ligne.
# Pour ma ligne ADSL en 1500/128, RATEUP=90 convient au rythme
# montant de 128 kbps.
# RATEDN - …ositionner en dessous de la bande passante descendante de
DEV=eth1
RATEUP=4000
RATEDN=2500 # Nettement inf‚eur …a capacit‚e la ligne de 1500.
# On n'a donc pas …imiter le trafic entrant jusqu'…e
# qu'une meilleure r‚isation telle que la modification
# de fenˆe TCP soit disponible.
#
# Fin des options de configuration
#
# Remise …‚
tc qdisc del dev $DEV root 2> /dev/null > /dev/null
tc qdisc del dev imq0 root 2> /dev/null > /dev/null
iptables -t mangle -D POSTROUTING -o $DEV -j LIMITATION-OUT 2> /dev/null > /dev/null
iptables -t mangle -F LIMITATION-OUT 2> /dev/null > /dev/null
iptables -t mangle -X LIMITATION-OUT 2> /dev/null > /dev/null
iptables -t mangle -D PREROUTING -i $DEV -j LIMITATION-IN 2> /dev/null > /dev/null
iptables -t mangle -F LIMITATION-IN 2> /dev/null > /dev/null
iptables -t mangle -X LIMITATION-IN 2> /dev/null > /dev/null
ip link set imq0 down 2> /dev/null > /dev/null
rmmod imq 2> /dev/null > /dev/null
###########################################################
#
# Limitation de trafic sortant (limite sup‚eure …ATEUP)
# positionnement de la taille de la file d'‚ssion pour obtenir
# une latence d'environ 2 secondes pour les paquets de la file
# de faible priorit‚#i
ip link set dev $DEV qlen 30
# modification de MTU du p‚ph‚que sortant.
# - Diminuer la MTU abaisse la latence mais d‚ade le d‚t en raison de
# la surcharge IP et TCP.
#ip link set dev $DEV mtu 1000
# ajout de la strat‚e HTB
tc qdisc add dev $DEV root handle 1: htb default 25
# ajout de la classe de limitation principale
tc class add dev $DEV parent 1: classid 1:1 htb rate ${RATEUP}kbit
# ajout des classes filles:
# - chaque classe dispose AU MOINS de son quota de bande passante. Aucune
# classe n'est donc ‚uff‚par les autres. Chaque classe peut ‚lement
# consommer toute la bande passante si aucune autre classe ne l'emploie.
tc class add dev $DEV parent 1:1 classid 1:20 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 0
tc class add dev $DEV parent 1:1 classid 1:21 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 1
tc class add dev $DEV parent 1:1 classid 1:22 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 2
tc class add dev $DEV parent 1:1 classid 1:23 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 3
tc class add dev $DEV parent 1:1 classid 1:24 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 4
tc class add dev $DEV parent 1:1 classid 1:25 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 5
tc class add dev $DEV parent 1:1 classid 1:26 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 6
tc class add dev $DEV parent 1:1 classid 1:27 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 7
# ajout de la strat‚e aux classes filles
# - SFQ offre un traitement sensiblement ‚itable de chaque classe.
tc qdisc add dev $DEV parent 1:20 handle 20: sfq perturb 10
tc qdisc add dev $DEV parent 1:21 handle 21: sfq perturb 10
tc qdisc add dev $DEV parent 1:22 handle 22: sfq perturb 10
tc qdisc add dev $DEV parent 1:23 handle 23: sfq perturb 10
tc qdisc add dev $DEV parent 1:24 handle 24: sfq perturb 10
tc qdisc add dev $DEV parent 1:25 handle 25: sfq perturb 10
tc qdisc add dev $DEV parent 1:26 handle 26: sfq perturb 10
tc qdisc add dev $DEV parent 1:27 handle 27: sfq perturb 10
# r‚rtition du trafic en classe via fwmark
# - le trafic est r‚rti en classes de priorit‚uivant l'indicateur
# fwmark des paquets (ceux-ci sont positionn‚avec iptables un peu plus
# loin). La classe de priorit‚ar d‚ut a ‚ mise …:25 de telle sorte
# que les paquets qui ne sont pas marqu‚se retrouvent dans la classe de
# priorit‚a plus faible.
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 20 fw flowid 1:20
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 21 fw flowid 1:21
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 22 fw flowid 1:22
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 23 fw flowid 1:23
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 24 fw flowid 1:24
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 25 fw flowid 1:25
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 26 fw flowid 1:26
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 27 fw flowid 1:27
# ajout de LIMITATION-OUT …a table de modification des paquets d'iptables
# - ceci d‚are la table employ‚pour filtrer et classer les paquets
iptables -t mangle -N LIMITATION-OUT
iptables -t mangle -I POSTROUTING -o $DEV -j LIMITATION-OUT
# ajout de fwmark pour classer les diff‚nts types de trafic
# - fwmark est positionn‚e 20 …7 suivant la classe. 20 correspond …a
# priorit‚a plus forte.
#ATTENTION A L'ORDRE, SCAN DES PAQUETS DE HAUT EN BAS. RETURN PERMET DE PASSER
#AU PAQUET SUIVANT DES QUE LE BON PATTERN EST TROUVE POUR LE STREAM (EVITE UN SCAN COMPLET)
iptables -t mangle -A LIMITATION-OUT -p tcp -m length --length :64 -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-OUT -p tcp -m length --length :64 -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto dns -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto dns -j RETURN
iptables -t mangle -A LIMITATION-OUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-OUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ntp -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ntp -j RETURN
iptables -t mangle -A LIMITATION-OUT -p icmp -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -p icmp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto validcertssl -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto validcertssl -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ssl -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ssl -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto tls -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto tls -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto socks -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto socks -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto aimwebcontent -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto aimwebcontent -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto pop3 -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto pop3 -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto smtp -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto smtp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto msnmessenger -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto msnmessenger -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto aim -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto aim -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto yahoo -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto yahoo -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto irc -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto irc -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto jabber -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto jabber -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto shoutcast -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto shoutcast -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto live365 -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto live365 -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-rtsp -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-rtsp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto rtsp -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto rtsp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto quicktime -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto quicktime -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto httpvideo -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto httpvideo -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto httpaudio -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto httpaudio -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-itunes -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-itunes -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto sip -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto sip -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto skypeout -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto skypeout -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto skypetoskype -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto skypetoskype -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto h323 -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto h323 -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ftp -j MARK --set-mark 26
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ftp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-dap -j MARK --set-mark 26
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-dap -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto msn-filetransfer -j MARK --set-mark 26
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto msn-filetransfer -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7dir /etc/l7-protocols/ --l7proto bittorrent -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7dir /etc/l7-protocols/ --l7proto bittorrent -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto edonkey -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto edonkey -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto fasttrack -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto fasttrack -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto imesh -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto imesh -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto gnutella -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto gnutella -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto openft -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto openft -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto napster -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto napster -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto mute -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto mute -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto 100bao -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto 100bao -j RETURN
iptables -t mangle -A LIMITATION-OUT -m mark --mark 0 -j MARK --set-mark 25
# Fin de la limitation sortante
#
####################################################
echo "Limitation de trafic sortant activ‚ur $DEV. D‚t: ${RATEUP}kbit/sec."
# D‚mmenter la ligne suivante pour n'avoir que la limitation de trafic montant.
# exit
# Limitation du trafic entrant (d‚t maximal de RATEDN)
# on force le chargement du module imq
modprobe imq numdevs=1
ip link set imq0 up
# ajout de la strat‚e de mise en file d'attente
# - par d‚ut une classe 1:21 …aible priorit‚
tc qdisc add dev imq0 handle 1: root htb default 21
# ajout de la classe de limitation principale
#
tc class add dev imq0 parent 1: classid 1:1 htb rate ${RATEDN}kbit
# ajout des classes filles
# - trafic TCP en 21, le reste en 20
#
tc class add dev imq0 parent 1:1 classid 1:20 htb rate $[$RATEDN/2]kbit \
ceil ${RATEDN}kbit prio 0
tc class add dev imq0 parent 1:1 classid 1:21 htb rate $[$RATEDN/2]kbit \
ceil ${RATEDN}kbit prio 1
# ajout de la strat‚e de limitation aux classes filles
# - voir les remarques ci-dessus sur SFQ.
tc qdisc add dev imq0 parent 1:20 handle 20: sfq perturb 10
tc qdisc add dev imq0 parent 1:21 handle 21: red limit 1000000 \
min 5000 max 100000 avpkt 1000 burst 50
# r‚rtition du trafic en classe via fwmark
# - le trafic est r‚rti en classes de priorit‚uivant l'indicateur
# fwmark des paquets (ceux-ci sont positionn‚avec iptables un peu plus loin).
tc filter add dev imq0 parent 1:0 prio 0 protocol ip handle 20 fw flowid 1:20
tc filter add dev imq0 parent 1:0 prio 0 protocol ip handle 21 fw flowid 1:21
# ajout de LIMITATION-IN …a table de modification des paquets d'iptables
iptables -t mangle -N LIMITATION-IN
iptables -t mangle -I PREROUTING -i $DEV -j LIMITATION-IN
# ajout de fwmark pour classer les diff‚nts types de trafic
# - fwmark est positionn‚e 20 …1 suivant la classe. 20 correspond …a
# priorit‚a plus forte.
# Forte priorit‚our les paquets non TCP
iptables -t mangle -A LIMITATION-IN -p ! tcp -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-IN -p ! tcp -j RETURN
# Les petits paquets TCP sont probablement des ACK
iptables -t mangle -A LIMITATION-IN -p tcp -m length --length :64 -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-IN -p tcp -m length --length :64 -j RETURN
iptables -t mangle -A LIMITATION-IN -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-IN -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j RETURN
# R‚tition - les paquets sans marque sont positionn‚…1 (faible priorit‚
iptables -t mangle -A LIMITATION-IN -m mark --mark 0 -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-IN -m mark --mark 0 -j RETURN
# on envoie les paquets pr‚dents …'interface imq0.
iptables -t mangle -A LIMITATION-IN -j IMQ
# Fin de la limitation de trafic entrant.
#
####################################################
echo "Limitation de trafic entrant activ‚sur $DEV. D‚t: ${RATEDN}kbit/sec."

Message édité par redvivi le 20-07-2007 à 15:55:46

Publicité

redvivi

[EDIT] Je confirme, c'est un probleme avec iptables mais je vois pas d'ou ça vient !

Message édité par redvivi le 20-07-2007 à 22:17:51

redvivi

J'ai trouvé, en fait quand je lance mon script 2 fois à la suite, tout fonctionne, si je le lance une fois ça ne fonctionne pas...autant ne pas chercher à comprendre !

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

Freeradius, principe de fonctionnement

Sujets relatifs
Freeradius et EAP-SIM	Radius(freeradius) sur Debian
question fonctionnement postfix	Freeradius sur debian
[Resolu] acces interface web neufbox via deux reseaux	[résolu] [freeradius] groupes d'utilisateurs
freeradius + chillispot + WRT54GS	linux +clavier=mauvais fonctionnement
[RADIUS] Proleme Instal Freeradius	[Résolu] Transfert de données entre chillispot et freeradius.
Plus de sujets relatifs à : Freeradius, principe de fonctionnement

Page générée en 0.147 secondes