[Résolu] Partage de connexion ne fonctionne pas

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : [Résolu] Partage de connexion ne fonctionne pas

Gavrinis

Open your mind

Bonjour,

J'ai un petit problème avec ma passerelle Debian :??: . Ce serait au niveau des DNS car si je ping "google.fr" je n'ai pas de réponse, alors que quand je fais ping 66.249.93.104, il me répond .

Pourtant /etc/resolv.conf est bon et idem pour /etc/network/interfaces

Aidez moi s'il vous plaît

Message édité par Gavrinis le 12-01-2009 à 17:08:10

Publicité

roscocoltran

L'enfer c'est les utilisateurs

ping ton serveur DNS

---------------
"Your god is too small", Giordano Bruno, 1548 - 1600

Gavrinis

Open your mind

ils me répondent

Gavrinis

Open your mind

mais après recherche le problème ne vient des DNS mais d'IPtables car quand je le désactive ça passe comment puis-je faire pour qu'il me laisse passer Google ?

roscocoltran

L'enfer c'est les utilisateurs

perso je n'utilise plus iptables directement, j'utilise shorewall (ou autre) que je trouve plus simple à gérer.

---------------
"Your god is too small", Giordano Bruno, 1548 - 1600

mikala

Souviens toi du 5 Novembre...

il faudrait nous donner tes règles iptables ( iptables -L ) et ton script pour générer ses règles.

---------------
Intermittent du GNU

Gavrinis

Open your mind

d'accord je vais chercher ça de suite

Gavrinis

Open your mind

Code :

#!/bin/sh
# /etc/network/if-pre-up.d/iptables-start
# REMISE à ZERO des règles de filtrage
iptables -F
iptables -t nat -F
# DEBUT des "politiques par défaut"
# Je veux que les connexions entrantes soient bloquées par défaut
iptables -P INPUT DROP
# Je veux que les connexions destinées à être forwardées
# soient acceptées par défaut
iptables -P FORWARD ACCEPT
# Je veux que les connexions sortantes soient acceptées par défaut
iptables -P OUTPUT ACCEPT
# FIN des "politiques par défaut"
# DEBUT des règles de filtrage
# Pas de filtrage sur l'interface de "loopback"
iptables -A INPUT -i lo -j ACCEPT
# J'accepte le protocole ICMP (i.e. le "ping" )
iptables -A INPUT -p icmp -j ACCEPT
# J'accepte le protocole IGMP (pour le multicast)
iptables -A INPUT -p igmp -j ACCEPT
# J'accepte les packets entrants relatifs à des connexions déjà établies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# Décommentez les deux lignes suivantes pour que le serveur FTP éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur SSH éventuel
# soit joignable de l'extérieur
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur de mail éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 25 -j ACCEPT
# Décommentez les deux lignes suivantes pour que le serveur de DNS éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 53 -j ACCEPT
#iptables -A INPUT -p udp --dport 53 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur Web éventuel
# soit joignable de l'extérieur
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# Décommentez les deux lignes suivantes pour que le serveur CUPS éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 631 -j ACCEPT
#iptables -A INPUT -p udp --dport 631 -j ACCEPT
# Décommentez les deux lignes suivantes pour que le serveur Samba éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 139 -j ACCEPT
#iptables -A INPUT -p udp --dport 139 -j ACCEPT
# Décommentez la ligne suivante pour que des clients puissent se connecter
# à l'ordinateur par XDMCP)
#iptables -A INPUT -p udp --dport 177 -j ACCEPT
# Décommentez la ligne suivante pour que l'odinateur puisse se connecter
# par XDMCP à une machine distante)
#iptables -A INPUT -p tcp --dport 6001 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur CVS éventuel
# soit joignable de l'extérieur via le mécanisme de "pserver"
# (si les utilisateurs accèdent au serveur CVS exclusivement via SSH,
# seule la ligne concernant le serveur SSH doit être décommentée)
#iptables -A INPUT -p tcp --dport 2401 -j ACCEPT
# Décommentez la ligne suivante pour pouvoir reçevoir des flux VideoLAN
# (ce sont des flux UDP entrants sur le port 1234)
#iptables -A INPUT -p udp --dport 1234 -j ACCEPT
# Décommentez la ligne suivante pour pouvoir reçevoir des annonces SAP
# (ce sont des annonces de session multicast)
#iptables -A INPUT -p udp -d 224.2.127.254 --dport 9875 -j ACCEPT
# Décommentez les 3 lignes suivantes pour pouvoir utiliser GnomeMeeting
#iptables -A INPUT -p tcp --dport 30000:33000 -j ACCEPT
#iptables -A INPUT -p tcp --dport 1720 -j ACCEPT
#iptables -A INPUT -p udp --dport 5000:5006 -j ACCEPT
# La règle par défaut pour la chaine INPUT devient "REJECT"
# (il n'est pas possible de mettre REJECT comme politique par défaut)
iptables -A INPUT -j REJECT
# FIN des règles de filtrage
# DEBUT des règles pour le partage de connexion (i.e. le NAT)
# Décommentez la ligne suivante pour que le système fasse office de
# "serveur NAT" et remplaçez "eth0" par le nom de l'interface connectée
# à Internet
iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE
# Si la connexion que vous partagez est une connexion ADSL, vous
# serez probablement confronté au fameux problème du MTU. En résumé,
# le problème vient du fait que le MTU de la liaison entre votre
# fournisseur d'accès et le serveur NAT est un petit peu inférieur au
# MTU de la liaison Ethernet qui relie le serveur NAT aux machines qui
# sont derrière le NAT. Pour résoudre ce problème, décommentez la ligne
# suivante et remplaçez "eth0" par le nom de l'interface connectée à
# Internet.
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS -o eth2 --clamp-mss-to-pmtu
# FIN des règles pour le partage de connexion (i.e. le NAT)
# DEBUT des règles de "port forwarding"
# Décommentez la ligne suivante pour que les requêtes TCP reçues sur
# le port 80 de l'interface eth0 soient forwardées à la machine dont
# l'IP est 192.168.0.3 sur son port 80 (la réponse à la requête sera
# forwardée au client)
#iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.3:80
# FIN des règles de "port forwarding"

IPtables -L :

Code :

Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT icmp -- anywhere anywhere
ACCEPT igmp -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:www
REJECT all -- anywhere awywhere reject-with icmp-port-unreachable
Chain FORWARD (policy ACCEPT)
target prot opt source destination
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
Chain OUTPUT (policy ACCEPT)
target prot opt source destination

trictrac

a aucun moment tu laisses passer les requetes DNS ...
Je pense que le prob est evident ...

Gavrinis

Open your mind

mais comment faire pour les accepter ?

Publicité

l0ky

Heu sans faire mon chieur : en input :
Ligne 3 : ACCEPT all -- anywhere anywhere
en output policy : ACCEPT
C'est une passoire ton truc ? [:opus dei]

Message édité par l0ky le 11-02-2007 à 20:08:33

roscocoltran

L'enfer c'est les utilisateurs

shorewall :ange:

---------------
"Your god is too small", Giordano Bruno, 1548 - 1600

monsieur

Citation :

IPtables bloque Google

[mode sarcastique]
IPtable a compris que Google était une intrusion majeure dans ta vie privée
[/mode sarcastique]

Gavrinis

Open your mind

j'ai pas trop compris ta fainte monsieur sinon je testerai un nouveau script ce soir et je vous dirai quoi demain

Gavrinis

Open your mind

Je n'aurai peut être pas le temps d'essayer aujourd'hui mais dès que je sais, je dis quoi

Gavrinis

Open your mind

ça n'a pas trop fonctionné pour ne pas dire rien changé

tfh

monthmota for the win pour les script iptables

---------------
For he who makes a beast of himself gets rid of the pain of being a man.

Gavrinis

Open your mind

il fonctionne très bien mais que sur la passerelle et contrairement au précédent il bloque quasi tout. Seulement les clients n'ont toujours pas la connexion.

Pouvez-vous encore m'aider ?

Voici le script :

Code :

###############################################################################
# NOM: iptable.sh
#
# COMMENTAIRE : Synthèse d'utilisation de ce qui a été vu dans le document
# (chapitre III-10-3)
#
# Ce script fait partie du document :
# "Firewall et sécurité d'un réseau personnel sous Linux"
# http://olivieraj.free.fr/fr/linux/ [...] /firewall/
#
# Auteur: Olivier ALLARD-JACQUIN (http://olivieraj.free.fr/)
# Créé le : 2003/07/09 Dernière modification le : 2003/07/09
#
###############################################################################
#
# Variables locales
#---------------------
# Paramètrage du réseau local (LAN)
LAN_INTERFACE=br0 ; # Interface réseau interne
LAN_IP=10.0.0.254 ; # Adresse réseau interne
LAN_NETWORK=10.0.0.0/24 ; # Réseau interne
LAN_BROADCAST=10.0.0.255 ; # Adresse de broadcast interne
# Paramètrage de la connexion Internet (WAN)
WAN_INTERFACE=eth2 ; # Interface modem
WAN_NETWORK=0.0.0.0/0
# Paramètrage de l'IP masquerading
# NAT=0 <=> Le NAT N'est PAS autorisé
# NAT=1 <=> Le NAT est autorisé
NAT=1
#==============================================================================
# A PARTIR DE CE POINT, VOUS N'AVEZ PLUS BESOIN DE CONFIGURER CE SCRIPT!!!
#==============================================================================
# Initialisation de Netfilter
#----------------------------
# Initialise la table Filter (par défaut tout les échanges sont refusés)
echo "+ Initialisation de la table Filter"
iptables -t filter -F
iptables -t filter -X
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT DROP
# Initialise la table NAT (par défaut tout les échanges sont activés)
echo "+ Initialisation de la table NAT"
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
# Initialise la table Mangle (par défaut tout les échanges sont activés)
echo "+ Initialisation de la table Mangle"
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
echo "+ Désactivation du NAT"
echo 0 > /proc/sys/net/ipv4/ip_forward
# Règles du localhost
# On NE fait PAS de restriction aux adresses IP source / destination 127.0.0.0
#---------------------------------------------------------------------------------------
echo "+ Règles du localhost"
iptables -t filter -A OUTPUT -o lo -p all -j ACCEPT
iptables -t filter -A INPUT -i lo -p all -j ACCEPT
# Règles de connexion au reseau local
# Tout est autorisé
#-------------------------------------------
echo "+ Règles du réseau local ($LAN_INTERFACE - $LAN_IP - $LAN_NETWORK)"
# Connexions firewall <-> réseau
iptables -t filter -A OUTPUT -o $LAN_INTERFACE -s $LAN_IP -d $LAN_NETWORK -p all -j ACCEPT
iptables -t filter -A INPUT -i $LAN_INTERFACE -s $LAN_NETWORK -d $LAN_IP -p all -j ACCEPT
# Connexions firewall <-> broadcast réseau
iptables -t filter -A OUTPUT -o $LAN_INTERFACE -s $LAN_IP -d $LAN_BROADCAST -p all -j ACCEPT
iptables -t filter -A INPUT -i $LAN_INTERFACE -s $LAN_BROADCAST -d $LAN_IP -p all -j ACCEPT
#
# Règles de connexion à Internet
# Seul les connexions initialisés par la machine sont autorisées
# C'est le suivit de connexion
#-----------------------------------------------------------------------
# Chargement des modules pour le suivit de connexion
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
echo "+ Règles pour Internet ($WAN_INTERFACE - $WAN_NETWORK) [ip $WAN_INTERFACE inconnue]"
echo "+ port 80 ouvert !!!"
iptables -t filter -A OUTPUT -o $WAN_INTERFACE -d $WAN_NETWORK -p all -m state --state ! INVALID -j ACCEPT
iptables -t filter -A INPUT -i $WAN_INTERFACE -s $WAN_NETWORK -p all -m state --state RELATED,ESTABLISHED -j ACCEPT
# on autorise les connexion sur le port 80 (si on a un serveur web, enlever le commentaire)
iptables -A INPUT -i $WAN_INTERFACE -s $WAN_NETWORK -p tcp --sport 1024:65535 --dport 80 -m state --state NEW -j ACCEPT
# Décommentez la ligne suivante pour que le serveur SSH éventuel soit joignable de l'extérieur
iptables -A INPUT -i $WAN_INTERFACE -s $WAN_NETWORK -p tcp --sport 1024:65535 --dport 22 -m state --state NEW -j ACCEPT
# Evite le problème du MTU
iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS -o eth0 --clamp-mss-to-pmtu
#
# Règles pour l'IP masquerading
# Pour que le IP masquerading soit activé, il faut la variable "$NAT" soit à "1"
#--------------------------------------------------------------------------------------
if [ "$NAT" == "1" ]; then
# Chargement des modules pour l'IP masquerading
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe ip_nat_irc
echo "+ Autorise l'IP masquerading de $LAN_NETWORK -> $WAN_NETWORK"
iptables -t filter -A FORWARD -i $LAN_INTERFACE -o $WAN_INTERFACE -s $LAN_NETWORK -d $WAN_NETWORK -p all -m state --state ! INVALID -j ACCEPT
iptables -t filter -A FORWARD -i $WAN_INTERFACE -o $LAN_INTERFACE -s $WAN_NETWORK -d $LAN_NETWORK -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -o $WAN_INTERFACE -s $LAN_NETWORK -d $WAN_NETWORK -p all -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
else
echo "+ L'IP masquerading N'est PAS autorisé"
echo 0 > /proc/sys/net/ipv4/ip_forward
fi

Gavrinis

Open your mind

up

ne me laissez pas tomber

Gavrinis

Open your mind

y a quelqu'un ? je suis sûr que certains connaissent la réponse

memaster

ki a volé mon 62?

ouvre voir ton port 53 comme tu 'las fait avec ton 80 et 22.

Message cité 1 fois
Message édité par memaster le 21-02-2007 à 14:28:43

l0ky

memaster a écrit :

ouvre voir ton port 53 comme tu 'las fait avec ton 80 et 22 <== dangereux qd même le 22 (c'est telnet)

non 22 ssh

Message cité 1 fois
Message édité par l0ky le 21-02-2007 à 14:28:22

memaster

ki a volé mon 62?

l0ky a écrit :

non 22 ssh

oueh je viens de verifier, c'est parce que je n'utilise plus ce port la pour mes ssh [:psywalk]

Gavrinis

Open your mind

ok regarde tout de suite

Telnet c'est 23

Gavrinis

Open your mind

non ça ne change rien de toute façon les requètes DNS passaient déjà avant car mes "ping google.fr" et "lynx google.fr" allaient

Publicité

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

[Résolu] Partage de connexion ne fonctionne pas

Sujets relatifs
[resolu] gnome crée des fichiers php non éxécutables (chmod 600)	Adept me dit qu'un autre soft est déjà en cours...
[RESOLU] [Unattended] Recompilation du noyau linux	Plantage Régulier : incompatibilité : RS480 / Nvidia - Résolu !
[Résolu] [Apache2] Autorisation d'une plage d'adresse IP	[Linux] partages connexion internet avec iptables
[Résolu] [AWK] Problème de séparateur	Suppression impossible avec partage samba avec interface graphique
[linksys wag200g] [résolu] probleme tunnel ssh pour VNC	[Résolu] Mac OS X en live cd ??
Plus de sujets relatifs à : [Résolu] Partage de connexion ne fonctionne pas

Page générée en 0.164 secondes