[Résolu] IPtables bloque tout seul les scan ?

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : [Résolu] IPtables bloque tout seul les scan ?

Gavrinis

Open your mind

Bonjour,

Je suis en train de mettre en place un firewall sur mes différentes VM. Au moment de tester si le firewall est efficace, je remarque qu'il empêche le scan des ports (et ce avec ou sans la règle :??: ).
IPtables empêche-t-il le scan par défaut ? A ma connaissance non ...

Merci pour vos explications :jap: .

Code :

IPTABLES=`which iptables`
IFLAN=eth0
IPLAN=10.1.1.201/32
NETWORK=10.1.1.0/24
case "$1" in
start)
echo "Starting Firewall"
# Flush all tables and delete user chain.
for table in "mangle" "raw" "filter" "nat"
do
$IPTABLES -t $table -F
$IPTABLES -t $table -X
done
# Set default Filter policy.
for chaines in "INPUT" "OUTPUT" "FORWARD"
do
$IPTABLES -t filter -P $chaines DROP
done
# Set default Mangle policy.
for chaines in "INPUT" "OUTPUT" "FORWARD" "PREROUTING" "POSTROUTING"
do
$IPTABLES -t mangle -P $chaines ACCEPT
done
# Set default NAT policy.
for chaines in "PREROUTING" "POSTROUTING" "OUTPUT"
do
$IPTABLES -t nat -P $chaines ACCEPT
done
# Allow loopback traffic.
$IPTABLES -t filter -A INPUT -i lo -p all -s 127.0.0.1 -j ACCEPT
$IPTABLES -t filter -A OUTPUT -o lo -p all -d 127.0.0.1 -j ACCEPT
# Allow authorized traffic from/to eth0.
$IPTABLES -t filter -A OUTPUT -o $IFLAN -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -t filter -A INPUT -i $IFLAN -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -t filter -A INPUT -i $IFLAN -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT
# Limit port scan.
$IPTABLES -t filter -A INPUT -i $IFLAN -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
# Allow ping. (LAN to Internet)
$IPTABLES -t filter -A OUTPUT -o $IFLAN -p icmp --icmp-type echo-request -j ACCEPT
$IPTABLES -t filter -A INPUT -i $IFLAN -p icmp --icmp-type echo-reply -j ACCEPT
# Allow SSH.
$IPTABLES -t filter -A INPUT -i $IFLAN -s $NETWORK -p tcp --dport 22 -m state --state NEW -j ACCEPT
$IPTABLES -t filter -A INPUT -i $IFLAN -s x.x.x.x/32 -p tcp --dport 22 -m state --state NEW -j ACCEPT
# Allow Apache.
$IPTABLES -t filter -A INPUT -i $IFLAN -s $NETWORK -p tcp --dport 80 -m state --state NEW -j ACCEPT
$IPTABLES -t filter -A INPUT -i $IFLAN -s x.x.x.x/32 -p tcp --dport 80 -m state --state NEW -j ACCEPT
$IPTABLES -t filter -A INPUT -i $IFLAN -p tcp --dport 443 -m state --state NEW -j ACCEPT
# Allow DNS requests for updates.
$IPTABLES -t filter -A OUTPUT -o $IFLAN -p udp --dport 53 -m state --state NEW -j ACCEPT
# Allow NTP requests.
$IPTABLES -t filter -A OUTPUT -o $IFLAN -p udp -d x.x.x.x/32 --dport 123 -j ACCEPT

Message édité par Gavrinis le 19-03-2010 à 17:24:03

Publicité

Gavrinis

Open your mind

[:valentinorossi]

O'Gure

Modérateur
Multi grognon de B_L

Sans aucune règle dans tes chaînes, iptables ou le kernel ne fait absolument rien pour empêcher un scan.
Les ports ouverts répondront par un pacquet TCP syn/ack et les ports fermé par un RST.

(contrairement au bsd qui ont une fonction de rate-limiting de base)

---------------
Relax. Take a deep breath !

Gavrinis

Open your mind

C'est justement ça le problème, nmap ne voit rien alors que je n'ai aucune règle qui empêche le scan.

O'Gure

Modérateur
Multi grognon de B_L

par il ne voit rien, t'entends quoi ?

Faudrait que tu nous décrives ton archi de test (schéma réseau, fonction de nat, firewall, internet, cible, PC qui émet le scan de nmap) et la réponse précise de nmap.

---------------
Relax. Take a deep breath !

Gavrinis

Open your mind

Rien ne s'affiche.

C'est bêtement deux ordi l'un sous Debian (le serveur), l'autre sous Archlinux (mon portable), ils sont dans le même sous réseau, il n'y a pas de firewall (à part celui au dessus).

O'Gure

Modérateur
Multi grognon de B_L

Par 'rien' t'entend quoi ? [:ddr555]
De base, tu devrais avoir un minimum

> nmap localhost

Starting Nmap 5.00 ( http://nmap.org ) at 2010-03-14 17:15 CET
Warning: Hostname localhost resolves to 2 IPs. Using 127.0.0.1.
Interesting ports on localhost (127.0.0.1):

Tu veux pas copier coller exactement ce qu'il te met ?

Message édité par O'Gure le 14-03-2010 à 17:16:47

---------------
Relax. Take a deep breath !

Gavrinis

Open your mind

$ nmap 10.1.1.201

Starting Nmap 5.21 ( http://nmap.org ) at 2010-03-14 17:15 CET

O'Gure

Modérateur
Multi grognon de B_L

il répond au ping ton 10.1.1.201 ?

---------------
Relax. Take a deep breath !

Gavrinis

Open your mind

Oui

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

[Résolu] IPtables bloque tout seul les scan ?

Sujets relatifs
[résolu] DRBD + iSCSI + LVM + multipath	Récupérer données NAS partition linux Thecus N2200 [RESOLU]
[RESOLU] Samba : smbd ne se lance pas au démarrage du serveur	[Résolu] Gérer les noms de domaine
logiciel sous Debian pour créer un site ( résolu )	PB carte reseau /etc/udev/rules.d (Résolu)
[Résolu] - Problème Thunderbird_Passage de windows à Ubuntu	[Résolu] Fedora Core 12 : impossible de passer en KDE en fr
Je m'installe un autre LAMP mais soucis avec phpmyadmin [Résolu]	[Résolu]Snort: le demon ne demarre pas.
Plus de sujets relatifs à : [Résolu] IPtables bloque tout seul les scan ?

Page générée en 0.084 secondes