[Topic unique] Firewall Avec Iptables

Recherche :

Mot : Pseudo : Filtrer
Page : 1 2 Page Suivante Page Précédente Bas de page
Auteur	Sujet : [Topic unique] Firewall Avec Iptables

jlighty

Reprise du message précédent :
heu à quoi correspond SP$ ?
normalement il doit te retourner le numéro de port source et destination

Publicité

korben31

j'ai modifier dsl ^^ c'est parce que c'est dans la console

jlighty

par contre je ne vois nulle part dans ton script la règle qui permet l'accès au DNS

korben31

Code :

### Accepte dns depuis internet ###
$IPT -A INPUT -p tcp --dport 53 -i $INTERNET -j ACCEPT
$IPT -A OUTPUT -p tcp --sport 53 -o $INTERNET -j ACCEPT
$IPT -A INPUT -p udp --dport 53 -i $INTERNET -j ACCEPT
$IPT -A OUTPUT -p udp --sport 53 -o $INTERNET -j ACCEPT

ca suffi ca ?

l0ky

Il ouvre tout en sortie à la base...

l0ky

Là tu permets à des gars d'utiliser ton firewall comme serveur DNS...

korben31

ca m'aide pas trop

jlighty

en gros tes règles acceptent un paquet venant du net dont le port de destination est 53 (DNS)

Code :

$IPT -A INPUT -p tcp --sport 53 -i $INTERNET -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 53 -o $INTERNET -j ACCEPT
$IPT -A INPUT -p udp --sport 53 -i $INTERNET -j ACCEPT
$IPT -A OUTPUT -p udp --dport 53 -o $INTERNET -j ACCEPT

là elles acceptent les paquets venant du net que si le port source est 53 (et inversement)

par contre je ne sais pas pourquoi il t'as droppé le paquet car :

Citation :

### Accepte les connection sortante ###
$IPT -P OUTPUT ACCEPT

Message édité par jlighty le 24-05-2005 à 19:46:23

korben31

bah oué jsutement moi non plus comprend pas tout :'(

korben31

personne sais pq il me dit ca

[root@Speed-ReZo] (~) #ping free.fr
ping: unknown host free.fr

C'est un peut bizar vu que c'est un paquet sortant normalement

Publicité

l0ky

Code :

# Autorise tout le trafic appartenant à des connections existantes.
# A mettre en début de scripts (en haut des chaines) pour de meilleurs perf.
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
# Ouverture du port 53 en UDP pour requete DNS
iptables -A OUTPUT -p udp -o $INTERNET --dport 53 -m state --state NEW -j ACCEPT
iptables -A FORWARD -p udp -o $INTERNET--dport 53 -m state --state NEW -j ACCEPT
# Apres tu mets des règles d'ouverture pour d'autres proto en dessous
# ...
iptables -A OUTPUT -p tcp -o $INTERNET --dport 80 -m state --state NEW -j ACCEPT
iptables -A FORWARD -p tcp -o $INTERNET --dport 80 -m state --state NEW -j ACCEPT

Ensuite quand tu sauras utiliser correctement les flags TCP tu pourras renforcer les règles "NEW"

Message édité par l0ky le 25-05-2005 à 09:37:38

korben31

Toujours pas
Mais je comprend pas dans mes log je n'ai que des drop aucun accept
et les ping ne marche toujours pas non plus

l0ky

Ligne 22, tu t'es planté d'interface. La tu "MASQUERADE" les paquets sortant de ton interfaces $LOCAL. C'est l'interface $INTERNET qu'il faut utiliser.

Ensuite pour tes log, quand tu ACCEPT tes paquets tu fait -j ACCEPT. Si tu veux les logguer dans ton script, il faut les faire passer par ta chaine LOG_ACCEPT.

korben31

korben31

dite
# ### Log des paquet non traité ###
# $IPT -A FORWARD -j LOG_DROP
# $IPT -A INPUT -j LOG_DROP
# $IPT -A OUTPUT -j LOG_DROP

faut pas le remplacer par

# ### Log des paquet non traité ###
# $IPT -A FORWARD -j LOG_DROP
# $IPT -A INPUT -j LOG_DROP
# $IPT -A OUTPUT -j LOG_ACCEPT
??

korben31

Je n'arrive toujours pas a mettre mes log dans un fichier particulier, j'ai esseyer de changer mon log lvl et du coup pu rien meme lorsque je l'es enlever :'(

duch

il est mort ce topic ou bien?

ça m'interesse car je cherche un script pour sécuriser mon petit serveur web, vous en êtes où?

l0ky

korben31 a écrit :

Je n'arrive toujours pas a mettre mes log dans un fichier particulier, j'ai esseyer de changer mon log lvl et du coup pu rien meme lorsque je l'es enlever :'(

Tu connais ulog ? c'est fait pour ca (entre autres)
[:spamafote]

tuxbleu

renie ses origines

interessant ce topic, dommage qu'il soit laissé à l'abandon.

TheManThatGotAway

Ze man zat got awéééé(re)

Petite question qui me semble aller dans le sens du topic :

Une fois qu'on a établi ses règles, comment en tester l'efficacité ?

J'ai fait le fameux test 'Shields Up' de grc.com, j'ai fait un petit test avec nmap localhost...
Est-ce que c'est suffisamment fiable et détaillé ? Y-a-t-il plus intéressant, plus verbeux ?

Dites moi tout.

jlighty

Oui c'est suffisant pour tester le firewall.

TheManThatGotAway

Ze man zat got awéééé(re)

Ok sinon j'ai de bons résultats avec le test grc, tout est en Stealth et le test est 'Passed !'.

J'utilise Quicktables (un truc pour fainéant qui configure iptables à partir de simples questions/réponses).

... Avec ce script-ci. Sauvez le dans votre répertoire /home en tant que rc.firewall. Puis (d'après le fichier install) :

# cp rc.firewall /usr/local/sbin
# chown root /usr/local/sbin/rc.firewall
# chmod 744 /usr/local/sbin/rc.firewall

Finalement on rajoute le script dans /etc/rc.local pour qu'il s'execute au boot :

# echo "/usr/local/sbin/rc.firewall" >> /etc/rc.local

Pour appliquer les changements, taper :

# /usr/local/sbin/rc.firewall

Publicité

Page : 1 2

Page Suivante

Page Précédente

Haut de page

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

[Topic unique] Firewall Avec Iptables

Sujets relatifs
Mes regles IPTABLES ne marchent pas	Configuration iptables pour un serveur FTP
cherche bon firewall	[IPTABLES] Utiliser des adresses IP publiques sur un LAN (résolu)
[Firewall] de l'utilité de bloquer ses ports en sortie	Log de Iptables
[Firewall] Que pensez vous de portsentry ?	[IPTables] [Logs] [Firewall Snapgear SME550]Paquet Accepté ou Bloqué ?
Plus de sujets relatifs à : [Topic unique] Firewall Avec Iptables

Page générée en 0.078 secondes