IPCOP & Sous réseaux

par **remi** » 12 Mars 2003 17:08

Je pensais que c'était ca personnelement, mais ca marche pas ipchains -A -s 10.141.2.0/24 -p tcp -d @ip_serveur 110 -j ACCEPT j'ai ce message qui apparait : Try `ipchains -h' or 'ipchains --help' for more information. sans autre indications...

par **antolien** » 12 Mars 2003 17:12

je pense avoir trouvé tu dois définir avant ta chaîne sousrezo1="10.141.2.0/24" et après tu remplace dans la règle par sousrezo1 malheureusement la règle que je t'ai donnée ne peut fonctionner que à partir du rc.firewall.up. alors laisse tomber il faut trouver autre chose. je rechefli (en + je l'ai déjà fait !) et te tiens au courant désolé <IMG SRC="images/smiles/icon_biggrin.gif">

par **remi** » 12 Mars 2003 17:18

OK, je continue mais recherche... dès que la soluce est OK, je fais la manip, et petit man pour les users d'Ixus...

par **antolien** » 12 Mars 2003 17:19

hum, bon : ipchains -A input -j ACCEPT -p tcp -s 10.141.2.0/24 -d @ip_serveur/32 110 en respectant la casse ça devrait marcher

par **remi** » 12 Mars 2003 17:54

la ligne est acceptée par IPCOP, mais les sites distants n'arrivent toujours pas a joindre serveur mail. Mon reseau transpac est bien configuré puisque lorsque j'essaie de pinger le serveur mail depuis un site distant j'obtiens le message "Réponse de @IPCOP_green : Impossible de joindre l'hote de destination"

par **busab** » 12 Mars 2003 18:00

a mon avis, c'est normal. Il te faut la regle ipchains mais aussi une adresse IP corrrespondant au sous réseau. je me rapelle pas exactement la syntaxe mais regarde dans le man de ifconfig, ils expliquent comment définir un alias pour une carte réseau.

par **busab** » 12 Mars 2003 18:07

pardon la page de man est un peu courte. tiens, le mini howto sur les alias réseau : <a href="http://tldp.org/HOWTO/mini/IP-Alias/index.html" target="_blank">http://tldp.org/HOWTO/mini/IP-Alias/index.html</a> <IMG SRC="images/smiles/icon_smile.gif">

par **antolien** » 12 Mars 2003 18:08

ah, mais tu peux joindre ton site distant à partir d'ipcop ? si non, et bien il manque une route... celle de ton rézo distant. genre route add 10.141.2.0/255.255.255.0 @ip de ton routeur transpac eh oui, les paquets arrivent bien à ton serveur de mail maintenant mais le retour ne peux pas se faire...

par **tomtom** » 12 Mars 2003 18:09

Je comprends pas trop ton architecture ? Le serveur de mail est sur le sme ? Quelle est la config de ton ipcop ? Ou est le green ? le red ? moi je ne vois pas... Logiquement il faut effectivement autoriser les connections vers le port 25 du serveur, mais peut etre egalement autoriser les paquets avec 25 comme port source..... Il faut egalement verifier que tu n'as pas une règle bloquant les connections depuis le green avec une ip qui n'est pas du reseau green.... Bref, un peu plus d'infos <IMG SRC="images/smiles/icon_smile.gif"> Bon courage ! Thomas

par **antolien** » 12 Mars 2003 18:29

on récapitule ? alors, ton serveur de mail, c'est le sme le red est du côté sme j'imagine alors, il faut d'abort ouvrir le 110 et 25 du côté red ensuite ajouter les règles ipchains -A input -j ACCEPT -p tcp -s 10.141.2.0/24 -d @ip_serveur/32 110 ipchains -A input -j ACCEPT -p tcp -s 10.141.2.0/24 -d @ip_serveur/32 25 hum et la dernière étape, ajouter la route pour les paquets retours sur l'ipcop (je connais pas trop la syntaxe) route add 10.141.2.0/24 gw @ip_routeur_transpac

par **tomtom** » 12 Mars 2003 18:34

Oui j'y pensais à la route mais si des paquets arrivent (en reponse au ping) c'est qu'elle sont bien configurées. La syntaxe est route add 10.141.2.0 gw @routeur netmask 255.255.255.0 Je ne pense pas que la notation /24 soit autorisée.. à voir <IMG SRC="images/smiles/icon_smile.gif"> Sinon, un autre truc que tu peux tenter : recopie la règle de antolien en remplaçant INPUT par FORWARD. Il ne faut pas oublier que pour ipchains, un paquet routé traverse successivement les tables INPUT, FORWARD et OUTPUT Donc il faudrait peut etre mettre une règle d'autorisation dnas les 3 ??? C'est juste une hypothèse, sur IPTABLES j'aurais pu plus t'aider mais la.... Bon courage... Thomas

par **tomtom** » 12 Mars 2003 18:39

Tiens un truc, la route doit etre présente sur le IPCop (cf reponse au ping), en revanche elle n'y est peut-etre pas sur le serveur de mail.... ? Ca vaut le coup de tenter (apres les règles !!! <IMG SRC="images/smiles/icon_wink.gif"> ) Tom

par **antolien** » 12 Mars 2003 18:47

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-03-12 16:54, arsenic a écrit: Mon reseau transpac est bien configuré puisque lorsque j'essaie de pinger le serveur mail depuis un site distant j'obtiens le message "Réponse de @IPCOP_green : Impossible de joindre l'hote de destination" </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> donc en fait, tu peux pas joindre ton serveur de mail à cause de la route de retour ç'est certain. il faudrai à partir de l'ipcop, essayer de pinger un poste du site distant. si ça répond pas ->route add files nous netstat -r ? ps: oui thomas, je crois que le ping ne répond pas justement

par **tomtom** » 12 Mars 2003 18:50

Ben oui mais si c'est l'ip d'IPCop qui repond ca ? A priori c'est que c'est lui qui repond, non ? Il est bizarre ce message de ping... Si IPCop ne savait pas repondre, on aurait un time out tout simplement... La j'ai plutot l'impression qu'il repond un "host unreacheable", comme si il etait configuré en REJECT ! _________________ "Ce n'est pas parce qu'un problème n'a pas été résolu qu'il est impossible à résoudre" A. Christie

par **remi** » 12 Mars 2003 18:51

Je réponds a tout le monde  Le 2003-03-12 17:09, tfillaud a écrit: Je comprends pas trop ton architecture ? --> c pour ca que j'ai fais un gros dessin !!! <IMG SRC="images/smiles/icon_biggrin.gif"> <IMG SRC="images/smiles/icon_biggrin.gif">  Le serveur de mail est sur le sme ? --> Oui, mail, http,... Ou est le green ? le red ? --> green=lan ; Red=SME (Ca parait logique, Non ??) Le 2003-03-12 17:29, antolien a écrit:  on récapitule ? alors, ton serveur de mail, c'est le sme --> oui le red est du côté sme j'imagine --> oui alors, il faut d'abort ouvrir le 110 et 25 du côté red --> Je ne suis pas d'accord pour deux raisons : - ce sont toujours les machines du green qui font la requete, donc pas besoin d'ouvrir de port du coté du RED. - de plus ca marche sans ouvrir de ports depuis mon poste (test en local) ensuite ajouter les règles ipchains -A input -j ACCEPT -p tcp -s 10.141.2.0/24 -d @ip_serveur/32 110 ipchains -A input -j ACCEPT -p tcp -s 10.141.2.0/24 -d @ip_serveur/32 25 --> Les regles semblent bonnes, elles sont acceptées par l'IPCOP hum et la dernière étape, ajouter la route pour les paquets retours sur l'ipcop (je connais pas trop la syntaxe) route add 10.141.2.0/24 gw @ip_routeur_transpac --> c déja fait et l'orthographe exacte est : route add -net 10.141.2.0 gw @ip_routeur_transpac ethX pour le LAN, ca fonctionne nickel pour le MAN, site distant ping IPCOP(green), IPcop ping site distant MAIS site distant choppe pas SME (coté RED) Voili voilou, ouf, il est long ce message <IMG SRC="images/smiles/icon_biggrin.gif"> <IMG SRC="images/smiles/icon_biggrin.gif"> <IMG SRC="images/smiles/icon_help.gif"> <IMG SRC="images/smiles/icon_help.gif">

IPCOP & Sous réseaux

Qui est en ligne ?