Toujours le même soucis et pô de réponse

par **cabal** » 15 Jan 2004 13:00

Re-re-rebonjour, Je m'en remets à vous sur le <IMG SRC="images/smiles/icon_mad.gif"> <IMG SRC="images/smiles/icon_confused.gif"> foutu problème d'accès a : 1-mon serveur Intranet en <a href="http://aaa.bbb.ccc.ddd:1000" target="_blank">http://aaa.bbb.ccc.ddd:1000</a> en DMZ 2-mon serveur de messagerie en DMZ Je vais finir par la passer par la fenetre cette MNF (bon j'ai pas de fenêtre dans la salle serveur mais je vais me débrouiller) <IMG SRC="images/smiles/icon_wink.gif"> Please, help, j'ai de moins en moins de cheveux à force de me les arracher !! Merci pour vos réponses Cabal

par **loubard** » 15 Jan 2004 13:03

je connais pas la solution a ton premier probleme mais en ce qui concerne les cheveux : <a href="http://www.moumoute.com" target="_blank">http://www.moumoute.com</a> <IMG SRC="images/smiles/icon_lol.gif">

par **cabal** » 15 Jan 2004 13:05

Le pire est qu'il y a site derrière ça !!! <IMG SRC="images/smiles/icon_lol.gif"> Bon, merci pour ta réactivité sur mes problèmes capillaires Une prop' pour la MNF ?? CAbal

par **louis** » 15 Jan 2004 13:24

Bonjour, Quand tu ne sais pas quel port ouvrir et quel protocole, il te suffit de visualiser le log 'syslog' sur la MNF pour voir où ca bloque. Cela va te décrire ce qui est rejeté (port et protocole) et pourquoi ? A toi d'ajouter le ou les exemptions.

par **nemesis** » 15 Jan 2004 13:54

tu peux détailler ton problème stp ? Parce que là comme ça... Nem.

par **cabal** » 15 Jan 2004 13:54

Bonjour Louis Voila ma log SYSVOL, cependant, j'ai ouvert les exceptions LAN2DMZ sur le port 110 en pointant même vers la machine serveur de messagerie Jan 15 12:44:49 z6po kernel: Shorewall:lan2all:REJECT:IN=eth0 OUT=eth1 SRC=172.16.2.201 DST=209.191.169.2 LEN=48 TOS=0x00 PREC=0x00 TTL=127 ID=23944 DF PROTO=TCP SPT=1811 DPT=110 WINDOW=64240 RES=0x00 SYN URGP=0 >donc j'ai bien une c... dans le potage Je joint aussi les rêgles d'exception, si tu veux ACCEPT lan dmz:209.191.169.3:1000 udp http - ACCEPT wan dmz:209.191.169.3:1000 tcp http - ACCEPT lan dmz:209.191.169.2 tcp pop3 - ACCEPT wan dmz:209.191.169.2 tcp pop3 - ACCEPT lan dmz:209.191.169.2 tcp smtp - pour info, les 2 premières exceptions sont pour un accès vers l'Intranet, par contre, comment router mon adresse public vers cette adresse en DMZ pour que les utilisateurs du WAN puisse atteindre ces applis (POP, SMTP et Intranet), je crois que c'est un paramétrage de masquarade mais est ce qq'un peux m'expliquer le principe sans vouloir abuser de votre gentillesse Cabal

par **jdh** » 15 Jan 2004 14:29

D'apres ce que tu décris (trop peu pour t'aider !) : Ton fw dispose de 3 interfaces : wan -> internet : dmz -> zone dmz : 209.191.169.2 et 3 lan -> réseau local : 172.16.x.x Premièrement, la DMZ ne devrait pas utiliser d'adressage public : par sécurité et parce que tu dois couper en 2 les adresses publiques qui te sont fournies d'où perte d'adresse. Deuxièmement tu dois utiliser plutot un DNAT qu'un ACCEPT qui effectue justement la translation d'adresse nécessaire. Enfin la première règle indique http sur udp ce qui est erroné : http (=80) ne fonctionne que sur tcp à ma connaissance. Pour terminer, tu parles de "masquarade" (masquerade est correct). Il s'agit de l'essentiel : Un réseau privé (conforme à la RFC 1918) utilise les adresses dite "privées" (192.168.x.x, 172.16-31.x.x ou 10.x.x.x). Pour se connecter à Internet, il est néecessaire de changer d'adresse au travers d'une translation (en anglais "masquerade). Il en existe 2 sortes : SNAT : Source Network Address Translation : remplacement de l'adresse source (du réseau interne) par l'adresse du firewall (externe donc publique). (Au retour le firewall retranslate via une table qu'il maintient) DNAT : Destination : le firewall translate l'adresse cible (=destination) en l'adresse réelle => dans la DMZ (adresse privée). (Au retour même chose en sens inverse). Il reste généralement une difficulté : le LAN n'accède pas à la DMZ par l'adresse externe mais par l'adresse réelle. On résoud en créant un DNS privé. Mais ca devient plus compliqué.

par **louis** » 15 Jan 2004 15:09

Si tu modifie les exeptions sans faire référence explicite à ton serveur de mail, cad : ACCEPT lan dmz tcp pop3 - ACCEPT lan dmz tcp smtp - puis service shorewall restart As-tu le meme rejet ?

par **remi** » 15 Jan 2004 15:23

Bonjour, ... Ma question porte sur le serveur en DMZ.... Arrive tu depuis ce serveur a pinger un site tel que <a href="http://www.yahoo.fr" target="_blank">http://www.yahoo.fr</a> Le probleme peut venir de ton serveur qui n'arrive pas a comuniquer en retour. _________________ "Vers l'infini et l'au-dela"

par **cabal** » 15 Jan 2004 16:16

Tout d'abord merci pour vos nombreuw et précieux renseignement, désolé jdh ne n'avoir été plus explicite au départ. je fais un package pour tous, cela évite trop de post et donc de se gourrer JDH : Je pensais que du moment où j'étais isolé du réseau public, je pouvais utiliser une adresse de type 209.191.169.0/16, grossière erreur, pourtant sous la smoothwall, cela n'avait pas posé de conflit.(j'ai eu du bol) Pour le masquerade (là c'était une faute de frappe), je suis derrière un routeur oleane donc est-ce nécessaire car je pense qu'ils en font déja un non?? Je vais faire des tests Est ce tout de même nécessaire point de vue sécurité ?? Louis : J'ai les mêmes pb, j'avais déja démarré par là d'ailleurs sans résultats Remi : pour l'instant, je suis en phase de test donc pour sortir, j'ai mon système en exploitation, je vais être obligé de faire mes tests tard ce soir ou ce We Merci

par **sebastien133** » 15 Jan 2004 16:30

Pour webmin (port 10000), il ne s'agit pas de http mais de https... Ce n'est pas le même port. Sebastien133. PS : Utilise TCPDUMP pour voir les trames qui arrivent, cela va te simplifier grandement la vie... <IMG SRC="images/smiles/icon_wink.gif">

par **cabal** » 16 Jan 2004 09:44

Merci à tous, je reprend ce projet lundi qui avec votre aide devrait tourné...normalement CAbal

par **sebastien133** » 16 Jan 2004 14:26

ACCEPT lan dmz:209.191.169.3:1000 udp http - C'est faux... http = 80, si tu mets 10000, tu insinus que port = 80 = 1000. Ce qui n' a pas de sens... Il faut mettre à la place : ACCEPT lan dmz:209.191.169.3 udp https -

Toujours le même soucis et pô de réponse

Qui est en ligne ?