Lire le journal de Shorewall

par **svart** » 16 Sep 2003 18:08

C'est pas que je veux lire le journal par dessus son épaule, mais plutôt que de venir ouvrir un post avec toute ma config dans l'espoir que quelqu'un la corrige, je préfèrerais apprendre à lire le journal de shorewall, histoire de voir où se perdent mes paquets. par exemple : 4sep 15 17:53:1000:00:00:03Shorewall:lan2all:REJECT:eth0icmp192.168.0.1-8213.41.78.13webshared-front3.fr.colt.net0- Semble vouloir dire que la regle lan2all (dans policy) a été appliquée et a rejeté un paquet provenant de 192.168.0.1 (moi) sur le port 8 vers 213.41.78.13 au port 0(résolu en webshared-front3.fr.colt.net0) Me trompe-je ? Par contre, cette ligne me laisse perplexe (elle se repete au longueur de journal) 0:00:00:16Shorewall:man1918:DROP:eth1tcp192.168.0.1-2650192.168.0.6firewall.domeurokapi8443-a--p- Ou vais-je trouver man1918 ? Je n'ai pas vu de règles d'exception droppant les paquets...

par **Jacques-** » 17 Sep 2003 13:20

Pour ce qui est du dernier message, cela fait référence à RFC 1918 qui défini l'attribution des adresses IP dans des réseaux privés si je ne m'abuse. En gros, il a une machine ayant une adresse dans une classe privée (192.168.0.0) sur une iinterface prévue pour une réseau externe. Cette config n'est pas normale et s'apparente à une tentative de spoofing, fournir une adresse du LAN pour se faire passer pour une machine locale alors que l'on vient de l'extérieur. C'est une option de config de shorewall qui est activée et qui rejette cette trame dans ce cas. Pour le premier message, ce que tu déduis me semble juste, les espaces manquant dans le message, les chiffres ne sont pas toujours facile à déchiffrer justement. En règle générale, les messages sont assez simples, il y a le nom de la règle (wan2fw, lan2fw, etc...), le traitement du paquet, REJECT DROP ACCEPT, l'interface entrante et sortante, l'adresse entrante avec l'adresse MAC éventuelle, le port demandé (en clair ou non) et l'adresse demandée avec son port. Jacques

par **jdh** » 17 Sep 2003 13:39

Bravo Jacques ! Juste quelques compléments Pour le premier paquet, il s'agit d'un ping = icmp. Le ping (de Lan vers Net) est par défaut interdit. Cela interdit aussi le tracert sous Windows mais pas celui d'unix ! Pour le 2me paquet, de fait la chaine "rfc1918" est relative à la rfc du même numéro. Cette règle refuse donc les adresses privées (définies par la rfc 1918) venant de l'interface Net (=externe). Cette règle élimine aussi d'autres adresses non affectées actuellement par l'IANA. Pour info, la rfc 1918 indique que l'on doit utiliser dans les réseaux privés les adresses suivantes : - 10.x.x.x /8 - 172.16-31.x.x/16 - 192.168.0-255.x/24 (ou tous sous-réseaux inclus dans ces adresses, bien sur !)

par **svart** » 17 Sep 2003 17:04

Merci les gars ! Hier soir en relisant la doc j'ai eu un spasme, en comprenant que ce mystérieux 1918 faisait référence au RFC1918. Cependant je ne comprenais pas pourquoi ce filtrage, et j'ai relu la doc. J'ai fait une erreur grave (si,si) en considérant que des tests ne nécessitait pas de modification de mon architecture. Je vais faire bondir les spécialistes qui vont me huer : j'avais branché les interface WAN et LAN sur le même switch ! Parait que dans ce cas, Linux peut utiliser n'importe quelle interface, la première contactée. D'où des pertes de connexions de l'interface d'admin ou du routeur. Plus des effets annexes de filtrage idiots. Je sais que c'est bête (un firewall en "parrallèle" ne sert à rien") mais que pour des tests ça suffirait. Ben non. Pardon. Le ferais plus. <IMG SRC="images/smiles/icon_bawling.gif">

Lire le journal de Shorewall

Qui est en ligne ?