plantage réseau lors de modifications

par **Guepi** » 06 Nov 2003 12:27

Bonjour à tous. Je vous présente mon problème : Lorsque je tente d'appliquer des modifications sur mon MNF ( bouton Appliquer ), je "bloque" tout le réseau de ma boîte. C'est assez ennuyeux, d'autant plus que je dois mettre en place un VPN, et donc configurer les éléments. Le schéma du réseau entreprise est le suivant : ------------------------------------------------------ Internet || Modem ADSL + Routeur || MNF == DMZ ( serveur de domaine + fichiers + apache / 10.0.0.*) || LAN ( postes clients / 192.168.100.* ) ------------------------------------------------------ Lorsque le réseau est bloqué, je me connecte sur le poste MNF, en tant que root, et je fais un : # shorewall clear Suite à ça, le réseau refonctionne correctement. Mes questions : 1- Pensez-vous qu'il y a un problème de configuration du MNF ? 2- Pensez-vous qu'il y a un problème au niveau de l'architecture du réseau ? 3- Quel est l'impact exact de la commande #shorewall clear ? Merci.

par **svart** » 06 Nov 2003 12:35

Mes réponses : 1- pour le savoir, il faudrait connaitre les règles que tu utilises et les modifications que tu effectues (de quel ordre et à quel destination), et quels messages apparaissent dans les logs quand le reseau est bloqué. 2- Me semble que non, ton archi est a priori correct, reste à voir les adressages. 3- Ca élimine toutes les règles actives, si ma mémoire est bonne.

par **Guepi** » 06 Nov 2003 12:51

Par exemple, après la mise à jour d'apache que je viens de faire, je n'ai rencontré aucun soucis. Mes problèmes se posent quand : - je modifie le proxy du mode transparent au mode manuel, et que j'applique. - je modifie le pare-feu pour ajouter les zones du VPN, les règles, etc.. ---------------------- Concernant le réseau, l'ensemble fonctionne, donc selon moi, ça devrait aller... ---------------------- Après mon shorewall clear, mes règles sont toujours présentes dans l'interface, d'où ma question sur son action préçise.

par **kboche** » 06 Nov 2003 13:06

Il me semble que cela ouvre totalement ton firewal... Et c'est pas vraiment bon ! <IMG SRC="images/smiles/icon_bawling.gif">

par **Guepi** » 06 Nov 2003 13:13

Le firewall est derrière un autre firewall ... non non je ne suis pas parano ! <IMG SRC="images/smiles/icon_eek.gif"> De toutes manières, les règles du firewall MNF sont un peu de l'ordre de "j'accepte tout !" <IMG SRC="images/smiles/icon_frown.gif">

par **svart** » 06 Nov 2003 13:14

Oui c'est bien ça, les règles ne sont plus actives, mais elles restent visibles. Passer du mode transparent au mode manuel, ou vice-versa, implique plusieurs actions (en fait, pas mal d'actions) de la part de la MNF. Ca modifie des infos de config dans shorewall. Pour ma part, je ferais le test suivant : - en mode console # shorewall restart L'avantage est que tu va voir à l'écran toute les règles défiler, et tu seras prévenu si l'une d'elle n'est pas correcte.

par **kboche** » 06 Nov 2003 13:25

Parano, mais non... Mais avoir le second firewall ou le premier totalement permissif n'est pas de bon ton ! <IMG SRC="images/smiles/icon_wink.gif"> Je pense que tu devrais d'ailleurs plutôt tout fermé et n'ouvrir que les qq ports nécessaires... Il faut mieux etre restrictif et ouvrir à bon escient même si cela prend parfois un peu plus de temps ! <IMG SRC="images/smiles/icon_mad.gif"> Allez courage et si tu as besoin <IMG SRC="images/smiles/icon_help.gif"> Ixus est là... <IMG SRC="images/smiles/icon_up.gif">

par **Guepi** » 06 Nov 2003 13:51

Oui oui, je dois fermer mon firewall, mais je basculerais le serveur de domaine NT + le serveur de fichiers dans la zone LAN ... pour que les broadcast ne soient pas trop gênants. Sinon, grâce à toi svart, je me rends compte qu'il y a pas mal de $%#&! dans ma config de iptables... tout passe, mais bon, le je refais ça ! <IMG SRC="images/smiles/icon_smile.gif">

par **svart** » 06 Nov 2003 16:41

Pour ma part, j'ai noté que l'interface n'est pas super pour faire des choses fines. En outre, il faut utiliser l'interface en anglais. J'ai opté pour l'abandon de l'interface web, mais pas de la MNF. Je me connecte sur cette dernière en SSH. Le firewall utilise les infos contenus dans /etc/shorewall/policy (regles générales) et /etc/shorewall/rules (exceptions). En modifiant ces fichiers à coups de vi, on peut faire bien comme on veut (tout fermer, et ouvrir port par port), en mettant des commentaires et tout. A chaque modif, un petit coup de shorewall restart permet de suivre et contrôler ses règles. Un petit tail -60 /var/log/messages permet là-dessus de vérifier quels paquets sont interceptés ou passés. Attention, si tu réutilise l'interface après avoir fait des modifs à la main, elles seront écrasées. Il faut sauvegarder une copie des fichiers modifiés pour les restaurer. Le problème est facilement surmontable avec un p'tit script pour copier et restaurer tes configs. Je sais pas si ça va t'aider !

par **Guepi** » 06 Nov 2003 16:44

au passage, la commande : #shorewall check est préférable, car ça ne bloque pas le réseau, mais vérifie tout de même. ainsi, je peux voir que : Error: server port may not be specified in an ACCEPT rule; rule: "ACCEPT lan fw::3328 tcp www - all" Ce qui me pose problème, vu qu'i ls'agit de squid ou dansguardian... <IMG SRC="images/smiles/icon_confused.gif"> <IMG SRC="images/smiles/icon_rolleyes.gif">

par **Guepi** » 06 Nov 2003 16:47

ben on va faire en sorte oui !!! Merci svart !

par **svart** » 06 Nov 2003 16:51

très juste pour le check ! J'avais oublié en être passé par là. J'avais le même problème, d'où la modif à la mimine. voilà ma bonne ligne ACCEPT lan fw::3328 tcp 80 - all (juste avant, j'avais passé squid du mode manuel au mode transparent, via l'interface pour être bien sûr que le système remet à jour les regles iptables manquantes)

par **Guepi** » 06 Nov 2003 17:30

Je comprends mieux pourquoi je "passais" en ftp à travers le proxy ... <IMG SRC="images/smiles/icon_biggrin.gif"> Mon proxy n'était pas bien configuré, car shorewall ne passait pas toutes les règles correctement. J'ai donc désactivé le proxy ... avant de configurer les machines pour utiliser le proxy. MNF, c'est bien, mais je n'ai pas été au bout de sa configuration avant sa mise en place. Je le regrette maintenant. J'ai mis en commentaire les redirections des paquets netbios du LAN vers la DMZ ... maintenant, ça fonctionne <IMG SRC="images/smiles/icon_smile.gif">

par **svart** » 06 Nov 2003 18:08

C'est délicat ces petites bêtes <IMG SRC="images/smiles/icon_lol.gif"> Tout fonctionne comme tu le souhaite ? Au passage, as-tu effectuée les mises à jour de la MNF (surtout pour l'histoire des mots de passe qui expire au bout de 3 mois). Content d'avoir pu t'aider. On m'a BCP aidé quand j'ai installé mon biniou <IMG SRC="images/smiles/icon_smile.gif"> Tu as ouvert les ports Netbios ??? Ca me parait dangereux ça, non ?

par **Guepi** » 06 Nov 2003 18:16

Tout fonctionnait, et maintenant tout fonctionne ... mais tout fonctionne mieux ! <IMG SRC="images/smiles/icon_biggrin.gif"> J'avais en fait mis en place une regle qui ressemble à ça : <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE>REDIRECT lan dmz tcp netbios-ssn - </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> car je voulais rediriger tous les paquets netbios du LAN vers la DMZ où se situe mon primary domain controler (PDC) sous Windows 2000 Server. J'ai commenté ces règles, et maintenant, ça passe quand même. Ce qui me reste à faire : mettre en place le VPN <IMG SRC="images/smiles/icon_rolleyes.gif"> <IMG SRC="images/smiles/icon_wink.gif"> En tous cas, merci <IMG SRC="images/smiles/icon_bise.gif">

plantage réseau lors de modifications

Qui est en ligne ?