Redondnat... Dmz de SME sur IP-Cop = rien !

par **Pabze** » 12 Mars 2004 01:49

Voilà, je m'explique : IP-Cop 1.4.0b1 avec trois cartes réseaux : Red = Modem cable en pppoe. Orange = 192.168.221.250 MASK = 255.255.255.0 Green = 192.168.222.248 MASK = 255.255.255.0 DNS d'oléane 194.2.0.20 et 194.2.0.50 SME6 sur DMZ IP-Cop en server-only : Orange = 192.168.221.252 MASK = 255.255.255.0 En passerelle = 192.168.221.250 (Adresse DMZ d'IP-Cop) En DNS = DNS d'Oléane 194.2.0.20 ----------------------------- Depuis le réseau du Lan sur mon poste client j'accéde à internet sans probléme. J'accéde à mon serveur web, ftp, et mails par la configuration depuis "Accès à la DMZ" d'IP-Cop. Depuis IP-Cop je ping mon Lan, internet fonctionne (normal <IMG SRC="images/smiles/icon_lol.gif"> ) et je ping mon SME6 Depuis SME je ping mon IP-Cop ----------------------------- En revanche : Depuis mon SME6 je n'accéde pas au net, aussi bien par le ping d'adresse IP (195.140.140.28) que par nom dns (www.ixus.net) Qu'ai je oublié dans ma configuration ? Sachant que j'ai forwardé depuis IP-Cop les ports : 53 (TCP/UDP) vers SME6 80 (TCP) vers SME6 443 (TCP) vers SME6 25 (TCP) vers SME6 110 (TCP) vers SME6 Et que je reçoit mes mails, l'internet accéde à mon site web... ----------------------------- J'ai cherché sur le forum (sisi promis <IMG SRC="images/smiles/icon_lol.gif"> ) Mais la seule chose qui me paraissait concluante ne concerné que MNF et SME en DMZ : Sous MNF, il faut masqué l'accés au web pour la DMZ (comme pour le Green) Mais là je ne comprends pas se qu'il veut dire ? Un peu d'aide ! _________________ Windows veut dire fenêtres en anglais... sisi, Bill Gates a inventé l'entrée la plus sûr pour le développement du piratage informatique !

par **Franck78** » 12 Mars 2004 02:16

Sachant que j'ai forwardé depuis IP-Cop les ports : 53 (TCP/UDP) vers SME6 80 (TCP) vers SME6 443 (TCP) vers SME6 25 (TCP) vers SME6 110 (TCP) vers SME6 Dis, ton serveur dns, il est sur IpCop ! Pourtant tu fais suivre 53 vers ton SME. Si il y aussi un dns sur ta sme, il est inutile

par **tomtom** » 12 Mars 2004 12:11

Salut, Quelques pistes : - Que te donne un traceroute depuis ta SME ? - Passes-tu bien par la passerelle ? - ensuite, verifies les règles du firewall (si ca se trouve, en version 1.4 alpha, l'acces de orange vers red a été bloqué.. ) - enfin, tu dis que tu n'accedes pas au red.. As-tu testé autre chose que le ping (ftp, http ...). C'est pas impossible que l'icmp soit filtré... t.

par **Pabze** » 12 Mars 2004 18:22

Par le traceroute depuis SME, je vois bien qu'il arrive sur l'adresse orange d'IP-Cop, puis aprés plus rien... Il ne fait qu'une ligne et aprés des étoile... Et je reçoit dans plein de mail de <a href="mailto:root@mondomaine.com">root@mondomaine.com</a> m'indiquant que "Probleme SNMP" Aprés mise a jour impossible antivirus...squidguard... Donc rien ne sort ! Alors, comment ouvrir depuis IP-COP l'accés au web pour la DMZ ??? PLEASE !!!!! Je n'en ai pas encore dormis !!! <IMG SRC="images/smiles/icon_help.gif"> <IMG SRC="images/smiles/icon_help.gif">

par **Franck78** » 12 Mars 2004 19:16

T'as réglé ton choix de dns ? ne forward pas 53 Ensuite utilises nmap et tcpdump pour voir ce qui est ouvert et ce qui passe. Souvent, ca sort correctement et la réponse revient au mauvais endroit, ou bloquée...

par **tomtom** » 12 Mars 2004 19:23

iptables -I FORWARD -i $iface_orange -o $iface_red -j ACCEPT t.

par **Pabze** » 12 Mars 2004 20:30

Euh... ne cris pas... en rajoutant ce que tu m'as donné dans /etc/rc.d/rc.local j'ai ceci qui apparait : Warning: wierd character in interface `-o' (No aliases, :, ! or *). _________________ Windows veut dire fenêtres en anglais... sisi, Bill Gates a inventé l'entrée la plus sûr pour le développement du piratage informatique !

par **Franck78** » 12 Mars 2004 20:44

Dans rc.local, les variables $xxxx que tu utilses n'existent pas. C'est dans rc.firewall.local (1.4) qu'il faut bidouiller Et en respectant le cadre de fonctionnement case $1 start) dsfsdf ;; stop) dfgdfg;; *) echo What??? esac (prend pour modèle rc.firewall)

par **Pabze** » 12 Mars 2004 21:35

Voila ce que je trouve dans mon rc.firewall concernant mon reseau orange : # DMZ pinhole chain. setdmzholes setuid prog adds rules here to allow # ORANGE to talk to GREEN / BLUE. /sbin/iptables -N DMZHOLES if [ "$ORANGE_DEV" != "" ]; then # This rule enables a host on ORANGE network to connect to the outside /sbin/iptables -A FORWARD -i $ORANGE_DEV -o ipsec+ -j DROP /sbin/iptables -A FORWARD -i $ORANGE_DEV -p tcp -o $RED_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $ORANGE_DEV -p udp -o $RED_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $ORANGE_DEV -m state --state NEW -j DMZHOLES fi

par **Pabze** » 12 Mars 2004 21:45

Voila, j'ai rajouté dans rc.firewall : /sbin/iptables -I FORWARD -i $ORANGE_DEV -o $RED_DEV -j ACCEPT Puis un /etc/rc.d/rc.firewall restart Pas de Warning... Mais toujours rien pour la sortie de mon SME6... on rentre dessus, mais on ne peut en sortir... <IMG SRC="images/smiles/icon_bawling.gif"> <IMG SRC="images/smiles/icon_bawling.gif"> <IMG SRC="images/smiles/icon_bawling.gif"> <IMG SRC="images/smiles/icon_help.gif">

par **Franck78** » 12 Mars 2004 22:16

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> # DMZ pinhole chain. setdmzholes setuid prog adds rules here to allow # ORANGE to talk to GREEN / BLUE. /sbin/iptables -N DMZHOLES if [ "$ORANGE_DEV" != "" ]; then # This rule enables a host on ORANGE network to connect to the outside /sbin/iptables -A FORWARD -i $ORANGE_DEV -o ipsec+ -j DROP /sbin/iptables -A FORWARD -i $ORANGE_DEV -p tcp -o $RED_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $ORANGE_DEV -p udp -o $RED_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $ORANGE_DEV -m state --state NEW -j DMZHOLES fi </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ces règles existent déja dans le script original. Elles permettent bien de laisser tout sortir vers RED et la liste DMZHOLES "les trous" vers GREEN Il y a aussi -J RELATED ESTABLISHED plus avant. Ne cherche pas de ce coté. C'est autre chose ton problème.

par **Pabze** » 12 Mars 2004 22:34

Bon... Sur IPCOP j'ai trois cartes... Je mets les DNS d'oleane sur mon IP-Cop Sur ma SME je mets une IP de la plage de celle etant sur mon IP-Cop. Les deux se ping... En passerelle je mets l'IP de la carte orange d'IP-Cop En DNS, je mets quoi ???? Car je n'ai pas de serveur DNS sur mon SME, il me faut donc utiliser ceux de quelqu'un autre ! 1°) Je ne mets rien ? 2°) Je mets l'IP de la carte orange de IP-Cop ? 3°) Je mets les DNS d'oléane ? Pour info j'ai essayé les trois sans succés ! Me manque t'il quelque chose sur ma SME ? IP-COP (Forward, transfert, ouverture de ports ??) IP-Cop TCPDUMP sur eth0 : il sort bien vers l'exterieur. TCPDUMP sur eth1 : il va bien sur mon SME (qui selon les DNS rentré changent) TCPDUMP sur eth2 : il va bien sur le lan. SME6 TCPDUMP sur eth0 : (selon les DNS rentré) si ceux d'oléane il va sur mon reseau local !! (Pas normal, il devrait sortir) si rien, rien ! <IMG SRC="images/smiles/icon_lol.gif"> si IP de la carte orange de IP-Cop, il se bloque à celle-ci Je desespére... <IMG SRC="images/smiles/icon_bawling.gif"> <IMG SRC="images/smiles/icon_bawling.gif"> <IMG SRC="images/smiles/icon_bawling.gif">

par **Pabze** » 13 Mars 2004 02:40

Toujours pas d'amélioration... Je rajoute que le pare-feu d'IP-Cop me loggue tout ce qui vient depuis ma DMZ ! Alors le bloque t'il ou loggue t'il simplement qu'il y a eu des accés ?? Mais je pense plutot que le soucis vient d'IP-cop et non de sme... En espérant qu'un des génies de ce forum trouve dans ses rêves la réponse à mon probléme ! Bonne fin de nuit à tous !! <IMG SRC="images/smiles/icon_wink.gif"> Chao! <IMG SRC="images/smiles/icon_bise.gif">

par **Franck78** » 13 Mars 2004 03:56

1) Vires le forward du port 53/tcp/udp vers ORANGE 2) Choisi l'@ip de la carte réseau ipcop comme passerelle et dns. 3) Vérifie encore une fois que tes trois cartes réseau ipcop sont bien celles que tu crois! 4) Supprime toutes tes modifs de script Tu dois pinger internet depuis orange. -une adresse ip -www.ixus.net Ca marche pas ? Vire SME, branche ta station de travail à la place en corrigeant IP MASK et DNS ping ! Ca marche : c'est sur le SME. Mets le en GREEN et cherche. Ca marche pas : c'est ipcop A verifier <IMG SRC="images/smiles/icon_frown.gif">moi j'ai pas de ORANGE pour le faire) mon squid.conf est taillé pour accepter les clients GREENS. Pas ceux de la dmz. look /var/ipcop/proxy/squid.conf si tu reconnais ton réseau orange. #iptables -t nat -L SQUID donne un redir any any dport 80 vers dport 800 Et squid rejette tout ce qui n'est pas GREEN.... Et sur le net 800, c'est rien ! Désactive SQUID et ressaye.

par **pkaer** » 13 Mars 2004 09:05

Salut, Si cela peut t'aider, voici qq conseils trouvés sur <a href="http://www.ipcops.net" target="_blank">www.ipcops.net</a> <a href="http://www.ipcops.net/modules.php?op=modload&name=PNphpBB2&file=viewtopic&t=2042" target="_blank">http://www.ipcops.net/modules.php?op=modload&name=PNphpBB2&file=viewtopic&t=2042</a> @+ PK

Redondnat... Dmz de SME sur IP-Cop = rien !

Qui est en ligne ?