Iptables- règles -blocage de ping - Accès web down

par **xjinh** » 14 Mars 2004 20:08

Bonjour, Il y a qques jours, j'ai voulu mettre en place les règles indiquées par antolien pour bloquer les pings. J'ai donc ajouté les lignes : /sbin/iptables -A INPUT -p icmp --icmp -type 0 -j DROP /sbin/iptables -A INPUT -p icmp --icmp -type 5 -j DROP /sbin/iptables -A INPUT -p icmp --icmp -type 8 -j DROP A noter que j'ai mis un espace entre icmp et -type. Je relance ipcop et j'essaie de le pinger de l'intérieur de mon lan. Et ça fonctionne <IMG SRC="images/smiles/icon_eek.gif"> Donc je retourne dans le rc.firewall et j'enlève l'espace entre icmp et -type ce qui donne: /sbin/iptables -A INPUT -p icmp --icmp-type 0 -j DROP /sbin/iptables -A INPUT -p icmp --icmp-type 5 -j DROP /sbin/iptables -A INPUT -p icmp --icmp-type 8 -j DROP Je reboote et j'essaie à nouveau de pinger. Ca ne répond pas. JE me dis c'est bien, ça fonctionne. Je reprends alors mon surf sur le web et la.....plus d'accès web <IMG SRC="images/smiles/icon_confused.gif"> Je réessaie et rien . Je me dis que ça vient des règles ajoutées. Je les supprime et remets les lignes de la config d'origine. Je reboote et là, tjrs pas de web. J'ai rééssayé 3-4 fois et ipcop n'a rien voulu savoir. Au final, je l'ai réinstallé. Mais j'aimerais bien comprendre pourquoi ça a fait ça. Normalement en supprimant les lignes ajoutées, il aurait dû revenir à la config de départ. Comment est-ce possible? Est-ce que les espaces sont importants qd on entre des règles??

par **tomtom** » 14 Mars 2004 21:53

les espaces entre icmp et type sont importants.. Je pense que ton problème vient de l'utilisation d'un mauvais editeur pour ton fichier. Si tu l'as edité sous windows et réuploadé, il est probablement corrompu ! t.

par **xjinh** » 14 Mars 2004 22:34

Non en fait j'ai imprimé la doc d'antolien et j'ai édité avec VI

par **tomtom** » 14 Mars 2004 22:39

arf tu as du faire une erreur alors... t.

par **Franck78** » 14 Mars 2004 22:55

antolien, antolien,... C'est pour du ipcop 1.3 son truc Si les commandes sont bonnes, encore faut-il les placer au bon endroit. rc.firewall.local en reprenant le modèle case .... esac Antolien, tu corriges quand ton site ?

par **xjinh** » 14 Mars 2004 23:24

Je suis sur du 1.3. Par contre si le bon emplacement s'est effectivment rc.firewall.local, j'avais pas mis les lignes au bon endroit. Mais sous la version 1.3, il n'y a pas ce fichier

par **xjinh** » 18 Mars 2004 20:37

Je viens de faire un petit test chez moi. J'ai mis les règles d'antolien pour bloquer les ping. Il précise bien que les règles bloquent les ping au sein de l'intranet et ceux provenant du web. Chez moi j'arrive a pinguer mon firewall de mon lan. Mais je n'arrive pas a pinger un site extérieur. (par ex je lance un ping <a href="http://www.yahoo.fr" target="_blank">www.yahoo.fr</a> et ça marche pas.) D'où ma question: qd on dit que ces règles bloquent les ping de l'intérieur du réseau et ceux de l'extérieur, on peut qd meme pinger le fw de l'intérieur du réseau mais pas une machine à l'extérieur? Si la réponse est oui, c'est que ça fonctionne bien.

par **antolien** » 18 Mars 2004 22:46

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-03-14 21:55, Franck78 a écrit: antolien, antolien,... C'est pour du ipcop 1.3 son truc Si les commandes sont bonnes, encore faut-il les placer au bon endroit. rc.firewall.local en reprenant le modèle case .... esac Antolien, tu corriges quand ton site ? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Hum, en effet mon site est a l'abandon. Pour plusieurs raison, la première c'est que je n'ai pas le temps, la seconde est que je n'utilises plus ipcop. Une autre raison, je tiens à rappeler que la version 1.3 d'ipcop est la dernière version stable, et donc si je prend le temps de mettre à jour mon site ce sera pour la prochaine version stable. Et puis Franck78 tu es gentil mais ces règles marchent très bien pour la 1.3 en éditant le rc.firewall. J'en profite pour dire avec du recul que bloquer les pings sur une passerelle n'est pas malin. J'avais fait ça car lorsqu'il y a un scan de l'exterieur, on peut être découragé lorsque l'hôte ne répond pas aux pings. Vous avez déjà fait un nmap -P0 sur une ligne 512k ? boarf il faut avoir le temps... Le résultat de la detection d'os devient aussi très aléatoire. Finalement, s'il on est sûr de son firewall, l'intérêt est limité de bloquer les pings. [B]Plutôt que de critiquer, mettez un site en ligne avec des solutions à jour [B] Rien ne vous y empêche. Où même vous pouvez m'envoyer des pages suivant le modèle du site (pas compliqué) avec des solutions, où évolutions.

par **xjinh** » 19 Mars 2004 09:14

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> J'en profite pour dire avec du recul que bloquer les pings sur une passerelle n'est pas malin. J'avais fait ça car lorsqu'il y a un scan de l'exterieur, on peut être découragé lorsque l'hôte ne répond pas aux pings. Vous avez déjà fait un nmap -P0 sur une ligne 512k ? boarf il faut avoir le temps... </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Salut, Tu pourrais expliciter. JE ne comprends pas tout (newbie désolé <IMG SRC="images/smiles/icon_cry.gif"> ) Surtout ce qui concerne le nmap. Et selon toi, il vaut mieux bloquer les pings qd le fw ne fait pas office de passerelle?? (c'est à dire quand les pc se connectent directement au web en passant par le fw).

par **Franck78** » 19 Mars 2004 10:09

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Et puis Franck78 tu es gentil mais ces règles marchent très bien pour la 1.3 en éditant le rc.firewall. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Oui, oui, quand j'ai tapé ce post, j'ai zappé complètement l'existence de la 1.3. Puis après j'ai découvert que l'on pouvait post modifié un post <IMG SRC="images/smiles/icon_wink.gif"> Cependant si tu as 1 minute, rajoute que ca concerne la 1.3 pour la position d'insertion des lignes. Et pas en ligne de commande !!! Sorry

Iptables- règles -blocage de ping - Accès web down

Qui est en ligne ?