log du port tcp 4662

[Speeder]

Bonsoir à tous

Je cherche les règles Iptable qui me permette de ne plus voir dans les log du firewall , les log concernant le port TCP 4662(emule ) que se soit de ma dmz vers le net comme du net vers ma dmz
pour ce faire j'ai utiliser les regles suivante + reboot pour prise en compte

iptables -I INPUT -p TCP --sport 4662 -j DROP
iptables -I INPUT -p TCP --dport 4662 -j DROP
iptables -I OUTPUT -p TCP --sport 4662 -j DROP
iptables -I OUTPUT -p TCP --dport 4662 -j DROP

SVP dites moi où je me trompe car je les vois encore !!!


merci

[grosbedos]

salu

en fait les acces dmz -> net ne sont pas loggués par défaut.

avec ces regles tu ne bloques pas l'acces dmz -> net port 4662.

la regle INPUT ne concerne que les paquets qui sont destinés a ipcop (a un de ces process quoi). Cela n'inclu pas les paquets en direction de ton LAN ou de ta DMZ.
pour OUTPUT c'est pareil sauf que c'est ce qui sort.
quand les paquets ne font que traverser le firewall, c'est la regle FORWARD qui est utilisé.


apres...ou as tu ajouté ces regles ??
tu les as juste entrer l'une apres l'autre en ligne de commande ?? ou tu les as enregistrer dans un fichier ?

car si tu les as juste taper dans un shell ,elles sont perdu apres chaque reboot..par contre pour tester tes regles il faut les rentrer en ligne de commande car elles sont prise en compte directement.



bon donc si tu ne veux plus loggué ces ports, tu peux les bloqués avant qu'il ne soit loggé...pourquoi pas

donc tu était bien parti :
iptables -I INPUT -i $IFACE --sport 4662 -j DROP
iptables -I INPUT -i $IFACE --dport 4662 -j DROP
#iptables -I FORWARD -i $IFACE -o $ORANGE_DEV --sport 4662 -j DROP
#iptables -I FORWARD -i $IFACE -o $ORANGE_DEV --dport 4662 -j DROP

a tester

si c'est concluant tu peux les ajouter dans /etc/rc.d/rc.local (ou /etc/rc.d/rc.firewall)

$IFACE et $ORANGE_DEV ne sont peut etre pas compris dans rc.local
remplace par le nom de tes interfaces

$IFACE=ppp0
$ORANGE_DEV=ethx


ps : suis pas sur que les 4 regles sont necessaires..les deux premieres doivent suffir..enfin, je crois

[grosbedos]

j'ai oublier les "-p tcp"

[Speeder]

merci grosbedos


mes rèles sont inscrites dans rc.local elle sont donc reluent à chaque reboot machine
et voici son contenu

#!/bin/sh
iptables -I INPUT -p TCP --dport 135 -j DROP
iptables -I INPUT -p TCP --sport 4662 -j DROP
iptables -I INPUT -p TCP --dport 4662 -j DROP
iptables -I OUTPUT -p TCP --sport 4662 -j DROP
iptables -I OUTPUT -p TCP --dport 4662 -j DROP


ce qui m'étonne c'est que la première règle fonctionne à ce moment là car plus de log sur le port 135
a moin que ca ne soit parce que ces log ne concernait que l'interface RED, alors que celle d'emule concernent l'ip de destination de mon transfert de port.

donc si je te suis mes régles devrai être en supposant que eth1 soit l'interface RED
iptables -I INPUT -p TCP -i eth1--sport 4662 -j DROP
iptables -I INPUT -p TCP -i eth1--dport 4662 -j DROP

en supposant que ma dmz est sur eth2

#iptables -I FORWARD -p TCP -i eth1 -o eth2 --sport 4662 -j DROP
#iptables -I FORWARD -p TCP -i eth1-o eth2 --dport 4662 -j DROP


de plus qu'entends tu par
" bon donc si tu ne veux plus loggué ces ports, tu peux les bloqués avant qu'il ne soit loggé...pourquoi pas "
je tiend a laisser la maule fonctionner correctement . c'est ma connexion privé et pas celle d'une entreprise.

je te remerci en tout cas pour tes précisions
et ton aide

[Speeder]

re
a première vue cela ne semble pas fonctionner

haaaaaaaaaaaaaaaa si seulement je les avaient sauvées ses regles

22:32:41 NEW not SYN? eth1 TCP X.X.X.X 4105 ::::: 10.0.0.100 4662
22:32:06 NEW not SYN? eth2 TCP 10.0.0.100 4662 ::::: X.X.X.X 1267
22:32:10 NEW not SYN? eth2 TCP 10.0.0.100 4662 ::::: X.X.X.X 2967


JE cache volontairement les IP même si se ne sont pas les miennes cela ne se fait pas.

pour le momnet je nai mis que les deux premières

iptables -I INPUT -p TCP -i eth1--sport 4662 -j DROP
iptables -I INPUT -p TCP -i eth1--dport 4662 -j DROP


deviend fou

lol bon j'abdique pour cette nuit je verrais ca demain

[Franck78]

Bonjour,


J'ai une astuce simplissime pour ne plus voir un port dans les logs:

je le forwarde vers une IP inexistante sur réseau GREEN

Le résultat ?

une req arp vers l'ip inexistante
pas de réponse
donc émission d'un "icmp host unreacheable" vers l'emetteur.

On pourrait aussi forwarder ca sur un trou noir. Si j'en trouve un sans modifié, ipcop, je vous le dirais.

Zéro modif, zéro problème , immédiat !


Bye

[Speeder]

bon je vois tjrs ces log

je récapitule

j'utilise une machine en dmz sur laquelle tourne emule , sur ipcop les ports sont forwarder ver cette machine .
Par contre je souhaite ne plus voir ses log dans les log du firewall , en effet cela brouille completement la lecture des autre log .
j'avais reussis a les faire diparaitre via une règle iptable mais impossible de la reconstituer et malheureusement je ne l'ai pas sauvée lor de mon passage d'apha 2 a beta 2.
je ne souhaite pas bloquer ces ports.

[Speeder]

ca y est je les aient

merci a grosbedos qui m'a grandement mis sur la voie

iptables -I FORWARD -p TCP --dport 4662 -j DROP
iptables -I FORWARD -p TCP --sport 4662 -j DROP

en fait j'avais presque juste sauf que je travailais sur la mauvaise table ( INPUT au lieu de FORWARD )

voilou

@+ pour de nouvelle z aventures

[brazz]

OK, j'aurais une question sur ce cas particulier même si elle est un peu générale:
pourquoi utiliser rc.local et non pas rc.firewall.local ?
Quand faut il utiliser l'un ou bien l'autre.
Merci

[PaTou31]

Bonjour,


J'ai une astuce simplissime pour ne plus voir un port dans les logs:

je le forwarde vers une IP inexistante sur réseau GREEN

Le résultat ?

une req arp vers l'ip inexistante
pas de réponse
donc émission d'un "icmp host unreacheable" vers l'emetteur.

On pourrait aussi forwarder ca sur un trou noir. Si j'en trouve un sans modifié, ipcop, je vous le dirais.

Zéro modif, zéro problème , immédiat !


Bye

Hello

Cette conversation m'interesse.

Peut on faire de meme pour les port 135 , 137, les envoyer sur une ip non existante?
Est ce que ca risque pas de faire deconecter par le provider?

Trou noir je suis preneur

Merci @ bientôt

[Speeder]

re

en fait ca fonctionne sur le port 135 et 137 sur la table input

la règle que j'ai mis en place chez moi est

iptables -I INPUT -p TCP --dport 135 -j DROP

iptable : mot magique obligatoire

-I : on Insert la règle
INPUT : on travail avec la table INPUT
-p : dit que l'on travail sur Un protocol
TCP : designe le protocole
--dport : port de destination
135 : Nom du port
- j DROP : cepasse de commantaire , on drop

http://lea-linux.org/reseau/iptables.php3
Ce site explique assez bien son utilisation c'est rapide mais c'est suffisant je pense pour commencer

@+