IPCHAINS & IPCOP!!!!!

par **nemesis** » 24 Fév 2003 22:33

bon alors je reste zen je me detends et je parle calmement humpffff pffffff... alors voilà j'ai un peu gratter partout sur le net ds des bouquins pour voir comment ke ça marche ipchaineuuuuuuuuusssssss... bon alors je vois des ipchaines-restaure des ipchaines-saves .... et qud j'essaye sur mon petit ipcop pour voir comme ça bha scronch commande non reconnue... grrrr ça commence bien... bon alors voilà dans un but informatif productif et en vue d'un how to simplifié mais dédié a ipcop je voudrai savoir : 1- comment je fais our créer une regle ipchaines pou mon firewall... (dans quelle chaine etc...) 2-comment je fais pour les rendre recupérables au prochain boot de ma bécanne 3-a quoi servent exactement les differentes fenetre de l'amin web parlant de forward de port (et je souhait autre chose que bha a forwarder les port un exemple concret commenté et detaillé serait cool pour tous les nob qui se font peter un plomb sur ipchaines ss ipcop...). 4-quelles regles sont selon vous utiles pour un firewall (red orange green...) voilà et pi si vous avez d'autres idées de trucs utiles à savoir sur ipcop et le firewalling bha je suis tte ouïes!!!! @pluche nemesis tres sgrgneugneu ce soir!!!! <IMG SRC="images/smiles/icon_mad.gif"> <IMG SRC="images/smiles/icon_mad.gif">

par **leonezzar** » 24 Fév 2003 22:41

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-02-24 21:33, nemesis a écrit: 2-comment je fais pour les rendre recupérables au prochain boot de ma bécanne </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> tu ajoutes la règle dans le fichier /etc/rc.d/rc.firewall.up faut dire merci a antolien c'est lui qui me l'a apris <IMG SRC="images/smiles/icon_wink.gif">

par **nemesis** » 24 Fév 2003 22:47

t'as pas un exemple de ce fichier avec des règles??? et si ça peut etre commenté... c encore mieux!!! merci en tout cas ça donne une piste et merce antholien

par **leonezzar** » 24 Fév 2003 23:07

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-02-24 21:47, nemesis a écrit: t'as pas un exemple de ce fichier avec des règles??? et si ça peut etre commenté... c encore mieux!!! merci en tout cas ça donne une piste et merce antholien </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> # ouverture des ports pour vpn Windows XP derriere ipcop ipchains -A forward -p tcp -s 192.168.236.81 -d 0/0 1723 -j MASQ ipchains -A forward -p 47 -s 192.168.236.81 -d 0/0 -j MASQ ipmasqadm portfw -a -P tcp -L $@_ip_internet 1723 -R 192.168.236.81 1723 ipfwd --masq 192.168.236.81 47 & 192.168.236.81 = @ ip du pc windows XP qui accepte les connections entrantes 0/0 = accepte toutes les adresses exterieures sinon j'ai trouve cse liens c'est en francais en plus <a href="http://www.ac-creteil.fr/reseaux/systemes/linux/outils-tcp-ip/Linux-ipchains.html" target="_blank">http://www.ac-creteil.fr/reseaux/systemes/linux/outils-tcp-ip/Linux-ipchains.html</a> <a href="http://www.freenix.fr/unix/linux/HOWTO/IPCHAINS-HOWTO.html" target="_blank">http://www.freenix.fr/unix/linux/HOWTO/IPCHAINS-HOWTO.html</a> faut encore remercie antolien pour les 4 lignes decidement !!! <IMG SRC="images/smiles/icon_razz.gif"> _________________ En avant, toujours en avant, l'histoire ne ce repete jamais.

par **nemesis** » 25 Fév 2003 01:23

nurf comprends po... j'ai mis la regle suivante et ça marche po... ipchains -A input -s 127.0.0.1 -p icmp -j DENY murfff _________________ making war may be preparing peace but making peace is surly preparing war

par **nemesis** » 25 Fév 2003 09:43

arf j'ai peut etre une idée... le -A fait un append (insertion en fin de liste) peut etre faut-il faire plutot -I pour que les regles définies par l'utilisateur soient lues en premier... car en effet mon but etait de tester le blocage des ping ...mais sur la chaine input si je me souvien bien de la config de base d'ipcop, tout ce ki vient du green est accepté dc comme je ping du green et ke la regle est en fin de chaine elle n'est po lue... c ça ou pas???

par **Groslolo** » 25 Fév 2003 10:08

Si c'est pour un blocage des pings, fallait le dire tout de suite ! iptables -A INPUT -p icmp --icmp-type ping -j DROP C'est ce que j'utilise et ça marche bien...

par **nemesis** » 25 Fév 2003 10:26

et tu l'as mis à la fin de ta chaîne input?? parce que moi j'ai rejeté tout le tréafic icmp et ça repond qud meme au ping... autre question quand je fais un ipchaines -L j'ai tt plein de chaînes qui s'affiche ( input output forward ça ça me semble logique... mais y en a d'autre dt j'ai oublié le nom...) et elles ne sont po vides.... dc je sais po si faut que j'ajoute mes regles en haut de chaîne ou en bas de chaîne vu ke celle ci sont parcourues de haut en bas....

par **grosbedos** » 25 Fév 2003 14:24

chai pa il est compliqué ce firewall.... deja toutes les regles definies dans le gui ne sont pas dans rc.firewall.up.. elle sont qd mem invoqué la, mais les donné sont stocké dans d'autre fichier.. il y a pa mal de chaine..en plus d input output forward... la chaine block g po tro callé ce ke c'été...g l'impression que c la dedan qu'il faut rajouter les chaines et pa trop sur input output... y a la chaine squid, xtaccess (pour charger les regles de "acces aux services externes" cad ouvrir un port de l'exterieur), ipsec pour les vpn si je m'abuse... si tu veu un peu caller commen ca march au niveau des chaines et des cibles va voir ca <a href="http://www.netfilter.org/unreliable-guides/fr/packet-filtering-HOWTO-7.html" target="_blank">http://www.netfilter.org/unreliable-guides/fr/packet-filtering-HOWTO-7.html</a> et li le passage sur les "chaines créées par l'utilisateur". c appliqué a iptables mais c pareil pour ipchains... autremen je pense que c une bonne idée di voir un peu plus clair sur cte firewall, moi je patoge grave!!!!!!(sur certaine distrib y se limite au trois chaine par defaullt c plu facile a callé, mai peut-etr tro basik aussi!) voila ji par troi jour la mai j'espere ke le chmilblik va avancé!!o tou k je reviendrai voir ce post! cio

par **nemesis** » 25 Fév 2003 23:39

nurf........ <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-02-25 09:08, Groslolo a écrit: Si c'est pour un blocage des pings, fallait le dire tout de suite ! iptables -A INPUT -p icmp --icmp-type ping -j DROP C'est ce que j'utilise et ça marche bien... </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> juste comme ça en passant ipcop 1.2 = noyeau 2.2 donc iptables... comment dire absent est le mot le plus gentil... non par contre en mettant le -I ça marche du tonere de dieux dc je pense les rajouter ttes avec -I ds le rd.c ou rc.d je sais plus enfin un truc de ce genre quoi.. dès que j'ai finis je ferai un chti post pour montrer ce que j'ai fait voilàààà (moi j'aime bien comprendre comment ça marche les trucs pas vous....)

par **West** » 26 Fév 2003 13:37

Salut, j'aimerai profiter de ce poste pour qu'on me fixe certaines choses concernant INPUT et OUPUT sur les interfaces !! Bon alors une interface physique sur IPCOP a une entreé et une sortie, mais de quel coté de l'interface D deux coté ? si oui donc ça fait en tout 2 INPUT et 2 OUPUT : 1 input/output à gauche de l'interface et 1 input/output à droite ! C bien ça ? bien sur quand on mais D regle ds par ex la chaine OUTPUT elles seront vérifier à gauche et à droite de l'interface ? Ds le graph D courbes de traffic d'IPCOP G une entrée sortie par interface ! C normale ? pourquoi ? Par ex ds ce graph, sur mon LAN(vert) G en unplod -> outgoing, pour moi ça devrait etre en incoming vu que mon pc clinet envoie les données d'uplod vers l'interface LAN de IPCOP, donc qui dit "vers" di incoming, non ? Le fait de fowarder est ce qu'il zappe le output/Input de droite de l'interface LAN ? Tout ça m'embrouille depuis que G utilisé Winroute qui considere LE firewall comme un cercle et tout ce qui vas vers lui est Input et l'inverse ouput, le pb c que Ipcop on a plusieurs interface et G du mal à savoir ce qui est réllement consideré comme input, ouput, ds quel sens, oû, etc... Si quelqu'un peut m'éclairer la dessus merci, car je suis maxi embrouiller _________________ MALAAAAAAADD' !!!!

par **nemesis** » 26 Fév 2003 15:31

murfff bon je vais dire ce que je pense etre bon mais attention j'ai pas le pretention de tt savoir même si ça se trouve je me trompe.... alors voila tu as en gros 2 ou 3 zone selon ta config : red green et orange ... alors chaque zone a une entrée et une sortie... donc tte donnée transitant du orange ou du red -> green via le firewall est considérée comme de l'input et tout ce qui sort est considéré comme de l'output... consideerons kk chose de la forme : A | FIREWALL | | B C pour A : tt ce qui vient de et/ou de C est de l'input tt ce qui va vers B ou C est de l'output idem pour B par rapport à C et A ou pour C par rapport à B et A donc en fait la chaîne input définit les règles relatives à tes differentes zones lorsque un paquet demande à entrer dans une de ces zones et de même pour l'output... voilààà j'espère avoir été assez clair.<IMG SRC="images/smiles/icon_confused.gif"> @+ nico <IMG SRC="images/smiles/icon_biggrin.gif"> _________________ making war may be preparing peace but making peace is surly preparing war

par **West** » 26 Fév 2003 16:20

Ok, ça va mieux ! Mais G 1 autre question si on considere le A comme interface LAN, les postes qui sont reliés à cette interface LAN de IPCOP suivent ils les meme regles que B et C ? En gros tout ce qui va de ma carte ethernet du pc client, vers ma carte ethernet de IPCOP est considéré comme Input vu de cette carte IPCOP ? vu qu'on est LAN vers LAN ! Une derniere chose, les regles, ds rc.firwall.up, sont traités de haut en bas, la dessus on est daccord ! Mais si une regle contre dit l'autre qu'est qui ce passe ? ipchains -A input -p all -s 0/0 -j deny ipchains -A input -p tcp -s 0/0 -j accept qu'est ce qui ce passe ici ? il refuse tous les tcp et passe au paquet suivant ? ou il continu avec le paquet jusqu'a la fin ?

par **nemesis** » 26 Fév 2003 19:41

attention!!!! on réfléchit en termes de zones (de réseau quoi!) pas de cartes.. a ma connaissance les cartes du firewall acceptent tous les paquets mais ensuite le firewall fait son boulot et choisit soit de laisser passer soit de forwarder soit de rejeter les paquet selon sont jeux de regles... pour ce qui est des règles si deux regles se contredisent il aplique de tte façon la premiere regle qui correspond au paquet traité dc la deuxieme n'est pas lue... d'ou l'importance de faire gaffe à ce ke l'on fait et de l'ordre ds lequel on le fait (enfin je crois lol) a+

par **West** » 26 Fév 2003 22:56

G une autre question de noob !! pourquoi faut rejouter d module particulier pour ipchain genre irc_chépokoi, quake_chépokoi ? ne peut on pas fwarder directement leurs ports ? C koi l'avantage d'avoir C modules ?

IPCHAINS & IPCOP!!!!!

Qui est en ligne ?