Les regles de port forward sont-elles applicables à Ipcop ?

par **bit8tr** » 04 Fév 2006 23:22

Bonsoir à tous.

Je vous expose mon problème qui soulève la question de ce post.
J'avais jusqu'à le semaine dernière un PC sous debian dédicacé au monitoring d'applications actuellement en place chez quelques un de mes clients.
Un programme écoutait en permanence deux port TCP pour m'alerter en cas de défaillance d'une application.
Après avoir installé IPCOP comme firewall, j'ai déplacé mon programme de monitoring sur le même PC qu'IPCOP en ouvrant les deux ports du firewall qui me servent à écouter mes applications en les redirigeant sur la même IP locale de mon IPCOP.

J'ai un truc comme ça dans le pare-feu/transfert de ports
Proto Source Destination Remarque Action
TCP DEFAULT IP : 11111 192.168.1.1 : 11111 Monitoring 1/2
Accès autorisé depuis : 1.1.1.1 (**DDNS**Client1.homeip.net)
Accès autorisé depuis : 1.1.1.2 (**DDNS**Client2.homeip.net)
TCP DEFAULT IP : 11152 192.168.1.1 : 11152 Monitoring 2/2
Accès autorisé depuis : 1.1.1.1 (**DDNS**Client1.homeip.net)
Accès autorisé depuis : 1.1.1.2 (**DDNS**Client2.homeip.net)
(notez que j'utilise l'excellent script cgi posté ici même pour limiter les accès aux DNS dynamiques que je souhaite voir entrer d'ou le fait que je ne passe pas par les accès externes d'IPCOP)

Résultat: après plusieurs essais de déclenchement d'erreur chez un de mes clients, mon programme n'envoi plus d'alerte (et je suis sur qu'il devrait fonctionner correctement).
D'ou ma question : Les regles de port forward d'IPCOP sont-elles applicables à lui-même ?

Merci pour votre aide.

par **Franck78** » 05 Fév 2006 00:33

Salut,
Pas de bol, c'est la page d'a coté qu'il faut utiliser: "Accés externe". Je sais, la traduction est nulle et évoque tout sauf l'accès interne du Cop aux machines 'Externes'!!

par **bit8tr** » 05 Fév 2006 09:12

C'est bien ce que je craignais.
Dans ce cas, les règles d'accès distinctes aux DNS dynamiques que je pouvais définir dans la partie pare-feux ne peuvent plus fonctionner :cry:

Merci pour la confirmation.

par **Franck78** » 05 Fév 2006 13:01

Tu peux être plus clair :?:

Qu'est ce que le dyndns vient faire ici :?:

par **bit8tr** » 05 Fév 2006 13:19

en fait je me sert du script de Juliette MICHAUX (le tuto est posté sur votre site http://www.fr.ixus.net/modules.php?name=Content&pa=showpage&pid=107) pour filtrer les ip de mes clients. Or ce script est développé pour être intégré à la partie firewall qui gère le filtrage des accès externes http://www.ixus.net/ixus_extras/content/etape%204.jpg, ce que ne fait pas ipcop dans le menu Pare-feu/Accès Externes.
C'est peut être une proposition à soumettre dans une prochaine release ?

par **Franck78** » 05 Fév 2006 16:04

Je pige de moins en moins le lien avec ton programme de monitoring qui ne fonctionne pas. Serait peut-être temps de récapituler TOUT ce qui concerne ton problème...

par **bit8tr** » 05 Fév 2006 20:12

J'ai (co)developpé plusieurs applications actuellement en production chez plusieurs de mes clients.

Si une application plante pour une raison ou une autre, elle envoi en TCP par l'internet un message à un PC dédié sur mon LAN, qui en fonction de l'erreur produite peut envoyer un mail au développeur responsable de l'application avec un stack complet d'infos pour le debuggage.

Comme je viens d'installer IPCOP, je me suis dit que je pourrais rationaliser les PC et j'ai décidé d'installer mon programme d'écoute sur la même machine qu'IPCOP.

Cependant, j'avais deux prérequis que je voulais concerver:

1/ mon programme de monitoring à besoin de deux ports TCP ouvert pour traiter correctement les messages qu'il recoit
2/ Mon IPCOP est actuellement paramétré pour ne laisser ouvert que les deux ports TCP qu'à la douzaine d'IP dynamiques de mes clients autorisés à m'envoyer des messages (cette règle est géré par l'ajonction du script de Juliette MICHAUX (le tuto est posté sur votre site http://www.fr.ixus.net/modules.php?name=Content&pa=showpage&pid=107).

Ainsi, je limite l'accès à ces ports TCP qu'aux ip qui y sont autorisées, ce qui limite les risques d'intrusion par des ip inconnues.

J'ai trouvé le concept de la résolution des DNS dynamique génial (d'autant plus que j'avais essayé de faire la meme chose sur les iptables en bash) mais il est regrétable que cette fonctionnalité ne puisse pas s'appliquer directement à IPCOP lui même.

En espérant avoir été plus clair.
SLT

par **Franck78** » 05 Fév 2006 20:54

Oui maintenant c'est clair. Pourquoi ne modfies-tu pas le script pour qu'il attaque le fichier des 'accés externes' au lieu du fichier 'transfert de port' ? Tu as l'idée générale, le source, tout quoi :!:

par **bit8tr** » 05 Fév 2006 21:03

Tu es devin

, je suis déjà dessus...
Si ça marche je posterai qquechose. Ca pourra peut être servir pour d'autres. :wink:

Les regles de port forward sont-elles applicables à Ipcop ?

Les regles de port forward sont-elles applicables à Ipcop ?

Qui est en ligne ?