iptables = ennemi php ???

par **romeo** » 09 Avr 2003 10:43

voici mon script iptables #!/bin/sh INTERNALIF="eth1" # carte donnant sur le rÃ©au interne. INTERNALNET="xxx.xxx.xxx.xxx/xx" # IP RÃ©au Interne. INTERNALBCAST="xxx.xxx.xxx.xxx" # IP Broadcast. EXTERNALIF="eth0" #carte donnant sur l'extÃ©eur. EXTERNALIP="xxx.xxx.xxx.xxx" # Adresse IP externe nÃ©ssaire en cas de DNAT ## Suppression de toutes les rÃ¨es: iptables -F INPUT # rÃ¨es sur les paquets entrants iptables -F OUTPUT # rÃ¨es sur les paquets sortants iptables -F FORWARD # rÃ¨es sur le Forwarding/masquerading iptables -t nat -F # rÃ¨es sur le Nat # Refuse les connections depuis l'interface interne vers l'extÃ©eur. iptables -A INPUT -d 127.0.0.0/8 -j REJECT # traffic illimitÃ©epuis le rÃ©au interne. iptables -A INPUT -i eth1 -s xxx.xxx.xxx.xxx/xx -j ACCEPT # Interdit tous les autres paquets a Ãªe forwardÃ© iptables -A FORWARD -o eth0 -i eth1 -j REJECT iptables -A FORWARD -o eth1 -i eth0 -j REJECT # autorise les paquets entrant pour les diffÃ©nts services listÃ© iptables -A INPUT -i $INTERNALIF -p tcp --dport 20 -j ACCEPT # ftp-data iptables -A INPUT -i $INTERNALIF -p tcp --dport 21 -j ACCEPT # ftp iptables -A INPUT -i $INTERNALIF -p tcp --dport 22 -j ACCEPT # ssh iptables -A INPUT -p tcp --dport 23 -j REJECT #telnet exit 0 Il est responsable d'un fort ralentissement sur mon serveur web, notamment, dans la generation de pages avec php et passages de parametres....qqn aurait une idee ????

par **romeo** » 09 Avr 2003 11:16

apparemment c'est cette ligne qui pose probleme : iptables -A INPUT -d 127.0.0.0/8 -j REJECT j'ignore pourquoi ....

par **grosbedos** » 09 Avr 2003 11:21

# Refuse les connections depuis l'interface interne vers l'extÃ©eur. iptables -A INPUT -d 127.0.0.0/8 -j REJECT il faut mettre -s 127.0.0.0/8 pour que ca concorde avec l'explication. (a la place de -d 127.0.0.0/8)

par **grosbedos** » 09 Avr 2003 11:26

et ca devrait etre OUTPUT aussi, si je ne m'abuse.

par **grosbedos** » 09 Avr 2003 11:29

# traffic illimitÃ©epuis le rÃ©au interne. iptables -A INPUT -i eth1 -s xxx.xxx.xxx.xxx/xx -j ACCEPT et avec ceci je crois que tu autorise ton réseau local à aller sur ton firewall, mais pas sur le net.

par **grosbedos** » 09 Avr 2003 11:36

mais tu sais, ton script et vraiment court..il manque beaucoup de choses quand meme.. rien que definir les polices par default..

par **romeo** » 09 Avr 2003 11:43

je c, j'en rajoute a la pelle ;o) merci.

par **grosbedos** » 09 Avr 2003 11:59

je ne sais pas si t'a déjà lu ca..mais ca pourrait bien t'aider : <a href="http://christian.caleca.free.fr/netfilter/" target="_blank">http://christian.caleca.free.fr/netfilter/</a>

par **romeo** » 09 Avr 2003 12:06

encore des questions : voici une autre partie de mon script : ## Si les paquets ne correspondent a aucune des entrees on les # log et on les rejette iptables -A INPUT -p tcp -syn -m limit --limit 5/minute -j LOG -log-prefix "Firewalled packet:" iptables -A FORWARD -p tcp -syn -m limit --limit 5/minute -j LOG -log-prefix "Firewalled packet:" # Rejet iptables -A INPUT -p tcp -j REJECT -reject-with tcp-reset iptables -A INPUT -p all -j DROP iptables -A FORWARD -p tcp -j REJECT -reject-with tcp-reset iptables -A FORWARD -p all -j DROP j'obtiens les messages suivants : iptables v1.2.6a: Unknown arg `LOG' Try `iptables -h' or 'iptables --help' for more information. iptables v1.2.6a: Unknown arg `LOG' Try `iptables -h' or 'iptables --help' for more information. iptables v1.2.6a: Unknown arg `-j' Try `iptables -h' or 'iptables --help' for more information. iptables v1.2.6a: Unknown arg `-j' Try `iptables -h' or 'iptables --help' for more information. un indice ?

par **DgSe95** » 09 Avr 2003 12:10

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-04-09 11:59, grosbedos a écrit: je ne sais pas si t'a déjà lu ca..mais ca pourrait bien t'aider : <a href="http://christian.caleca.free.fr/netfilter/" target="_blank">http://christian.caleca.free.fr/netfilter/</a> </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> ouah ! t'as l'air en forme ce matin grosbedos ! je savais pas que tu était un pro de IPTABLE ! <IMG SRC="images/smiles/icon_biggrin.gif"> <IMG SRC="images/smiles/icon_biggrin.gif">

par **DgSe95** » 09 Avr 2003 12:13

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-04-09 12:06, elanspeech a écrit: encore des questions : voici une autre partie de mon script : ## Si les paquets ne correspondent a aucune des entrees on les # log et on les rejette iptables -A INPUT -p tcp -syn -m limit --limit 5/minute -j LOG -log-prefix "Firewalled packet:" iptables -A FORWARD -p tcp -syn -m limit --limit 5/minute -j LOG -log-prefix "Firewalled packet:" # Rejet iptables -A INPUT -p tcp -j REJECT -reject-with tcp-reset iptables -A INPUT -p all -j DROP iptables -A FORWARD -p tcp -j REJECT -reject-with tcp-reset iptables -A FORWARD -p all -j DROP j'obtiens les messages suivants : iptables v1.2.6a: Unknown arg `LOG' Try `iptables -h' or 'iptables --help' for more information. iptables v1.2.6a: Unknown arg `LOG' Try `iptables -h' or 'iptables --help' for more information. iptables v1.2.6a: Unknown arg `-j' Try `iptables -h' or 'iptables --help' for more information. iptables v1.2.6a: Unknown arg `-j' Try `iptables -h' or 'iptables --help' for more information. un indice ? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> je ne sais pas si tu as bien regarder le liens que grosbedos t'a donner, car c'est site très interessant, tu trouvera surement des réponses... pour l'instant, je ne peux te faire qu'une seule remarque... utiliser plutot DROP que REJECT, REJECT est plus pour rejetter les paquet, je pense pour uniquement bloquer un service, alors que DROP, annule le paquet, donc je pense que ton script sera déjà plus rapide

par **grosbedos** » 09 Avr 2003 12:20

g pu le tem de regarder mais c'est pas --log-prefix???

par **tomtom** » 09 Avr 2003 22:05

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-04-09 12:13, DgSe95 a écrit: [pour l'instant, je ne peux te faire qu'une seule remarque... utiliser plutot DROP que REJECT, REJECT est plus pour rejetter les paquet, je pense pour uniquement bloquer un service, alors que DROP, annule le paquet, donc je pense que ton script sera déjà plus rapide </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> En fait c'est surtout que REJECT envoie un message de refus alors que DROP non... Et la règle d'or de la securité : Moins on en dit au pirate, mieux on se porte <IMG SRC="images/smiles/icon_wink.gif"> Sinon oui il faut mettre -- au lieu de - comme le fait remarquer grosbedo! Thomas

par **DgSe95** » 10 Avr 2003 01:12

merci tfillaud j'avais oublier ça aussi, c'est REJECT envoi des messages, de type ICMP unreachable si je ne me trompe... donc tu as raison moins on parle mieux c'est

par **romeo** » 10 Avr 2003 09:40

ah iptables....;o) Cette regle bloque l'acces a mon serveur web : # Refuse tous paquets depuis l'exterieur pretendant etre du reseau interne iptables -A INPUT -i eth0 -s 192.168.XXX.XXX/XX -j REJECT eth0 est mon interface WAN. j'ai le meme probleme si je drop au lieu de reject qqn aurait une idee. merci

iptables = ennemi php ???

Qui est en ligne ?