IPCOP 1.3 & les sous-réseaux

par **remi** » 23 Avr 2003 12:45

C reparti pour un tour ! <IMG SRC="images/smiles/icon_biggrin.gif"> 1. Ajout des Routes La commande reste identique, mais elles doivent etre mise dans le fichier /etc/rc.d/rc.local Ex : route add -net 192.168.2.0/24 gw 192.168.1.253 eth0 2. L'autorisation des sous-reseaux... IPCOP les considèrent toujours comme "des méchants", le récapitulatif des connexions iptables (tres bien fait d'ailleurs) le montre. J'ai pas encore trouvais ou je pouvez mettre la ligne IPTABLE et quelle ligne il faut mettre exactement. Les idées sont les biens venues.

par **remi** » 23 Avr 2003 12:52

Retournement de situation !!! Meme si les sous reseaux apparaissent rouge dans "original Adresse IP et porte d'origine", IPCOP ne les bloque pas... Terminé... La seul manip à faire désormais c de mettre les routes dans le rc.local C fini <IMG SRC="images/smiles/icon_up.gif"> <IMG SRC="images/smiles/icon_up.gif"> <IMG SRC="images/smiles/icon_up.gif"> <IMG SRC="images/smiles/icon_up.gif"> <IMG SRC="images/smiles/icon_up.gif"> <IMG SRC="images/smiles/icon_up.gif"> <IMG SRC="images/smiles/icon_up.gif"> <IMG SRC="images/smiles/icon_up.gif">

par **antolien** » 23 Avr 2003 13:03

Mort de Rire ! ça me parraît bizarre... ils sont où les 300 messages pour passer à iptables <IMG SRC="images/smiles/icon_lol.gif"> sympa, simple , mais c'est étonnant, et l'antispoof, le masquage des sous-réseaux ? <IMG SRC="images/smiles/icon_eek.gif"> <IMG SRC="images/smiles/icon_confused.gif"> argh faudrait bien regarder le rc.firewall...

par **remi** » 23 Avr 2003 13:06

je suis en train d'eplucher le rc.firewall... Ca me parait aussi etrange...mais c marche et c l'essentiel.

par **tomtom** » 23 Avr 2003 14:17

Un petit iptables -L te donnera la liste des règles appliquées.... iptables -t nat -L pour la liste des translations d'addresses... Thomas

par **antolien** » 23 Avr 2003 14:57

Chain RED (1 references) target prot opt source destination MASQUERADE all -- anywhere anywhere il y a 3 règles : /sbin/iptables -t nat -A RED -o $IFACE -j MASQUERADE /sbin/iptables -A INPUT -i $GREEN_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $GREEN_DEV -j ACCEPT c'est quoi $IFACE ?

par **tomtom** » 23 Avr 2003 15:00

héhé <IMG SRC="images/smiles/icon_smile.gif"> Ne t'affoles pas trop ! La chaine RED est une chaine utilisateur, créée par IPCop... Ce qu'il faut savoir, c'est ce qu'il envoie dedans.... Peux-tu me dire les lignes avec -j RED ? En effet, tous les paquets traversant cette chaine seront nattés, mais lesquels sont-ils ?? Thomas

par **antolien** » 23 Avr 2003 15:09

bof, je m'affoles pas,j'ai quand même confiance <IMG SRC="images/smiles/icon_lol.gif"> regardes le message précédent qu j'ai modifié ,sinon, il y a ça aussi: # RED chain, used for the red interface /sbin/iptables -N RED /sbin/iptables -A INPUT -j RED /sbin/iptables -t nat -N RED /sbin/iptables -t nat -A POSTROUTING -j RED et IFACE=`/bin/cat /var/ipcop/red/iface | /usr/bin/tr -d '012'` j'avoues que je comprend pas tout là...

par **tomtom** » 23 Avr 2003 15:39

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-04-23 14:57, antolien a écrit: Chain RED (1 references) target prot opt source destination MASQUERADE all -- anywhere anywhere il y a 3 règles : /sbin/iptables -t nat -A RED -o $IFACE -j MASQUERADE /sbin/iptables -A INPUT -i $GREEN_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $GREEN_DEV -j ACCEPT c'est quoi $IFACE ? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> La table nat s'occupe ... du NAT ! Elle comprte trois chaines : PREROUTING OUTPUT POSTROUTING La premiere regle ci-dessus ajoute à la chaine RED (cree par IPCop...) une règle. $IFACE, c'est une variable.. Vu la tête que ca a, ca doit servir à recuperer le nom de l'interface RED. Cette regle noue raconte donc que tous les paquets à destination du net doivent etre natés en postrouting (apres traitement du routage). C'est normal. Par contra rien n'est indiqué sur la source, donc que ca vienne du orange ou du vert et quelle que soit l'addresse, ca natte... La deuxieme règle accepte pour le local tout ce qui vient du green (donc si tu fais un ssh vers ipcop depuis le green ca doit marcher !) La dernière autorise tout ce qui est sortant à aller vers internet. Thomas

par **tomtom** » 23 Avr 2003 15:49

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-04-23 15:09, antolien a écrit: bof, je m'affoles pas,j'ai quand même confiance <IMG SRC="images/smiles/icon_lol.gif"> regardes le message précédent qu j'ai modifié ,sinon, il y a ça aussi: # RED chain, used for the red interface /sbin/iptables -N RED /sbin/iptables -A INPUT -j RED /sbin/iptables -t nat -N RED /sbin/iptables -t nat -A POSTROUTING -j RED et IFACE=`/bin/cat /var/ipcop/red/iface | /usr/bin/tr -d '012'` j'avoues que je comprend pas tout là... </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> /sbin/iptables -N RED -> creation de la chaine RED dans la table FILTER (table par defaut s'il n'y a pas le -t) /sbin/iptables -A INPUT -j RED -> les paquets à destination de IPCop sont envoyes à la chaine RED /sbin/iptables -t nat -N RED -> creation de la chaine RED dans la table NAT /sbin/iptables -t nat -A POSTROUTING -j RED -> apres routage, tous les paquets sont envoyés à la chaine RED pour savoir quoi en faire.. Et nous avons vu plus haut que dans la chaine RED tout ce qui part sur Internet est natté. IFACE=`/bin/cat /var/ipcop/red/iface | /usr/bin/tr -d '012'` -> Ca doit recuperer tout simplement le nom de l'interface connectée à internet (je parie pour ppp0 dans ton cas... sinon ca peut etre eth1 par exemple). Tu peux verifier en tapant sur ta ligne de commande : echo `/bin/cat /var/ipcop/red/iface | /usr/bin/tr -d '012'` Voila voila... Le problème c'est que IPCop s'amuse à ajouter une table utilisateur à chaque fois, donc on sait pas trop où on en est.... Il faut faire attention en rajoutant par exmple des règles dans INPUT vu que les paquets risquent de traverser la chaine RED avant d'arriver à votre règle... Thomas

par **tomtom** » 23 Avr 2003 15:50

Pour Antolien, et lea autres qui passent de IPChains à IPTables, je vous conseille à nouveau vivement le site de Christian CALECA : <a href="http://christian.caleca.free.fr/netfilter/" target="_blank">http://christian.caleca.free.fr/netfilter/</a> Excellente introduction (et même un peu plus) à netfilter et son outil IPTables Thomas

IPCOP 1.3 & les sous-réseaux

Qui est en ligne ?