Ipcop + fast 800 + 2 carte reseau

par **tonyjub** » 01 Juin 2003 17:32

Bonjour tt le monde , je tiens d'abord a remercier tous les membres de ce forum , son webmaster et a Gesp pour le travail apporté a Ipcop et à son support récent du Fast800 . Je compte dedié un p100 a ipcop avec une carte usb ( que j'ai deja ) et le sagem fast 800 Cette passerelle devra permetre a 2 pc ( sous windows ou linux ) d'acceder à internet Le problem est que je n'ai ni hub ni switch mais que j'ai par contre 4 carte réseau en ma possession . Est il possible de mettre 2 carte réseau ds le p100 et que chacun des 2 ordi soit relié a sa carte réseau par un cable croisé et qu'il est acces a internet par l'intermédiare du firewall ? Les 2 pc client n'ont pas besoin de se voir donc je n'ai pa besoin de routage juste en quelque sorte de "2" sortie de la passerelle vers les 2 pc au lieu de passer par un switch . Merci d'avance

par **antolien** » 01 Juin 2003 18:00

Tu as deux solutions. la première (et la plus simple) c'est que tu choisis lors de l'installation d'ipcop green+orange. c'est à dire utiliser ta deuxième carte réseau pour une DMZ, ainsi tu pourras surfer à partir des deux postes avec un câble croisé (un sur le green et l'autre sur le orange). bon DMZ ne veut pas dire que ce n'est pas sécurisé à partir du moment ou tu n'ouvre pas d'accès exterieur. chose à savoir c'est qu'il faudra mettre sur le poste dans le orange les dns du fai car le cache dns ne fonctionne pas dans cette zone. deuxième solution, celle de wann <a href="http://forums.ixus.net/viewtopic.php?t=3523" target="_blank">http://forums.ixus.net/viewtopic.php?t=3523</a>

par **Gesp** » 01 Juin 2003 18:01

Ce qu'il faudrait dans l'idéal, c'est reprendre la modif pour 2 green de la V1.2 et la reporter dans une version V1.3 mais c'est pas tout à fait simple. L'autre solution est de connecter une machine sur le Green et l'autre sur le Orange. Je sais pas trop quels sont les inconvénients. Tant que l'on ne fait pas de transfert de port vers la machine en Orange, je ne sais pas quels sont les différences de protection Green/Orange

par **tonyjub** » 01 Juin 2003 18:28

Merci beaucoup pour vos réponses , la méthode du wan avec l'interface purple sorte de green "bis" est trés interessante malgré la difficulté somme toute relative pour la mettre en place . Merci encore et continuer bien votre travail @+ <IMG SRC="images/smiles/icon_smile.gif">

par **joebar** » 01 Juin 2003 18:49

Les modifs de Wann pour la green et la purple sont tres simple a mettre en place sur la 1.3 (je l'ao fait sur mon ipcop) il suffit de suivre les modifs de la 1.2 a part le fichier rc.firewall qui est différent mais bon ca se fait tres bien !!! @+

par **Guijnor** » 01 Juin 2003 19:40

En fait je veux fair comme toi, pourras-tu m'aider ?

par **joebar** » 02 Juin 2003 07:50

ben pas de pb !!! deja il faut suivre la procedure de wann, et ensuite je te file le rc.firewall : #!/bin/sh . /var/ipcop/ppp/settings . /var/ipcop/ethernet/settings IFACE=`/bin/cat /var/ipcop/red/iface | /usr/bin/tr -d '012'` iptables_init() { echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route echo 1 > /proc/sys/net/ipv4/conf/all/log_martians # Reduce DoS'ing ability by reducing timeouts echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout echo 0 > /proc/sys/net/ipv4/tcp_window_scaling echo 0 > /proc/sys/net/ipv4/tcp_timestamps echo 0 > /proc/sys/net/ipv4/tcp_sack echo 1024 > /proc/sys/net/ipv4/tcp_max_syn_backlog # Flush all rules and delete all custom chains /sbin/iptables -F /sbin/iptables -t nat -F /sbin/iptables -X /sbin/iptables -t nat -X # Set up policies /sbin/iptables -P INPUT DROP /sbin/iptables -P FORWARD DROP /sbin/iptables -P OUTPUT ACCEPT # This chain will log, then DROPs "Xmas" and Null packets which might # indicate a port-scan attempt /sbin/iptables -N PSCAN /sbin/iptables -A PSCAN -p tcp -m limit --limit 10/minute -j LOG --log-prefix "TCP Scan? " /sbin/iptables -A PSCAN -p udp -m limit --limit 10/minute -j LOG --log-prefix "UDP Scan? " /sbin/iptables -A PSCAN -p icmp -m limit --limit 10/minute -j LOG --log-prefix "ICMP Scan? " /sbin/iptables -A PSCAN -f -m limit --limit 10/minute -j LOG --log-prefix "FRAG Scan? " /sbin/iptables -A PSCAN -j DROP # Disallow packets frequently used by port-scanners, XMas and Null /sbin/iptables -A INPUT -p tcp --tcp-flags ALL ALL -j PSCAN /sbin/iptables -A FORWARD -p tcp --tcp-flags ALL ALL -j PSCAN /sbin/iptables -A INPUT -p tcp --tcp-flags ALL NONE -j PSCAN /sbin/iptables -A FORWARD -p tcp --tcp-flags ALL NONE -j PSCAN } iptables_red() { /sbin/iptables -F RED /sbin/iptables -t nat -F RED # PPPoE / PPTP Device if [ "$IFACE" != "" ]; then # PPPoE / PPTP if [ "$DEVICE" != "" ]; then /sbin/iptables -A RED -i $DEVICE -j ACCEPT fi if [ "$RED_TYPE" = "PPTP" -o "$RED_TYPE" = "PPPOE" ]; then if [ "$RED_DEV" != "" ]; then /sbin/iptables -A RED -i $RED_DEV -j ACCEPT fi fi fi if [ "$IFACE" != "" -a -f /var/ipcop/red/active ]; then # DHCP if [ "$RED_DEV" != "" -a "$RED_TYPE" = "DHCP" ]; then /sbin/iptables -A RED -p tcp --source-port 67 --destination-port 68 -i $IFACE -j ACCEPT /sbin/iptables -A RED -p udp --source-port 67 --destination-port 68 -i $IFACE -j ACCEPT fi if [ "$PROTOCOL" = "RFC1483" -a "$METHOD" = "DHCP" ]; then /sbin/iptables -A RED -p tcp --source-port 67 --destination-port 68 -i $IFACE -j ACCEPT /sbin/iptables -A RED -p udp --source-port 67 --destination-port 68 -i $IFACE -j ACCEPT fi # Allow IPSec /sbin/iptables -A RED -p 47 -i $IFACE -j ACCEPT /sbin/iptables -A RED -p 50 -i $IFACE -j ACCEPT /sbin/iptables -A RED -p 51 -i $IFACE -j ACCEPT /sbin/iptables -A RED -p udp -i $IFACE --sport 500 --dport 500 -j ACCEPT # Outgoing masquerading /sbin/iptables -t nat -A RED -o $IFACE -j MASQUERADE fi } # See how we were called. case "$1" in start) iptables_init # Limit Packets- helps reduce dos/syn attacks /sbin/iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -m limit --limit 10/sec # CUSTOM chains, can be used by the users themselves /sbin/iptables -N CUSTOMINPUT /sbin/iptables -A INPUT -j CUSTOMINPUT /sbin/iptables -N CUSTOMFORWARD /sbin/iptables -A FORWARD -j CUSTOMFORWARD /sbin/iptables -t nat -N CUSTOMPREROUTING /sbin/iptables -t nat -A PREROUTING -j CUSTOMPREROUTING # Accept everyting connected /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT /sbin/iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT # localhost and ethernet. /sbin/iptables -A INPUT -i lo -j ACCEPT /sbin/iptables -A INPUT -p icmp -j ACCEPT /sbin/iptables -A INPUT -i $GREEN_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $GREEN_DEV -j ACCEPT /sbin/iptables -A INPUT -i $PURPLE_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $PURPLE_DEV -j ACCEPT # accept all traffic from ipsec interfaces /sbin/iptables -A INPUT -i ipsec+ -j ACCEPT /sbin/iptables -A FORWARD -i ipsec+ -j ACCEPT # Port forwarding if [ "$ORANGE_DEV" != "" ]; then # This rule enables a host on ORANGE network to connect to the outside /sbin/iptables -A FORWARD -i $ORANGE_DEV -p tcp -o ! $GREEN_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $ORANGE_DEV -p udp -o ! $GREEN_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $ORANGE_DEV -p tcp -o ! $PURPLE_DEV -j ACCEPT /sbin/iptables -A FORWARD -i $ORANGE_DEV -p udp -o ! $PURPLE_DEV -j ACCEPT fi # RED chain, used for the red interface /sbin/iptables -N RED /sbin/iptables -A INPUT -j RED /sbin/iptables -t nat -N RED /sbin/iptables -t nat -A POSTROUTING -j RED iptables_red # XTACCESS chain, used for external access /sbin/iptables -N XTACCESS /sbin/iptables -A INPUT -j XTACCESS # PORTFWACCESS chain, used for portforwarding /sbin/iptables -N PORTFWACCESS /sbin/iptables -A FORWARD -j PORTFWACCESS # DMZ pinhole chain. setdmzholes setuid prog adds rules here to allow # ORANGE to talk to GREEN. /sbin/iptables -N DMZHOLES /sbin/iptables -A FORWARD -o $GREEN_DEV -j DMZHOLES /sbin/iptables -A FORWARD -o $PURPLE_DEV -j DMZHOLES # Custom prerouting chains (for transparent proxy and port forwarding) /sbin/iptables -t nat -N SQUID /sbin/iptables -t nat -A PREROUTING -j SQUID /sbin/iptables -t nat -N PORTFW /sbin/iptables -t nat -A PREROUTING -j PORTFW # last rule in input and forward chain is for logging. /sbin/iptables -A INPUT -m limit --limit 10/minute -j LOG --log-prefix "INPUT " /sbin/iptables -A FORWARD -m limit --limit 10/minute -j LOG --log-prefix "OUTPUT " ;; stop) iptables_init # Accept everyting connected /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # localhost and ethernet. /sbin/iptables -A INPUT -i lo -j ACCEPT /sbin/iptables -A INPUT -i $GREEN_DEV -j ACCEPT /sbin/iptables -A INPUT -i $PURPLE_DEV -j ACCEPT if [ "$RED_DEV" != "" -a "$RED_TYPE" = "DHCP" ]; then /sbin/iptables -A input -p tcp --source-port 67 --destination-port 68 -i $IFACE -j ACCEPT /sbin/iptables -A input -p udp --source-port 67 --destination-port 68 -i $IFACE -j ACCEPT fi if [ "$PROTOCOL" = "RFC1483" -a "$METHOD" = "DHCP" ]; then /sbin/iptables -A input -p tcp --source-port 67 --destination-port 68 -i $IFACE -j ACCEPT /sbin/iptables -A input -p udp --source-port 67 --destination-port 68 -i $IFACE -j ACCEPT fi /sbin/iptables -A INPUT -m limit --limit 10/minute -j LOG --log-prefix "INPUT " /sbin/iptables -A FORWARD -m limit --limit 10/minute -j LOG --log-prefix "OUTPUT " ;; reload) iptables_red ;; restart) $0 stop $0 start ;; *) echo "Usage: $0 {start|stop|reload|restart}" exit 1 ;; esac exit 0 @+

par **Guijnor** » 02 Juin 2003 13:58

Mais en fait j'ai deux mêmes cartes réseaux dans mon PC Ipcop et pas besoin d'Orange, je vais tester et merci <IMG SRC="images/smiles/icon_wink.gif">

par **Guijnor** » 02 Juin 2003 16:57

Je bloque au niveau de la méthode de Wann car j'ai l'impression qu'elle est incomplète !

Ipcop + fast 800 + 2 carte reseau

Qui est en ligne ?