ca y est je me suis mis a securiser mon rezo ! mais ....

par **tetack** » 02 Mai 2002 08:09

Salut a tous! j'avas mis un Zone Alarm chez moi histoire de voir ce que je me prenais sur la tete venant du net et la c pas triste, g pas été décu ! <IMG SRC="images/smiles/icon_mad.gif"> j'ai donc recupéré une vieillemachine pour faire office de firewall/routeur ... etant sur une plaque ECI avec un modme USB j'ai n'ai pas eut beaucoup le choix, j'ai donc du mettre ma passerelle sous debian ! apres qq WE de conf ca passe enfin !! tout mon rezo accède bien a internet COOL <IMG SRC="images/smiles/icon_confused.gif"> enfin presque : <IMG SRC="images/smiles/icon_cussing.gif"> en effet ma passerelle n'accède pas a internet ... <IMG SRC="images/smiles/icon_confused.gif"> si le firewall est desactivé sa passe mais la je comprend pas : cf mes regles de firewall # ! /bin/sh # variables : INTRANET="192.168.0.0/24" LOCAL="eth0" ADSL="ppp0" KEEP="-m state --state ESTABLISHED,RELATED" case "$1" in start) echo "lancement regles firewall" # accepte : LOCAL => INTERNET iptables -A INPUT -p all -s $INTRANET -i $LOCAL -d ! $INTRANET -j ACCEPT # masquerading iptables -t nat -A POSTROUTING -s $INTRANET -d ! $INTRANET -o $ADSL -j MASQUERADE # accepte toutes les connection depuis le local #iptables -A INPUT -i $LOCAL -p ALL $KEEP -j ACCEPT #iptables -A OUTPUT -o $LOCAL -p ALL $KEEP -j ACCEPT #accepte ssh sur le port 22 sur le serveur depuis ppp0 #iptables -A INPUT -p tcp --dport 22 -i $ADSL -j ACCEPT # test pour pb de DNS du serveur #iptables -A INPUT -p tcp --dport 113 -i $ADSL -j ACCEPT # accepte connections deja etablies iptables -A OUTPUT -o $LOCAL -p ALL $KEEP -j ACCEPT iptables -A INPUT -i $LOCAL -p ALL $KEEP -j ACCEPT # DROP du reste iptables -A INPUT -p all -i $LOCAL -j DROP iptables -A INPUT -p all -i $ADSL -j DROP ;; ############################ stop) echo "arret regles firewall" iptables -F iptables -F -t nat iptables -X ;; ############################ status) iptables -v -nL iptables -v -t nat -L -n ;; esac  [appel désespéré] HELP ME [/appel désespéré] _________________ L'univers et la $%#&! humaine sont infini ... quoique pour l'univers je ne suis pas sur ! " Albert Einstein

par **bruno** » 02 Mai 2002 10:12

Essaye d'ouvrir la route vers le net pour localhost 127.0.0.1. A+ Bruno

par **tetack** » 02 Mai 2002 12:16

mouais c ce kon m'as dis ! par ces regles le web est ouvert sur mon rezo mais pour ma passerelle ca passe pas par eth0 !! <IMG SRC="images/smiles/icon_biggrin.gif">

par **tetack** » 02 Mai 2002 23:48

dis a quoi ca ressemble cette fichue règle car la ca me tape sur le système <IMG SRC="images/smiles/icon_mad.gif">

par **splyit** » 03 Mai 2002 12:53

ton script est bon Mais, t'as verifié que tu avait activé le routage et le saut d'interface ? fait un tcpdump pour verifier les paquets en entrée/sortie. @+

par **tetack** » 03 Mai 2002 14:20

vi ca y est aussi ! le pb c t comme dis precedement dans les regles de firewall ! maintenant ca passe g modif mes regles comme suivant : # accepte : LOCAL => INTERNET iptables -A INPUT -p all -s $INTRANET -i $LOCAL -d ! $INTRANET -j ACCEPT # masquerading iptables -t nat -A POSTROUTING -s $INTRANET -d ! $INTRANET -o $ADSL -j MASQUERADE  ==>> # accepte : LOCAL => INTERNET iptables -A INPUT -p all -d ! $INTRANET -j ACCEPT # masquerading iptables -t nat -A POSTROUTING -o $ADSL -j MASQUERADE  ca permet a tout de srotir mais je controle moins ce qui sort !! remarque si vous savez comment identifier la machine firewall dans les regles .... dites toujours !

par **tetack** » 05 Mai 2002 23:44

le pb c que je souhaite maintenant faire la différence entre ce qui viens de eth0 eth1 pppO et de mon routeur !!!! $%#&! aidez moi !! <IMG SRC="images/smiles/icon_bawling.gif"> comment je peux faire pour identifier mon routeur dans ses scripts de firewall ??

par **hyatus** » 06 Mai 2002 00:13

<a href="http://www.linux-france.org/article/formation/fw.html" target="_blank">http://www.linux-france.org/article/formation/fw.html</a>

par **splyit** » 14 Mai 2002 14:37

Bon ben vla mon script. je pense que ca peut te filer un coup de main. echo ' ----------------------------------------------------' echo ' Firewall' echo ' ----------------------------------------------------' #activation du forwarding entre interface echo 1 > /proc/sys/net/ipv4/ip_forward # protection contre les requetes ICMP foireuses echo 'IP PROTECTION' echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f done # Insertion des modules FTP echo 'INSERTING MODULES' insmod ip_nat_ftp insmod ip_conntrack_ftp # Cleaning des regles existantes echo 'FLUSHING' iptables -F iptables -X # definition des politiques IP echo 'POLICY' iptables -P INPUT DROP iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT # Translation d'adresse vers le reseau interne echo 'MASQUERADE' iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE # regles de base : DROP echo 'RULES' iptables -N firewall iptables -A firewall -j DROP iptables -N dropwall iptables -A dropwall -j DROP iptables -N badflags iptables -A badflags -j DROP iptables -N silent iptables -A silent -j DROP #protection contre les flags TCP foireux echo 'TCP FLAGS' iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j badflags iptables -A INPUT -p tcp --tcp-flags ALL ALL -j badflags iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j badflags iptables -A INPUT -p tcp --tcp-flags ALL NONE -j badflags iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j badflags iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j badflags # Refirection de Ports vers les daemon locaux echo 'PORT AUTH' iptables -A INPUT -i eth0 -d 0/0 -p tcp --dport 21 -j ACCEPT iptables -A INPUT -i eth0 -d 0/0 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -i eth0 -d 0/0 -p tcp --dport 25 -j ACCEPT iptables -A INPUT -i eth0 -d 0/0 -p tcp --dport 80 -j ACCEPT iptables -A INPUT -i eth0 -d 0/0 -p tcp --dport 110 -j ACCEPT iptables -A INPUT -i eth0 -d 0/0 -p tcp --dport 143 -j ACCEPT iptables -A INPUT -i eth1 -d 0/0 -p tcp --dport 21 -j ACCEPT iptables -A INPUT -i eth1 -d 0/0 -p tcp --dport 22 -j ACCEPT iptables -A INPUT -i eth1 -d 0/0 -p tcp --dport 25 -j ACCEPT iptables -A INPUT -i eth1 -d 0/0 -p tcp --dport 80 -j ACCEPT iptables -A INPUT -i eth1 -d 0/0 -p tcp --dport 110 -j ACCEPT iptables -A INPUT -i eth1 -d 0/0 -p tcp --dport 143 -j ACCEPT # bloacage du port 137 (broadcast windows) et autre echo 'OTHERS' iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A INPUT -p udp --sport 137 --dport 137 -j silent iptables -A INPUT -j dropwall echo '--------' echo 'ALL DONE' echo '--------' Voila ! @+

ca y est je me suis mis a securiser mon rezo ! mais ....

Qui est en ligne ?