ouverture d'un port du RED au GREEN.

par **G-rome** » 11 Août 2003 11:05

Bonjour, je vous explique mon pb. Je veux mettre en place ipcop v1.3.0 à la place de mon firewall actuel( il est malade). mon réseau est de cette forme la. internet-routeur-firewall-dmz-proxy-reseaux interne. il existe plusieurs machines qui se trouve sur la DMZ et sur le réseau interne qui doivent être accessible de l'extérieur donc le forwarding n'est pas possible. ex: je doit ouvrir le port 80 sur 4 serveur web et le port 443 sur 2 serveurs. j'ai choisi de configurer mon firewall ipcop en GREEN+RED car si je me mais en GREEN+ORANGE+RED, je devrais changer tout le schéma réseau. Donc ma question est de savoir comment ouvrir un port quelconque sur le réseau GREEN pour qu'il soit accessible à partir dur réseau RED. Merci de votre aide

par **touffator** » 11 Août 2003 21:33

avec l'interface web de ton ipcop <IMG SRC="images/smiles/icon_eek.gif"> y a un onglet port forwarding et c'est tout mais tu peut pas rediriger un meme port sur plusieurs machine ++ touf

par hb » 11 Août 2003 22:15

y'a un truc qui m'echappe dans ta config avant ipcop. si tu as 4 serveurs web derriere un FW accessible depuis Internet, j'en conclus qu'ils ont des @IP publics non ? comment fais tu pour les rendre accessibles sinon ? ensuite si tu ouvre un port du FW ipcop (ou un autre FW d'ailleurs) le port est ouvert pour tout le reseau pas pour un seul serveur ! donc on ne peut pas "ouvrir" le port 80 pour 4 serveur et le port 443 pour 2 serveurs soit le port 80 et le port 443 sont ouverts soit ils sont fermés !!! mais le fait d'ouvrir un port ne resoudra pas ton pb, auquelle des 4 serveurs doit il forwarder le port 80 ??? quel est l'element distinctif depuis Internet ??? la seule solution que j'imagine est la suivante chaque serveur web est vu depuis Internet par un port spécifique ton_ip_public:80 -> web1:80 ton_ip_public:82 -> web2:80 ton_ip_public:83 -> web3:80 ton_ip_public:84 -> web4:80 est ce que tu cherches ?

par **G-rome** » 12 Août 2003 08:45

Merci pour ces réponses, le firewall que j'ai actuellement (qube2) pouvais ouvrir un port en spécifiant l'url de destination qui me permettait de spécifier quelle serveur avait le port 80 ouvert. j'aurais aimer pouvoir faire la même chose avec IPCOP, mais si ce n'est pas possible, j'ouvrirais un port sur le réseau entier jusqu'à que je trouve une autre solution. hb, ton idée est bonne mais le changement de mon firewall qube2 vers ipcop doit être transparent pour les clients qui se connecte via internet. j'ai fait des recherches et si j'ai bien compris je doit rajouter des entrés dans /etc/rc.d/rc.firewall mais je n'est rien trouver ou essayer qui me permette d'accéder a mes sites webs. HELP ME.

par **tomtom** » 12 Août 2003 10:59

Je ne vois pas comment faire ce que tu demandes si ce n'est en utilisant un reverse proxy. J'explique : toutes les requets entrant sur port 80 sont envoyées à un reverse proxy (typiquement apache) qui suivant le virtual host renvoie sur le bon server. A mon avis c'est ainsi que fonctionne le qube, avec un reverse proxy integré... Netfilter ne permet que de regarder les options de nouveau 4 et donc certainement pas de faire de la redirection sur url.... Un des seuls autres moyens serait d'utiliser le module string de netfilter (recherche les posts la dessus si tu veux plus d'infos) qui permet de verifier la presence d'une chaine dans le paquet. Ainsi, an filtrant sur les paquets syn à destination du port 80 et avec la string correspondant à l'url, tu dois pouvoir faire un truc... Mais j'ai peur que ça soit gourmand en ressources et peu fiable.... Thomas

par **touffator** » 12 Août 2003 11:18

c'est vrai que a mon avis la seul solution c'est un serveur apache avec des alias et en fonction de l'alias il redirige sur tel ou tel serveur mais de mémoire apache est pas sur ipcop <IMG SRC="images/smiles/icon_confused.gif"> par contre toujours de memoire (je peut pas acceder a ma box ki est du taf dc c chaud <IMG SRC="images/smiles/icon_frown.gif"> ) y a un onglet alias sur les box ipcop mais j'ai jamais testé ... mais dit nous plutot actuellement comment ils font pour changer de serveur est-ce que c'est en fonction de leurs ip ou avec un nom de dommaine différent ... parcque si c'est en fonction de leurrs ip ça doit pas etre avec apache sinon c'est possible que ce soit avec apache et les alias

par **G-rome** » 12 Août 2003 12:56

Merci à tous de m'avoir aidé, j'ai en parti résolu mon souci grâce notamment à la super doc effectuer par antolien. Je m'explique, la commande suivante me permet de forwarder sur toutes mes adresses internes. iptables -I FORWARD -p tcp --dport 80 -j ACCEPT j'ai testé, ça fonctionne, j'accède à tous mes serveurs webs. Cool Seul bémol, je n'arrive pas à créer cette commande via l'interface web (je sais, je suis un peu casse bonbon). Une dernière petite question, j'ai cru avoir lu sur le forum mais je demande confirmation, les ports au dessus de 1024 sont ouvert par défaut en entré??? Encore une fois merci et super forum ( longue vie a ixus.net)

par **tomtom** » 12 Août 2003 13:15

Mais attends, tu as des ip publiques ? tu n'a spas de transfert là.... ? T.

par hb » 12 Août 2003 14:00

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-08-11 22:15, hb a écrit: y'a un truc qui m'echappe dans ta config avant ipcop. si tu as 4 serveurs web derriere un FW accessible depuis Internet, j'en conclus qu'ils ont des @IP publics non ? comment fais tu pour les rendre accessibles sinon ? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> c'est ce que je m'étais dit également des le debut !!! IP public !!!!

par **G-rome** » 12 Août 2003 14:09

désolé oui, je pensais dans mon schéma au démarrage que c'etait clair mais mon bon ce n'etait pas le cas. alors oui ma DMZ est sur un brin publique, c'est le proxy qui fait office de routeur entre le domaine publique et l'interne. Désolé

par **G-rome** » 12 Août 2003 14:14

en reponse à hb: comment fais tu pour les rendre accessibles sinon ? En utilisant ISA serveur ( je sais un produit "biiiiiiiiiiiip") et tu fait de la publication mais mon reseau est tres complexe, on a des sites webs sur le brin publique et des sites webs sur le reseau interne. Et tous doivent etre accessible de l'exterieur.

par hb » 12 Août 2003 14:22

ton schema c'est une DMZ "à l'ancienne" Internet - FW - DMZ - FW - LAN sauf que tu as remplacé le 2éme FW par un proxy dans ton cas je pense que l'ajout d'une carte à IPCOP pour créer une zone Orange aurait tout son sens, et sans pertuber les utilisateurs du LAN j'ai jamais fait mais je crois que ce serait comme ça : (corrigez moi si je me trompe) tu mets tes serveurs web dans le Orange avec une IP privée (192.168.1.x) et tu utilise l'option "acces à la DMZ" d'IPCOP tu renseignes l'IP public à gauche l'IP privée à droite et le port 80 au bout au niveau du lan si tu as un serveur DNS tu dis : serveur web1=ip privé 1 serveur web2=ip privé 2 serveur web3=ip privé 3 serveur web4=ip privé 4 et ainsi les serveurs sont accessibles depuis le lan par leur nom depuis Internet par leur IP public l'autre avantage de cette solution c'est que ton lan sera mieux protéger des intrusions

par **G-rome** » 12 Août 2003 17:19

super c'est tout à fait ça que je voudrais faire plus tard, sauf qu'il faut que je change les paramètres réseaux de mes clients sur le réseau local ( changer la passerelle), c'est pas grand chose mais il faut monter un dossier, le faire valider par les superieurs et je pense que je pourais le faire fin de cette année. Mais heureusement qu'il y a ces procedures sinon je changerais tous les mois, le réseau mis en place et ce serais l'arnarchie. Merci beaucoup hb. une toute petite question, c'est possible de modifier les pages CGI pour l'interface web et si oui, connaissez vous une doc simple( pas 400 pages)? Car pour ma part, je ne peu pas ajouter ou modifier mes tables par l'interface web et sa peu gêner quelque utilisateur réfractaire a cette technologie. Thanks

par hb » 12 Août 2003 17:30

les pages cgi sont dans /home/httpd/cgi-bin/.... j'utilise putty pour avoir un $shell sur ipcop puis joe /home/httpd/cgi-bin/index.cgi (par exemple, je crois que ce fichier cgi existe) joe est un editeur type edit du DOS que je prefere a VI trop complexe pour moi. ensuite tu t'inspire de ce qui est fait, c'est le meilleur apprentissage quand on a pas le courage de lire 400 pages de doc (comme moi)

ouverture d'un port du RED au GREEN.

Qui est en ligne ?