Echec de ping au delà du routeur depuis ipcop

par **jameslechat** » 22 Août 2003 12:56

Salut, besoin d'un coup de main: - -Routeur/Modem DSL Netgear DG814 ->LAN: 192.168.1.1 -PC IPCOP ->green 192.168.0.0/24 par 192.168.0.3 ->red 192.168.1.0/24 par 192.168.1.3 -Switch netgear 16P -Clients red hat + w2k en 192.168.0.0/24 -free degroup 1024 en ip fixe 81.57.x.x le pb: les ping passent d'ipcop vers le LAN du netgear et vers mon adresse WAN mais pas au delà et, des clients LAN , nada ( timeout). route -n indique une table correcte mais au niveau de netfilter, le fichier de config m'a un peu embrouillé! qq'un a une idée ? un grand merci <IMG SRC="images/smiles/icon_confused.gif">

par **tomtom** » 22 Août 2003 14:30

Tes clients du green n'arrivent mêmepas à pinger l'interface lan du routeur ? c'est etrange ! Sinon, es-tu sur de la conf du ipcop en free degroupé ? Je ne connais pas bien, mais c'est une config particulière (voir avec Gesp pour ça...) T.

par **nemesis** » 22 Août 2003 14:35

tout depend de ce k'il a comme degroupage si c'est une freeboxen ethernet ça roule tou seul en mettant l'interface red d'ipcop en dhcp! moi c'est ce que j'ai et ça roule ss pb!

par **tomtom** » 22 Août 2003 14:40

Oui je sais on en a deja parlé, je voulais justement parler de ça <IMG SRC="images/smiles/icon_wink.gif"> T.

par **nemesis** » 22 Août 2003 14:42

<IMG SRC="images/smiles/icon_lol.gif"> je suis po réveillé moaaa <IMG SRC="images/smiles/icon_lol.gif">

par **jameslechat** » 22 Août 2003 17:33

la freebox, je me suis fait carotte dslam trop loin donc j'ai eu droit à un sagem usb. je l'ai testé mais je ne l'ai pas gardé en fonctionnement. c'est donc le routeur netgear qui fait modem dls et la config pour le 1024 est donnée sur le forum netgear - c'est là que je me suis aperçu que l'ip fixe etait mise d'office !! or donc le routage fonctionne, mes clients ping les deux interfaces réseau d'ipcop mais pas plus loin. ipciop lui même joint l'adresse wan du routeur mais s'arrête là !

par **tomtom** » 22 Août 2003 17:49

Ya un bins... Soit ton routeur bloque des trucs... Soit il est mal configuré pour la connexion degroupée, voila tout ce que je peux dire... Apres, faudrait voir si tu n'as pas des logs sur le routeur, pour voir ou ca bloque.... T.

par **jameslechat** » 22 Août 2003 17:57

faut dire que ce routeur est un sac de noeuds: nmap indique : os type : windows ME 4.9.3000 !!!!! et, pas mal non plus : tcp/139 : initialisation côté wan autorisée <- ça c'est de la sécurité <IMG SRC="images/smiles/icon_eek.gif">

par **Gesp** » 22 Août 2003 18:32

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE>->red 192.168.1.0/24 par 192.168.1.3 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> quelle version essayes-tu d'utiliser? parce que je ne suis pas sur que la V1.3.1 le permette à cause de rc.firewall # Outgoing masquerading /sbin/iptables -t nat -A RED -o $IFACE --destination 192.168.0.0/16 -j DROP # Private addresses mais je n'ai pas encore trouvé le temps de comprendre la syntaxe iptable

par **tomtom** » 22 Août 2003 18:52

C'est bien vu ça Gesp, ça pourrait expliquer certaines choses, mais je ne vois pas trop alors pourquoi les pongs vers le modem fonctionneraient, or ça a l'air d'être le cas... Il faudrait decidemment que je me plonge un peu dans la structure d'ipcop, mais plus ça va et plus je trouve que cette façon de tout compliquer est deconcertante.... T.

par **jameslechat** » 22 Août 2003 18:59

j'utilise la 1.3.0 de base j'ai pas encore regardé les régles de netfilter il est possible que l'ip masquerade ne fonctionne pas correctement en ce sens que , dans mon cas, le routeur fait déjà du nat pour moi... et je ne sais pas si on peut faire du "nat sur du nat" ( c'est mal dit mais c'est ça): le routeur fait du nat sur 192.168.1.0/24 -->WAN et ipcop "ferait" du nat sur 192.168.0.0/24-->ETH1 faut que je verifie...

par **Gesp** » 22 Août 2003 21:00

On peut faire 2 NAT à la suite mais ce n'est pas l'idéal. A part utiliser le Sagem800 en amont d'IPCop <IMG SRC="images/smiles/icon_razz.gif"> (d'ailleurs je n'ai pas eu de retour pour valider les dernières modifs concernant le Free dégroupé alors je cherche un testeur), je suppose qu'il est possible de configurer le modem routeur Netgear en bridge pour ne plus router. La réponse au pourquoi du filtrage est donné dans l'explication donnée par MarkWormgoor sur l'antispoofing <a href="http://www.ixus.net/modules.php?op=modload&name=Forum&file=viewtopic&mode=viewtopic&topic=5373&forum=10&start=45" target="_blank">http://www.ixus.net/modules.php?op=modload&name=Forum&file=viewtopic&mode=viewtopic&topic=5373&forum=10&start=45</a> <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE>You cannot send a packet from a private IP address out the red interface. However, you can still send a packet to a private IP address out, confusing the next router </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE>The thought behind anti-spoofing is that it's up to the originating network to only allow traffic with valid source addresses (coming from its own network) out on the internet.</BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Le NAT sortant est filtré mais je suppose que l'interface RED est en amont dans la table donc ce filtrage ne s'appliquerait pas quand on ping directement depuis IPCop (sans être NATé) <IMG SRC="images/smiles/icon_confused.gif">

Echec de ping au delà du routeur depuis ipcop

Qui est en ligne ?