HTTP only et rien de plus...

par **lenode** » 10 Oct 2003 18:40

Bonjour, J'ai plusieurs problèmes sur mon serveur ClarkConnect 2.0. Je vais peut être poser une question maîntes fois développées déjà sur ce forum, mais je la pose car les posts éxistants ne répondent pas. # Certains ports de ma passerelle CC 2.0 sont ouverts (IP:80.13.13.xxx): 21 FTP 22 SSH 25 SMTP 80 HTTP 81 Interface configuration CC 2.0 82 ? 110 POP3 443 HTTPS 1875 ? 3128 ? 10000 Webmin # La même passerelle vue de l'interieur du réseau (192.168.1.1): 21 FTP 22 SSH 25 SMTP 80 HTTP 81 Interface configuration CC 2.0 82 ? 110 POP3 443 HTTPS 1875 ? 2000 ? 3128 ? 10000 Webmin Malgré tout ça d'ouvert, mes postes clients derrière ma passerelle ne peuvent pas accéder à: FTP POP3 IMAP SMTP News AIM Seuls les services suivant fonctionnent: HTTP Pour information, la passerelle arrive bien a se connecter en FTP et télécharger ses mises à jours. Idem pour les mails, via l'interface Webmail de la passerelle. Mais impossible d'autoriser une redirection vers un poste. (de plus, le nat sert surtout pour les clients Internets qui veulent un service sur mon serveur, et que je redirige sur un autre serveur. C'est çà?) Alors au final, j'ai du mal comprendre. Comment faire pour bénéficier de tout ces services manquants (FTP, news, AIM, POP3, IMAP, SMTP)? A quoi sert un port 2000 ouvert sur mon interface locale? En jetant un coup d'oeil rapide aux fichiers de config du firewall, cela ressemble à du charabia (pas ressemblant aux fichiers déjà présenté sur ce forum). Si vous voulez voir un fichier, un log, .... dites le moi. Aidez moi please. Merci d'avance. Lenode

par **antolien** » 10 Oct 2003 18:47

Oui, donnes nous le résultat de iptables -L et iptables -t nat -L En tout cas tu as raison de te poser des questions, le port 3128 c'est le proxy, mais le 2000 j'en sais rien... A première vue, je pense que tu as un proxy, et que tu ne masque pas ton réseau( masquerade). Mais faut voir les règles...

par **lenode** » 10 Oct 2003 20:40

Salut. Voici les résultats: #iptables -L Chain INPUT (policy DROP) target prot opt source destination ACCEPT all -- anywhere anywhere ACCEPT all -- anywhere anywhere drop-reserved all -- 127.0.0.0/8 anywhere drop-reserved all -- 1.0.0.0/8 anywhere drop-reserved all -- 23.0.0.0/8 anywhere drop-reserved all -- 31.0.0.0/8 anywhere drop-reserved all -- 96.0.0.0/3 anywhere drop-reserved all -- 128.0.0.0/16 anywhere drop-reserved all -- blackhole.isi.edu anywhere drop-reserved all -- 128.66.0.0/16 anywhere drop-reserved all -- 191.255.0.0/16 anywhere drop-reserved all -- 197.0.0.0/16 anywhere drop-reserved all -- 201-0-0-0.dsl.telesp.net.br/8 anywhere drop-reserved all -- 223.255.255.0/24 anywhere drop-reserved all -- 240.0.0.0/5 anywhere drop-reserved all -- 248.0.0.0/5 anywhere DROP all -- 172.16.0.0/12 anywhere DROP all -- 192.168.0.0/16 anywhere ACCEPT icmp -- anywhere 0.0.5.220 icmp echo-reply ACCEPT icmp -- anywhere 0.0.5.220 icmp destination-unreachable ACCEPT icmp -- anywhere 0.0.5.220 icmp time-exceeded ACCEPT icmp -- anywhere 0.0.5.220 icmp echo-request ACCEPT udp -- anywhere 0.0.5.220 udp spt:bootps dpt:bootpc ACCEPT tcp -- anywhere 0.0.5.220 tcp spt:bootps dpt:bootpc ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:http ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:https ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:domain ACCEPT udp -- anywhere 0.0.5.220 udp dpt:domain ACCEPT udp -- anywhere 0.0.5.220 udp dpt:http ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:pop3 ACCEPT udp -- anywhere 0.0.5.220 udp dpt:pop3 ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:smtp ACCEPT udp -- anywhere 0.0.5.220 udp dpt:imap ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:ftp-data ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:ftp ACCEPT udp -- anywhere 0.0.5.220 udp dpt:ftp ACCEPT udp -- anywhere 0.0.5.220 udp dpt:ftp-data ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:6346 ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:1214 ACCEPT tcp -- anywhere 0.0.5.220 tcp dpt:3913 ACCEPT udp -- anywhere 0.0.5.220 udp dpt:3913 ACCEPT tcp -- anywhere 0.0.5.220 tcp dpts:1024:35000 ACCEPT udp -- anywhere 0.0.5.220 udp spt:isakmp dpt:isakmp ACCEPT ipv6-crypt-- anywhere 0.0.5.220 ACCEPT ipv6-auth-- anywhere 0.0.5.220 ACCEPT udp -- anywhere 0.0.5.220 udp dpts:1024:65535 ACCEPT tcp -- anywhere 0.0.5.220 tcp dpts:1024:65535 state RELATED,ESTABLISHED DROP all -- anywhere anywhere Chain FORWARD (policy DROP) target prot opt source destination DROP tcp -- 192.168.1.0/24 anywhere tcp dpt:10000 DROP all -- 192.168.1.0/24 ibucp-vip-m.blue.aol.com DROP all -- 192.168.1.0/24 ibucp-vip-d.blue.aol.com DROP all -- 192.168.1.0/24 bucp1-vip-m.blue.aol.com DROP all -- 192.168.1.0/24 bucp2-vip-m.blue.aol.com DROP all -- 192.168.1.0/24 64.4.13.0/24 DROP all -- 192.168.1.0/24 80.15.236.39 DROP all -- 192.168.1.0/24 80.15.236.6 DROP all -- 192.168.1.0/24 80.15.236.17 DROP all -- 192.168.1.0/24 80.15.236.22 DROP all -- 192.168.1.0/24 80.15.236.23 DROP all -- 192.168.1.0/24 80.15.236.24 DROP all -- 192.168.1.0/24 80.15.236.31 DROP all -- 192.168.1.0/24 80.15.236.32 DROP all -- 192.168.1.0/24 80.15.236.38 drop-lan tcp -- anywhere anywhere tcp dpt:sunrpc drop-lan udp -- anywhere anywhere udp dpt:sunrpc drop-lan tcp -- anywhere anywhere tcp dpts:netbios-ns:netbios-ssn drop-lan udp -- anywhere anywhere udp dpts:netbios-ns:netbios-ssn drop-lan tcp -- anywhere anywhere tcp dpt:635 drop-lan udp -- anywhere anywhere udp dpt:635 ACCEPT all -- anywhere anywhere ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED LOG all -- anywhere anywhere limit: avg 3/min burst 3 LOG level debug prefix `Stray FORWARD packet: ' ACCEPT all -- anywhere anywhere Chain OUTPUT (policy DROP) target prot opt source destination ACCEPT all -- anywhere anywhere ACCEPT all -- anywhere anywhere ACCEPT icmp -- 0.0.5.220 anywhere ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:bootpc dpt:bootps ACCEPT udp -- 0.0.5.220 anywhere udp spt:bootpc dpt:bootps ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:http ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:https ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:domain ACCEPT udp -- 0.0.5.220 anywhere udp spt:domain ACCEPT udp -- 0.0.5.220 anywhere udp spt:http ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:pop3 ACCEPT udp -- 0.0.5.220 anywhere udp spt:pop3 ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:smtp ACCEPT udp -- 0.0.5.220 anywhere udp spt:imap ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:ftp-data ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:ftp ACCEPT udp -- 0.0.5.220 anywhere udp spt:ftp ACCEPT udp -- 0.0.5.220 anywhere udp spt:ftp-data ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:6346 ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:1214 ACCEPT tcp -- 0.0.5.220 anywhere tcp spt:3913 ACCEPT udp -- 0.0.5.220 anywhere udp spt:3913 ACCEPT tcp -- 0.0.5.220 anywhere tcp spts:1024:35000 ACCEPT udp -- 0.0.5.220 anywhere udp spt:isakmp dpt:isakmp ACCEPT ipv6-crypt-- 0.0.5.220 anywhere ACCEPT ipv6-auth-- 0.0.5.220 anywhere ACCEPT tcp -- 0.0.5.220 anywhere tcp spts:1024:65535 ACCEPT udp -- 0.0.5.220 anywhere udp spts:1024:65535 DROP all -- anywhere anywhere Chain accept-log (0 references) target prot opt source destination LOG all -- anywhere anywhere LOG level warning prefix `Accept with log: ' ACCEPT all -- anywhere anywhere Chain drop-lan (6 references) target prot opt source destination LOG all -- anywhere anywhere LOG level warning prefix `Drop - LAN only: ' DROP all -- anywhere anywhere Chain drop-log (0 references) target prot opt source destination LOG all -- anywhere anywhere LOG level warning prefix `Drop with log: ' DROP all -- anywhere anywhere Chain drop-reserved (14 references) target prot opt source destination LOG all -- anywhere anywhere LOG level warning prefix `Drop - reserved network: ' DROP all -- anywhere anywhere #iptables -t nat -L Chain PREROUTING (policy ACCEPT) target prot opt source destination REDIRECT tcp -- anywhere anywhere tcp dpt:http redir ports 3128 DNAT tcp -- anywhere 0.0.5.220 tcp dpt:pop3 to:192.168.1.3:110 DNAT udp -- anywhere 0.0.5.220 udp dpt:pop3 to:192.168.1.3:110 DNAT tcp -- anywhere 0.0.5.220 tcp dpt:smtp to:192.168.1.3:25 DNAT tcp -- anywhere 0.0.5.220 tcp dpt:http to:192.168.1.5:80 DNAT udp -- anywhere 0.0.5.220 udp dpt:http to:192.168.1.5:80 Chain POSTROUTING (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere SNAT tcp -- 192.168.1.0/24 camille tcp dpt:pop3 to:192.168.1.1 SNAT udp -- 192.168.1.0/24 camille udp dpt:pop3 to:192.168.1.1 SNAT tcp -- 192.168.1.0/24 camille tcp dpt:smtp to:192.168.1.1 SNAT tcp -- 192.168.1.0/24 pc_test tcp dpt:http to:192.168.1.1 SNAT udp -- 192.168.1.0/24 pc_test udp dpt:http to:192.168.1.1 MASQUERADE all -- anywhere anywhere Chain OUTPUT (policy ACCEPT) target prot opt source destination Voilà pour le contenu de iptables. Pour info, le serveur a l'adresse IP locale 192.168.1.1 et les autres postes 192.168.1.3 camille 192.168.1.4 clothilde 192.168.1.5 pc_test Ces infos sont utiles? En regardant tous cela, (je ne m'y connais pas trop) j'ai l'impression que c'est correct. Mais est-ce qu'il n'y a pas un ordre à respecter? Peut être est ce cela? Est ce que je peut utiliser les mêmes règles que tu as écrites pour IPCOP, mais sur une CC 2.0? Aidez moi s'il vous plait!!!! Merci à toi Antolien. Lenode

par **lenode** » 12 Oct 2003 18:51

Salut, Personne peut me répondre? C'est trop compliqué? Help me!!!!!! Aidez moi!!!!! J'y arriverai pas seul. J'ai lu un peu de doc sur iptable pour comprendre le post précédent mais j'ai du mal. Aidez moi please. <IMG SRC="images/smiles/icon_bawling.gif"> <IMG SRC="images/smiles/icon_help.gif"> Lenode

par **lenode** » 15 Oct 2003 17:48

Salut, Je sais pas pourquoi, mais mon cas ne vous interresse vraiment pas. C'est pas bien gràve. Je me débrouillerai tout seul. C'est dommage. C'est tout. Aurevoir. Lenode <IMG SRC="images/smiles/icon_cussing.gif">

par **tomtom** » 15 Oct 2003 18:01

Hola, faut pas faire une crise, on repond pas soit parcequ'on sait pas, soit parcequ'on a pas le temps, et aussi parcequ'il y a des sujets qu'on prefere à d'autre.. On est ici pour s'aider, chacun donne ce qu'il veut ! Non mais.... Sinon, tu dis qu'il y a des ports ouverts.. Qu'est ce que tu appelles "des ports ouverts" ? Tu as testé depuis l'exterieur ? avec quoi ? as-tu essaye le scan de ixus ? celui de grc.com ? Tu as quoi dans tes logs ? Pose des questions precises, et on te repondra.. Ce que je peux te dire, c'est qu'il y a beaucoup de bazar dans tes regles iptables.. Tu as fait de nombreuses modifs dans les règles? Comment as-tu configuré ton firewall.. etc.... Alles, fais des efforts de ton coté, pose des questions claires et non pas vagues, et tu auras des reponses ! Au boulot ! t.

par **svart** » 15 Oct 2003 18:30

Moi je veux bien essayer d'aider, mais c'est vrai que ça manque de précision... Comment as-tu installé ton IPCop ? Comment l'as-tu configuré ? Si tes ports sont ouverts c'est parce qu'un service ou un démon est lancé au démarrage... Par exemple, j'ai réalisé que sur ma MNF j'avais un port 111 ouvert... Jamais demandé ça, moi ! C'était lancé dans un fichier de conf, et pis c'est tout. Je m'y connais peu, j'ai eu du mal à le supprimer, heureusement Jacques m'a filé un coup de main. Je l'ai fait à l'arrache (en supprimant la référence dans /etc/rc.d) mais bon, c'est "fermé". Je sais que quand ça déconne la pression monte, et on souhaite de l'aide. Ca m'arrive aussi, ça se répère quand les gens se répondent à eux-même (cherche mes posts, tu en trouveras !). Si c'est pas pressé, prends le temps de poser ton problème, tu gagneras beaucoup de temps : les réponses seront précises et généralement pertinentes, c'est pas pour cafter, mais y'a pas mal de gens sympa et compétents ici. Te décourage pas !

par **grosbedos** » 15 Oct 2003 18:43

pareil que tomtom euh oui tes tests tu les as fait d'ou?? car tu le fait sur l'ip externe c'est bien mais si tu le fait depuis ton lan .... c'est certainement ouvert oui.

HTTP only et rien de plus...

Qui est en ligne ?