en ce qui concerne Oracle....

Forum traitant de la distribution sécurisée montante nommée IP cop et basée sur la distribution Smoothwall. C'est à l'heure actuelle le forum le plus actif du site.

Modérateur: modos Ixus

Messagepar fullbert » 21 Oct 2003 17:23

n'ayant pas encore basculé vers un linux/apache/postgres (petit a petit quoi...<IMG SRC="images/smiles/icon_smile.gif">)..., j'ai installe IpCop 1.4.01a avec trois interface: RED, Orange et Green, mon IIS va atterir bien sur dans la zone Orange, mais bien entendu vous en conviendrez avec moi il serait raisonnable que mon serveur Oracle 8i reste tranquillement planqué en zone Green....j'ai des chti pb a essayer de connecté mon IIS avec mon serveur Oracle...Qq'un a t il déjà pratiqué ce sport extrème ? <IMG SRC="images/smiles/icon_smile.gif">.... <BR>toute aide sera convenablement accepté et plus si affinités... <BR> <BR><IMG SRC="images/smiles/icon_confused.gif">
Avatar de l’utilisateur
fullbert
Matelot
Matelot
 
Messages: 7
Inscrit le: 21 Oct 2003 00:00
Localisation: marseille

Messagepar hb » 21 Oct 2003 18:39

j'ai jamais fait ça, mais pour trouver, avec les moyens du bord, j'essaierai d'utiliser un scanner de port pour chercher les ports utilisés sur ton serveur Oracle. <BR> <BR>mais je pense qu'il faut aussi aborder le sujet de l'autentification. <BR>avec une version recente on peut utiliser les mdp oracle mais aussi les mdp du domaine NT (ou AD), de meme pour IIS. tu risques donc d'avoir besoin des ports classique au bon fonctionnement de windows....
Avatar de l’utilisateur
hb
Amiral
Amiral
 
Messages: 1513
Inscrit le: 06 Juin 2002 00:00
Localisation: Nord Isere, 50kms Lyon

Messagepar tomtom » 21 Oct 2003 18:48

le port d'ecoute du listener oracle est 1521 si tu ne l'as pas changé. <BR> <BR>Si tu ne veux pas mettre ta base oracle en DMZ, il faut que tu utilises les DMZ Pinholes (ca doit etre "acces à la DMZ" je pense sous IPCOp), pour autoriser la DMZ à etablir une connexion avec le green sur le port 1521. Ca doit suffire à mon avis. <BR> <BR> <BR>T.
One hundred thousand lemmings can't be wrong...
Avatar de l’utilisateur
tomtom
Amiral
Amiral
 
Messages: 6035
Inscrit le: 26 Avr 2002 00:00
Localisation: Paris

Messagepar fullbert » 22 Oct 2003 10:21

au préalable un grand merci à vous pour la diligence de vos réponses ... <BR>à l'attention de hb: <BR>je connais le port du canal de comm. tcp/ip utilisé par Oracle 8i , c'est c'ui par défaut le 1521, quant aux ports windows devants être eux aussi ouverts pourrais tu m'en donner une liste si possible exhaustive...mon serveur Oracle est hébergé sur une machine W2K serveur...merci d'avance... <BR>à l'attention de tomtom: <BR>effectivement le port utilsé est bien le 1521 et j'ai mis en place un pinhole sur la DMZ "visant" ce port...mais nenni ca ne suffit...tu m'as orienté vers la possiblité d'herberger le serveur Oracle sur la machine en DMZ mias la je vais avoir un autre soucis car j'ai un applicatif qui se trouve en Zone Green et j'ai peur qu'il ne soit encore plus compliqué d'atteindre le serveur Orcale en DMZ.... <BR> <BR>Vos conseils me sont utiles, alors n'hésitez pas <IMG SRC="images/smiles/icon_wink.gif"> <BR> <BR> <BR>"Noël au balcon, Paco Rabanne" (P. Desproges)
Avatar de l’utilisateur
fullbert
Matelot
Matelot
 
Messages: 7
Inscrit le: 21 Oct 2003 00:00
Localisation: marseille

Messagepar bobox » 22 Oct 2003 10:34

salut <BR> <BR>Je pense qu'il est nécessaire dans un premier temps de faire une autre manipulation qui consiste a mettre ton IIS en GREEN et valider la connexion a Oracle <BR> <BR>Connecter IIS a ORACLE c'est un sport extreme que je n ai pas patriquer. <BR> <BR>Sur microsoft j ai déja trouve ceci <BR> <BR><!-- BBCode auto-link start --><a href="http://support.microsoft.com/default.aspx?scid=kb;fr;468456&Product=iisIN3" target="_blank">http://support.microsoft.com/default.aspx?scid=kb;fr;468456&Product=iisIN3</a><!-- BBCode auto-link end --> <BR> <BR> <BR><!-- BBCode auto-link start --><a href="http://support.microsoft.com/default.aspx?scid=kb;fr;193225&Product=iisIN3" target="_blank">http://support.microsoft.com/default.aspx?scid=kb;fr;193225&Product=iisIN3</a><!-- BBCode auto-link end --> <BR> <BR>
Avatar de l’utilisateur
bobox
Lieutenant de vaisseau
Lieutenant de vaisseau
 
Messages: 239
Inscrit le: 29 Sep 2003 00:00
Localisation: Seine et Marne

Messagepar belugha » 22 Oct 2003 10:34

Juste au passage, as-tu installé un client Oracle sur ton serveur IIS ? <IMG SRC="images/smiles/icon_confused.gif">
L'humanité est à un croisement: un chemin mène au désespoir, l'autre à l'extinction totale. Espérons que nous aurons la sagesse de savoir choisir.
[Woody Allen]
Avatar de l’utilisateur
belugha
Amiral
Amiral
 
Messages: 1595
Inscrit le: 26 Mars 2003 01:00
Localisation: Du Nord -

Messagepar nemesis » 22 Oct 2003 10:37

ton serveur oracle est sur le lan et tu as fais un ppinhole de DMZ-> ipserveur oracle port 1521 c bien ça? <BR> <BR>normalement ça devrait fonctioner moi j'ai fait un truc similaire pour un serveur samba et ça fonctionne par contre il me semble que l'ont doit utiliser l'adresse ip et nom pas le nom du serveur pour l'attaquer... <BR> <BR>à voir .. <BR>@+ <BR>
ce n'est pas parce qu'il n'y a pas de preuve qu'une chose existe qu'elle ne peut pas exister
Avatar de l’utilisateur
nemesis
Amiral
Amiral
 
Messages: 1954
Inscrit le: 01 Jan 2003 01:00
Localisation: 75

Messagepar fullbert » 22 Oct 2003 10:48

pour ce qui est de la connectivité Oracle serveur Oracle client pas de soucis qd je bypass la babasse IPCop et que je mets ma machine IIS sur le meme subnet que le la machine hébergeant Oracle serveur 8i j'arrive sans soucis a me connecter a ma BdD....je vais aller jeter un oeil voire les deux sur les URL si promptement délivrée ( merci à bobox)... <BR>j'ai pu remarquer néanmoins qd je suis allé fouiller dans les services actifs de IPCop en me servant de l'interface ouèbe: Onglet "Firewall" choix "Firewall services" qu'il existe des services apparament utiles a la connectivité pour un certain nombre de SGBDR du genre Mysql, postgres et j'en passe , qq'un serait me parler de leur utilité? <BR> <BR> <BR>"si c'est en forgeant qu'on devient forgeron, est ce dans la fanfanre qu'on devient fanfaron?..." <BR> <BR>
Avatar de l’utilisateur
fullbert
Matelot
Matelot
 
Messages: 7
Inscrit le: 21 Oct 2003 00:00
Localisation: marseille

Messagepar fullbert » 22 Oct 2003 11:00

oui mais non merci qd meme bobox mais j'arrive sans pb a relier IIS a Oracle en utilisant les drivers ODBC cé tranquille ca comme manip...mon soucis la cé le bouchon que m'occasionne IPCop 1.4.01a... <BR> <BR>"à trop manger sa mère on devient orphelin" (P.Desproges)
Avatar de l’utilisateur
fullbert
Matelot
Matelot
 
Messages: 7
Inscrit le: 21 Oct 2003 00:00
Localisation: marseille

Messagepar bobox » 22 Oct 2003 11:24

tiens voila ce que j ai trouvé <BR> <BR>Net8 et les Firewalls : <BR> <BR>Cette note technique vous concerne si vous essayez de faire fonctionner une application client-serveur Net8 (ex. SQL*Net) avec un Firewall entre le poste client et le serveur Oracle. Elle complète les chapitres 12 d'Oracle8i sous Linux et 5 d'Oracle8 pour Windows NT. <BR> <BR>Description du problème : <BR> <BR>Lorsqu'un client Net8 ou SQL*Net essaye de se connecter à un serveur Oracle, il entre en communication avec un Listener Oracle chargé d'accueillir des connexions. Le fichier de paramétrage tnsnames.ora du poste client précise le port IP de communication sur lequel le Listener doit être en écoute. Le poste client sait exactement comment contacter le Listener. Il est alors facile d'ouvrir un passage dans le paramétrage du Firewall pour laisser passer ce port, mais cela ne fonctionne pas. <BR> <BR>Lors de la connexion du poste client, le listener démarre un processus sur le serveur puis retourne au client Oracle un nouveau port IP "privé" qui servira pour la communication entre le client et son processus dédié. Ce numéro de port est pris de manière aléatoire dans une plage réservée. Il faudrait ouvrir une énorme brèche dans votre Firewall pour laisser passer l'ensemble de ces ports. C'est la raison pour laquelle vous devez avoir un Firewall certifié SQL*Net/Net8, seul capable d'ouvrir et de fermer dynamiquement un port IP. <BR> <BR>Contournement conseillé : <BR> <BR>Pour éviter l'achat d'un Firewall spécifique, utilisez Oracle Connection Manager placé sur un serveur à l'extérieur de la zone protégée par le Firewall. L'autre possibilité est de ne plus utiliser le logiciel client Oracle. Vous pouvez par exemple utiliser un pilote Thin JDBC. Cela n'est possible que pour les applications écrites en Java. <BR> <BR>Précision supplémentaire de Grégory DESLEE : <BR> <BR>Pour contourner la problème, il existe un autre moyen, qui consiste à forcer l'utilisation du port du listener pour les échanges entre le process serveur et le poste client. Le port IP "privé" devient alors public, c'est celui du listener. <BR>Pour cela, il suffit de positionner la variable d'environnement USER_SHARED_SOCKET à TRUE (registry sur NT, variable d'env sur Unix), et de relancer la base de données et le listener (ainsi que le service de la base de données sous NT). <BR> <BR> <BR> <BR> <BR>
Avatar de l’utilisateur
bobox
Lieutenant de vaisseau
Lieutenant de vaisseau
 
Messages: 239
Inscrit le: 29 Sep 2003 00:00
Localisation: Seine et Marne

Messagepar bobox » 22 Oct 2003 11:30

<!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> <BR>Le 2003-10-22 10:21, fullbert a écrit: <BR>au préalable un grand merci à vous pour la diligence de vos réponses ... <BR>à l'attention de hb: <BR>je connais le port du canal de comm. tcp/ip utilisé par Oracle 8i , c'est c'ui par défaut le 1521, quant aux ports windows devants être eux aussi ouverts pourrais tu m'en donner une liste si possible exhaustive...mon serveur Oracle est hébergé sur une machine W2K serveur...merci d'avance... <BR>à l'attention de tomtom: <BR>effectivement le port utilsé est bien le 1521 et j'ai mis en place un pinhole sur la DMZ "visant" ce port...mais nenni ca ne suffit...tu m'as orienté vers la possiblité d'herberger le serveur Oracle sur la machine en DMZ mias la je vais avoir un autre soucis car j'ai un applicatif qui se trouve en Zone Green et j'ai peur qu'il ne soit encore plus compliqué d'atteindre le serveur Orcale en DMZ.... <BR> <BR>Vos conseils me sont utiles, alors n'hésitez pas <IMG SRC="images/smiles/icon_wink.gif"> <BR> <BR> <BR>"Noël au balcon, Paco Rabanne" (P. Desproges) <BR></BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End --> <BR> <BR>quelque port retrouvé pour oracle <BR> <BR>66/tcp Oracle SQL*NET <BR>1525/tcp oracle-orasrv <BR>1525/udp oracle-orasrv <BR>1527/tcp oracle-tlisrv <BR>1527/udp oracle-tlisrv <BR>1529/tcp oracle-coauthor <BR>1529/udp oracle-coauthor <BR>2005/udp oracle <BR> <BR>a valider <BR> <BR>
Avatar de l’utilisateur
bobox
Lieutenant de vaisseau
Lieutenant de vaisseau
 
Messages: 239
Inscrit le: 29 Sep 2003 00:00
Localisation: Seine et Marne

Messagepar nemesis » 22 Oct 2003 11:35

ton avt dernier port est super interresant pour la résolution du problème ici (là ou je bosse ) la solution de la varibale d'env est utilisée... <BR> <BR>on utilise aussi des composants jdbc pour certainnes appli. <BR> <BR>Par contre le truc qui me surprends c'est que normalement ipcop 1.4 est basé sur iptable et est donc sencé être statefull c.a.d qu'il est capable d'ouvrir dynamiquement un port en réponse à une requête ... <BR> <BR>mais bon peut être que la dmz a des règles plus stictes pour ce genre de choses.
ce n'est pas parce qu'il n'y a pas de preuve qu'une chose existe qu'elle ne peut pas exister
Avatar de l’utilisateur
nemesis
Amiral
Amiral
 
Messages: 1954
Inscrit le: 01 Jan 2003 01:00
Localisation: 75

Messagepar bobox » 22 Oct 2003 11:40

Statefull oui mais à partir du moment ou l'initialisation viens du réseau lan <BR>et non du wan ou d une DMZ . Sinon bonjour la sécurité . A moins que je n ai rien <BR>compris a IPCOP et a IPTABLE . Hors dans son cas , le serveur ORACLE est sur le <BR>LAN , IIS est sur LA DMZ et d après ce que j ai encore compris c est un client venant du WAN qui va faire une requette sur la DMZ donc IIS et qui lui interrogera le serveur ORACLE . <BR> <BR> <BR> <BR> <BR> <BR>
Avatar de l’utilisateur
bobox
Lieutenant de vaisseau
Lieutenant de vaisseau
 
Messages: 239
Inscrit le: 29 Sep 2003 00:00
Localisation: Seine et Marne

Messagepar xsno » 22 Oct 2003 11:41

il faut demander au firewall de pouvoir ouvrir des ports aléatoire aprés une demande sur le listener des ports alértoires .. je ne sais pas si sur IPcop cela peut configuré.
Avatar de l’utilisateur
xsno
Matelot
Matelot
 
Messages: 1
Inscrit le: 14 Oct 2003 00:00

Messagepar fullbert » 22 Oct 2003 11:58

<!-- BBCode Quote Start --><TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD><font size=-2>En réponse à:</font><HR></TD></TR><TR><TD><FONT SIZE=-2><BLOCKQUOTE> en question à <IMG SRC="images/smiles/icon_wink.gif"> : Pour contourner la problème, il existe un autre moyen, qui consiste à forcer l'utilisation du port du listener pour les échanges entre le process serveur et le poste client. Le port IP "privé" devient alors public, c'est celui du listener. <BR>Pour cela, il suffit de positionner la variable d'environnement USER_SHARED_SOCKET à TRUE (registry sur NT, variable d'env sur Unix), et de relancer la base de données et le listener (ainsi que le service de la base de données sous NT). </BLOCKQUOTE></FONT></TD></TR><TR><TD><HR></TD></TR></TABLE><!-- BBCode Quote End -->... <BR>dans la base de registre de mon serveur W2k je ne trouve pas de clé ou autre entité nommée USER_SHARED_SOCKET...ouiiiiiiiiinnnnnnnnnnn me semblait trankil ca comme bidouille.... <BR>ban je vais créer autant de pinholes que la liste de ports que tu m'as passer bobox et je teste, grand merci... <BR> <BR>"Comme on dit en Côte d'Ivoire, qui avale une noix de coco fait confiance a son anus..."
Avatar de l’utilisateur
fullbert
Matelot
Matelot
 
Messages: 7
Inscrit le: 21 Oct 2003 00:00
Localisation: marseille

Suivant

Retour vers IPCop

Qui est en ligne ?

Utilisateur(s) parcourant actuellement ce forum : Aucun utilisateur inscrit et 1 invité

cron