Pb iptables : serveurs inaccessibles

par **al9041** » 10 Nov 2003 16:26

Bonjour à tous, Après la lecture et l'application tant bien que mal de moult tutoriaux au sujet de Netfilter, mes serveurs (HTTP, SSH) restent pour l'instant inaccessibles de l'internet (interface eth1). Ils le sont par contre sans problème dans mon réseau local (interface eth0). En outre, mes serveurs sont installés sur ma passerelle et l'ensemble sous une Debian 3.0r1 (j'envisage l'achat d'un routeur d'ici peu...). Bref, voilà : c'est la raison pour laquelle je fais appel à votre expérience... D'avance merci ! iptables-save me retourne : ... *filter :INPUT DROP [0:0] :FORWARD DROP [0:0] <IMG SRC="images/smiles/icon_eek.gif">UTPUT DROP [0:0] -A INPUT -i lo -j ACCEPT -A INPUT -i eth0 -j ACCEPT -A INPUT -j LOG -A INPUT -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A INPUT -i eth1 -p tcp -m tcp --dport 80 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A INPUT -i eth1 -p tcp -m tcp --dport 8245 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A FORWARD -i eth0 -o eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A FORWARD -i eth1 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT -A OUTPUT -o lo -j ACCEPT -A OUTPUT -o eth0 -j ACCEPT -A OUTPUT -o eth1 -p tcp -m tcp --sport 22 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A OUTPUT -o eth1 -p tcp -m tcp --sport 80 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A OUTPUT -o eth1 -p tcp -m tcp --sport 8245 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT ... J'ai "tenté" d'ouvrir le port 8245 pour NO-IP (redirection d'URL sur une IP dynamique), tenté car je ne suis plus sûr de rien... Encore merci ! Al

par **kagou** » 10 Nov 2003 16:37

Commentaires vite fait: "INPUT -i eth1 -p tcp -m tcp --dport 22 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT " le "-m tcp" est pas de trop ? Autant ne pas te servir de state si c'est pour tout ouvrir <IMG SRC="images/smiles/icon_wink.gif"> "INPUT -i eth1 -p tcp --dport 22 -j ACCEPT " Bon courage <IMG SRC="images/smiles/icon_biggrin.gif">

par **kagou** » 10 Nov 2003 16:39

J'oubliais, d'après /etc/services il faut ouvrir tcp ET udp pour ssh <IMG SRC="images/smiles/icon_wink.gif"> ++

par **tomtom** » 10 Nov 2003 16:40

Envoie le resultat d'un iptables -L -v - le -m tcp, je connais pas, c'est la première fois que je le vois.. AU mieux ca sert à rine, au pire c'est çà qui bloque... - fais voir aussi un iptables -t nat -L -v pour voir... t.

par **al9041** » 10 Nov 2003 16:41

J'ai déjà tenté le : iptables -A INPUT -i eth1 -p tcp --dport ssh -j ACCEPT et le serveur reste inaccessible c'est pourquoi j'ai ajouté l'utilisation du module -m state... En vain, en vain... Ca doit être mon 4ème script.......

par **al9041** » 10 Nov 2003 16:43

Pour le nat : *nat <IMG SRC="images/smiles/icon_razz.gif">REROUTING ACCEPT [0:0] <IMG SRC="images/smiles/icon_razz.gif">OSTROUTING ACCEPT [0:0] <IMG SRC="images/smiles/icon_eek.gif">UTPUT ACCEPT [0:0] -A POSTROUTING -o eth1 -j MASQUERADE Merci !

par **tomtom** » 10 Nov 2003 16:48

j'ai pas tout compris.. 1- desactive les smileys... 2- pourquoio tu donnes pas les reponses demandées ? t.

par **al9041** » 10 Nov 2003 16:55

En fait, je ne suis pas actuellement sur ma machine, j'ai seulement le fichier que j'ai obtenu en effectuant : iptables-save > mon_fichier Je vous envoie donc des bribes de ce fichier pour vous montrer ma config d'iptables. En fait, le dernier tutorial que j'ai utilisé est celui de chritian caleca : <a href="http://christian.caleca.free.fr/netfilter/iptables.htm" target="_blank">http://christian.caleca.free.fr/netfilter/iptables.htm</a> Et cela m'a donné le script suivant : iptables -F iptables -X iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP iptables -t nat -F iptables -t nat -X iptables -t nat -P PREROUTING ACCEPT iptables -t nat -P POSTROUTING ACCEPT iptables -t nat -P OUTPUT ACCEPT iptables -t mangle -F iptables -t mangle -X iptables -t mangle -P PREROUTING ACCEPT iptables -t mangle -P INPUT ACCEPT iptables -t mangle -P FORWARD ACCEPT iptables -t mangle -P POSTROUTING ACCEPT iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # réseau local iptables -A INPUT -i eth0 -j ACCEPT iptables -A OUTPUT -o eth0 -j ACCEPT # NAT iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE iptables -A FORWARD -i eth0 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i eth1 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT # Accès SSH depuis le Net iptables -A INPUT -p tcp --dport ssh -i eth1 -j ACCEPT iptables -A OUTPUT -p tcp --sport ssh -o eth1 -j ACCEPT # De même pour le serveur Apache iptables -A INPUT -p tcp --dport http -i eth1 -j ACCEPT iptables -A OUTPUT -p tcp --sport http -o eth1 -j ACCEPT Et bien sûr, cela ne marche pas... C'est pkoi j'ai essayé de "tout ouvrir" en utilisant -m state pour ssh et http : sans succès ! J'enrage............ Merci pour tout conseil ! Al

par **tomtom** » 10 Nov 2003 17:14

Tu es connecté comment ? cable ? Car si c'ets un adsl, ton interface internet ser probablement ppp0 deja... C'est un point à verifier... Ensuite, je te conseille de tout ouvrir en sortie pour commencer... Enfin, il vaut mieux etre devant sa machine quand on fait la config pour pouvoir faire des tests.. Ce n'est pas pratique sinon ! t.

par **targa** » 10 Nov 2003 17:24

Bonjour, si je ne me trompe ton forward est à l'envers. Tu t'es trompé dans les interfaces d'entrée et de sortie. -A FORWARD -i eth1 -o eth0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT Qu'en pensez vous ??

par **tomtom** » 10 Nov 2003 17:37

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-11-10 16:24, targa a écrit: Bonjour, si je ne me trompe ton forward est à l'envers. Tu t'es trompé dans les interfaces d'entrée et de sortie. -A FORWARD -i eth1 -o eth0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT Qu'en pensez vous ?? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Non, c'est correct, il autorise les machines du green (connectées à eth0), à sortir sur internet (-o eth1), à initier des connexions (NEW), et à en continuer (ESTABLISHED, RELATED). Dans l'autre sens, il autorise les paquets à rentrer que s'ils appartiennet à une session etablie (ESTABLISHED, RELATED). Ca me parrait correct. De plus, s'il s'etait trompé, il ne pourrait plus surfer, et ceci n'aurait rine à voir avec des serveurs hebergés sur la machine firewall elle-même. t.

par **targa** » 10 Nov 2003 17:44

Ok de l'intérieur mais il n'y a pas de forward pour les connections venant d'internet, il faut rajouter le forward que je propose en plus de l'autre.

par **kagou** » 10 Nov 2003 17:51

Lorsque ce bout de script fonctionnera, ce sera bien. L'auto-satisfaction d'avoir appris quelquechose, et d'avoir réussi à partager une connexion est vraiment quelquechose de géant. Mais ce ne sera toujours pas un "firewall" digne de ce nom. Et avant de reinventer pour le 10 000 000 000 fois la roue, installer un vrai script de firewall et certainement la deuxième phase à réaliser <IMG SRC="images/smiles/icon_wink.gif">

par **tomtom** » 10 Nov 2003 17:52

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-11-10 16:44, targa a écrit: Ok de l'intérieur mais il n'y a pas de forward pour les connections venant d'internet, il faut rajouter le forward que je propose en plus de l'autre. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Moi y'en a pas comprendre ???? Il n'y a pas à avoir de forward depuis internet vers le green s'il n'y a pas de serveur dans le green.... Le transfret des paquets ESTABLISHED et RELATED suffit amplement ! t.

par **targa** » 10 Nov 2003 21:27

Désolé, je me suis trompé j'avais pas tout lu. Oublie ce que j'ai dit.

Pb iptables : serveurs inaccessibles

Qui est en ligne ?