Comment configurer mes regles ?

par **fgilain** » 06 Jan 2004 14:05

Bonjour, J'ai a peu pres installé toutes les distributions evoquees sur ce site et j'ai finallement retenu ipcop comme distribution que je vais utiliser. Mais il me manque l'information de base : comment je fais, une fois ipcop installé et mes 3 cartes reseau configurées (Lan / Dmz / Web) pour définir mes regles de base : Exmeple : 1) autoriser du Lan vers le Web les services : www ftp smtp pop3 imap dns 2) autoriser du Lan vers la Dmz les services : ftp ssh telnet plsql 3) autoriser les pings uniquement depuis la Lan NB : en supposant que tout ce qu in'est pas explicitement autorisé est interdit... Merci d'avance pouir votre coup de pouce. Florent

par **belugha** » 06 Jan 2004 14:18

Bonjour, Je dirais que la reponse est ici: <a href="http://antolien.nerim.net/" target="_blank">http://antolien.nerim.net/</a> et sur le forum en cherchant bien <IMG SRC="images/smiles/icon_wink.gif">

par **olivier_morin** » 06 Jan 2004 14:23

Oui mais cela ne semble pas fonctionner si le cache transparent est activé.

par **nemesis** » 06 Jan 2004 14:39

hello! <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> 1) autoriser du Lan vers le Web les services : www ftp smtp pop3 imap dns </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> rien à faire à part configurer tes client de messagerie comme d'habitude en entrant les non de serveurs pop smtp etc adequats. <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> 2) autoriser du Lan vers la Dmz les services : ftp ssh telnet plsql </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> rien a faire sauf que l'acces à la dmz se fait par l'@ip et non pas par le nom d'hote à moins de : - renseigner à la main le fichier hosts sur un poste windows ou /etc/hosts sous un linux. - ou bien renseigner l'ipcop comme dns de ton lan et renseigner son fichier hosts comme il faut (barbare mais ça marche.) en règle général du lan -> dmz ou -> red tout marche sans problème. <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> 3) autoriser les pings uniquement depuis la Lan </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> il s'agit plutôt pour toi d'intedire le ping depuis le red car dans le cas de la dmz elle ne peut pinguer que le red. le lien donné par belugha contient plein d'info utiles. bon courage et bienvenue ds le monde ipcop. Nem.

par **nemesis** » 06 Jan 2004 14:39

bonjour, <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-01-06 13:23, olivier_morin a écrit: Oui mais cela ne semble pas fonctionner si le cache transparent est activé. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> c'est à dire? Nem.

par **fgilain** » 06 Jan 2004 15:21

Pardon, mais comme j'utilise actuellement un firewall Checkpoint, j'essaie de trouver un produit me permettant de travailler un peu de la meme facon pour en optimiser l'administration : - Possibilité de créer des groupes de machines - Possibilité d'autoriser ou non un groupe à utiliser tel ou tel protocol vers telle ou telle destination - Possibilité de créer des regles fines par ip/port source Apparement, le coeur du produit c'est iptables non ? donc si je veux bien configuer mon ipcop, je dois directement modifier le fichier de configuration /etc/rc.d/rc.firewall via "vi" grace a la syntaxe d'iptables.. Ou puis je trouver la documentation sur la syntaxe d'iptables SVP ? Merci d'avance de votre patience à mon égard <IMG SRC="images/smiles/icon_wink.gif">) Florent

par **Muzo** » 06 Jan 2004 15:26

sur google tapes iptables et t'auras des surprises....

par **nemesis** » 06 Jan 2004 15:27

alors oui c'est bien les règles iptables que tu dois modifier directement. Pour ce qui est de la synataxe iptable il te faudra chercher sur google tu y trouvera certainement ton bonheur. Sinon j'ai trouvé il y a un an environ un bouquin : Linux et sécurité aux édition presse universitaire dans laquelle iptable est bien expliqué. @pluche Nem.

par **fgilain** » 06 Jan 2004 15:33

oupsss...j'avais oublié le "S" a iptable du coup j'avais pas trouvé la homepage de iptables... Désolé. Merci du coup de main. Sinon, question subsidiaire, il n'y a pas moyen d'appliquer une modification de configuration d'ipcop sans son redémarrage ? Florent

par **nemesis** » 06 Jan 2004 15:36

hummm question déjà posée pas mal de fois .... il me semble qu'il y a un start et un stop pour iptable mais le plus sage est qud même le rebbot <IMG SRC="images/smiles/icon_smile.gif"> penser à la fonction rechercher accessible en bas de le liste des forums : <a href="http://www.ixus.net/modules.php?name=Forum" target="_blank">http://www.ixus.net/modules.php?name=Forum</a> bonne lecture... Nem.

par **fgilain** » 06 Jan 2004 16:13

en regardant de pres le script /etc/rc.d/rc.firewall il semble y avoir un parametre "restart". Cela suffit il pour prendre en compte des modifications...je vais tester. Par contre, il ne semble pas y avoir de serveur FTP installé (accessible uniquement depuis le Lan), du coup je ne peux pas accéder depuis le Lan, via mon editeur de texte au fichier de configuation via FTP, ce qui serait quand même plus pratique pour moi... Me trompe-je ou y a t'il un truc pour s'y connecter en FTP ? Florent

par **Pit_Bull** » 06 Jan 2004 17:12

Surtout pas de ftp. Dans tous les cas, tu actives ssh. Ensuite pour modifier un fichier, tu te connectes avec putty sur @ipcop:222. Et pour transférer un fichier, tu utilises winscp.

par **fgilain** » 06 Jan 2004 17:21

Heu j'ai pas trouvé l'endroit ou activer ssh.. Sinon, pour le ftp, si je ne l'autorise que depuis le Lan depuis une ip précise, quel est le probleme ? je ne connais pas winscp, je vais chercher ca Florent

par **olivier_morin** » 06 Jan 2004 17:21

Eh bien si je tape /sbin/iptables -I FORWARD -p tcp --dport 80 -j DROP je ne vais plus sur le net si le cache est désactivé. si j'active le cache, j'y vais sans problème...

par **tomtom** » 06 Jan 2004 17:38

Ben oui.. Quen tu surfes avec un proxy, ca se passe n deux temps : 1- interrogation du proxy (donc chaine INPUT pour ipcop) 2- proxy interroge le vrai site (donc chaine OUTPUT). Si tu veux bloquer des ip pour aller sur internet, il faut jouer avec la config de squid ! Par contre, squid ne fonctionne que pour le http/https. Pour le reste, les acces seront bloques. t.

Comment configurer mes regles ?

Qui est en ligne ?