--new-chain mais comment ca marche?

par **Muzo** » 14 Jan 2004 16:15

Bonjour, Voilà, j'étudie le script iptables de SME. Celui-ci est tout bizarre et semble être une évolution à base de ipchains. Seul hic il me semble un peu bordellique. Mais n'y connaissant rien je cherche la doc. Hors mes connaissances réseau avoisinant le zéro absolu, je lis les docs et manpage de Iptables. Si j'ai bien compris on crée une chaine (--new-chain), à laquelle on ajoute des règles. Si c'est ca, j'ai pigé. Mais quel en est l'intérêt? En fait ce que je veux faire c'est me rapprocher du script à M'sieur Arapaho qui lui je le comprends mieux (le script, pas arapaho). Sinon est ce que quelqu'un à une doc avec des exemple sur le sujet, mais en french. Parce que les docs en anglais, j'y piges pas le vocabulaire technique. <IMG SRC="images/smiles/icon_cry.gif"> Oui j'ai lu celle de LéaLinux, mais elle n'est pas assez complète pour moi. A vot' bon coeur <IMG SRC="images/smiles/icon_help.gif">

par **MasterSleepy** » 14 Jan 2004 20:44

Salut Muzo, A l'époque j'avais récupéré <A HREF="http://vanhees.homeip.net/modules.php?op=modload&name=Downloads&file=index&req=viewdownloaddetails&lid=142&ttitle=iptable.zip" TARGET="_blank">ce document</A>, mais je ne sais plus ou je l'avais trouver. Si ça peut t'aider. A+

par **Muzo** » 14 Jan 2004 22:27

Yeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeees Merci beaucoup <IMG SRC="images/smiles/icon_bise.gif"> Ca va m'aider <IMG SRC="images/smiles/icon_wink.gif">

par **tomtom** » 14 Jan 2004 23:14

Ca m'a tout l'air d'etre tiré du site de C. Caleca : <a href="http://christian.caleca.free.fr/netfilter" target="_blank">http://christian.caleca.free.fr/netfilter</a> Ce site a été cité de nombreuses fois sur ixus, et pour cause il est vraiùent genial, et sa doc sur netfilter est un bijou de simplicité ! Voilou ! Sinon, je crois que tu as bien saisi l'idée : chaque paquet, avant que le firewall ne decide de l'envoyer sur le reseau ou à un de ses processus, passe dans la moulinette des tables. Il y a des tables pour chaque operation : filter sert ... pour filtrer nat sert .. pour modifier les adresses sources ou destination mangle sert à bricoler les paquets, à les marquer etc.. tu ne devrais aps en avoir besoin au debut. chaque table contient des chaunes. prenons l'exmple de la table filter : il y a 3 chaines : INPUT, OUPUT et FORWARD chaque table est utilisée poiur un type de paquets différents : INPUT pour les paquets entrant et destinés aux processus locaux, OUTPUT c'est l'inverse, et FORWARD sont les paquets destinés à etre routes vers une autre machine. Dans chaque chaine, on met des règles. Un paquet traverse une chaine en se comparant au patern specifié dans la règle. Si ca colle, on effectue l'action choisie, et c'est fini (d'ou l'interet de mettre les regles dans un bon ordre : la premiere qui marche etant la bonne !) Voila, en prenant les super dessins d'architecture presents sur le site de Mr Caleca, on comprend assez simplement ou poser ses règles pour un traitement optimal. Le reste est une fafire d'experiennce et de tatonnements. Bon courage pour ton etude !! Thomas

par **Muzo** » 15 Jan 2004 09:51

Arf!! Le site à M'sieur Caleca! Je le connais, mais pourquoi n'y ai-je pas pensé plus tôt!! Merci. je sens que je vais en avor besoin du courage. <IMG SRC="images/smiles/icon_wink.gif"> Je risque de revenir poser des questions <IMG SRC="images/smiles/icon_razz.gif"> Surtout quand je vois des trucs comme ca dans le script de firewall de SME: # Set up chains which allow us to capture local networks /sbin/iptables --new-chain InputAllowLocals /sbin/iptables --new-chain InputAllowLocals_1 /sbin/iptables --append InputAllowLocals --jump InputAllowLocals_1 /sbin/iptables --append INPUT --jump InputAllowLocals /sbin/iptables --new-chain ForwardAllowLocals /sbin/iptables --new-chain ForwardAllowLocals_1 /sbin/iptables --append ForwardAllowLocals --jump ForwardAllowLocals_1 /sbin/iptables --append FORWARD --jump ForwardAllowLocals Je comprends pasce qu'il fait .... <IMG SRC="images/smiles/icon_confused.gif">

par **loubard** » 15 Jan 2004 09:56

Bon moi je vais trop t'aider vu que..... je travail pas sur sme et que bon voilà .... mais comme tu dit que tes connaissances sur le reseaux avoisine le zero voici une doc en fr sur TCP (il s'agit du RFC 793) <a href="http://abcdrfc.free.fr/rfc-vf/rfc793.html" target="_blank">http://abcdrfc.free.fr/rfc-vf/rfc793.html</a> voilà et bon apprentissage

par **Muzo** » 15 Jan 2004 09:58

Cool Merci! C'est toujours utile ces choses là!

par **ldidier** » 15 Jan 2004 09:59

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-01-15 08:51, Muzo a écrit: Arf!! Le site à M'sieur Caleca! Je le connais, mais pourquoi n'y ai-je pas pensé plus tôt!! Merci. je sens que je vais en avor besoin du courage. <IMG SRC="images/smiles/icon_wink.gif"> Je risque de revenir poser des questions <IMG SRC="images/smiles/icon_razz.gif"> Surtout quand je vois des trucs comme ca dans le script de firewall de SME: # Set up chains which allow us to capture local networks /sbin/iptables --new-chain InputAllowLocals /sbin/iptables --new-chain InputAllowLocals_1 /sbin/iptables --append InputAllowLocals --jump InputAllowLocals_1 /sbin/iptables --append INPUT --jump InputAllowLocals /sbin/iptables --new-chain ForwardAllowLocals /sbin/iptables --new-chain ForwardAllowLocals_1 /sbin/iptables --append ForwardAllowLocals --jump ForwardAllowLocals_1 /sbin/iptables --append FORWARD --jump ForwardAllowLocals Je comprends pasce qu'il fait .... <IMG SRC="images/smiles/icon_confused.gif"> </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Il se trouve ou exactement ce script sur la sme ? <IMG SRC="images/smiles/icon_smile.gif">

par **Muzo** » 15 Jan 2004 10:06

Si tu utilises la contrib du portforwarding (e-smith-portforwarding-0.1.0-20.noarch.rpm), tu as du installer la contrib suivante : e-smith-packetfilter-1.13.0-04.noarch.rpm qui t'ajoute des templates pour créer le fichier masq qui se trouve dans /etc/init.d/rc.d (de mémoire) Si tu vas dans les templates, tu regardes le template 40AllowLocal. Mais y'en as plusieurs de ces trucs bizzaroides.

par **Muzo** » 15 Jan 2004 10:36

Donc si j'ai bien compris, lorsque j'ai le code suivant (template 35TransProxy): /sbin/iptables --table nat --new-chain TransProxy /sbin/iptables --table nat --append PREROUTING -p tcp --dport 80 -j TransProxy /sbin/iptables --table nat --append TransProxy --destination 127.0.0.1 --jump ACCEPT /sbin/iptables --table nat --append TransProxy --destination 192.168.0.1 --jump ACCEPT /sbin/iptables --table nat --append TransProxy --destination $OUTERNET --jump ACCEPT /sbin/iptables --table nat --append TransProxy -p TCP -j DNAT --to 192.168.0.1:3128 je peux le remplacer par : /sbin/iptables -t nat -A PREROUTING -p tcp --dport 80 -d 127.0.0.1 -j ACCEPT /sbin/iptables -t nat -A PREROUTING -p tcp --dport 80 -d 192.168.0.1 -j ACCEPT /sbin/iptables -t nat -A PREROUTING -p tcp --dport 80 -d $OUTERNET -j ACCEPT /sbin/iptables -t nat -A PREROUTING -p tcp --dport 80 -p TCP -j DNAT --to 192.168.0.1:3128 (P.S.:$OUTERNET = adress ip externe) Du coup comme on a une chaine du moins, je suppose que lors du traitment d'un paquet, cela va aller plus vite.

par **tomtom** » 15 Jan 2004 10:45

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> # Set up chains which allow us to capture local networks /sbin/iptables --new-chain InputAllowLocals /sbin/iptables --new-chain InputAllowLocals_1 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Creation dans la table filter (table par defaut si on specifie rien) d'une chaine InputAllowLocals et InputAllowLocals_1 <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> /sbin/iptables --append InputAllowLocals --jump InputAllowLocals_1 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Au debut de InputAllowLocals, on saute dans InputAllowLocals_1. La particularité de la cible JUMP, c'est que si on ne trouve rien dans la table, on revien dans la table de depart au lieu d'appliquer une Policy par defaut... <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> /sbin/iptables --append INPUT --jump InputAllowLocals </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Bon, dans la chaine INPUT (donc les paquets arrivant sur le firewall avec en destination l'adresse du firewall), on saute vers InputAllowLocals <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> /sbin/iptables --new-chain ForwardAllowLocals /sbin/iptables --new-chain ForwardAllowLocals_1 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Creation de 2 autres chaines, je sais pas pourquoi je sens qu'elles vont servir pour le forward ? <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> /sbin/iptables --append ForwardAllowLocals --jump ForwardAllowLocals_1 /sbin/iptables --append FORWARD --jump ForwardAllowLocals </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Qu'est ce que je disais <IMG SRC="images/smiles/icon_biggrin.gif"> En fait, le fait de separer en plusieurs chianes ainsi permet d'ajouter des règles pile ou on veut ! Avec ça, voici ce qu'il va se passer : Un paquet arrivant sur le firewall avec adresse de destination le firewall lui-m^me va etre envoyé dans la table InputAllowLocals , et de là la premiere chose qu'in fait c'est de le renvoyer dans InputAllowLocals_1. Idem, si l'adresse de destination n'est pas celle du firewall (donc c'est un paquet à forwarder), on l'envoie dans la chaine ForwardAllowLocals et de là en premier dans la chaine ForwardAllowLocals_1 C'est ensuite dans ces chaines que l'on va specifier des règles sur els pquets... Evidemment, on aurait tout aussi bien pu mettre les règles directement dans les chaines INPUT et FORWARD, mais alors il est plus difficile de rajouter des règles pile ou ou veut. Et puis les scripts sont plus lisibles ainsi, de même que les resultats de iptables -L -v !!! t.

par **Muzo** » 15 Jan 2004 10:53

AaNaahaaaa!! Donc le script n'est pas si naze qu'il en a l'air. Merci tomtom <IMG SRC="images/smiles/icon_bise.gif">

par **tomtom** » 15 Jan 2004 11:00

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> /sbin/iptables -t nat -A PREROUTING -p tcp --dport 80 -p TCP -j DNAT --to 192.168.0.1:3128 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ce n'est pas la peine de dupliquer le -p tcp <IMG SRC="images/smiles/icon_wink.gif"> <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Du coup comme on a une chaine du moins, je suppose que lors du traitment d'un paquet, cela va aller plus vite. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ce n'est pas la fait de sauter dans une chaine qui prend du temps, c'est la comparaison des règles... Si tu reflechis bien, il vaut souvent mieux separer en tables différentes.. ex : iptables -N tcp_packets iptables -N udp_packets iptables -A INPUT -p tcp -j tcp_packets iptables -A INPUT -p udp -j udp_packets iptables -A tcp_packets --dport 80 -j ACCEPT iptabels -A tcp_packets --dport 22 -j ACCEPT iptables -A tcp _packets --dport 53 -j ACCEPT iptables -A tcp _packets --dport 25 -j ACCEPT iptables -A udp _packets --dport 53 -j ACCEPT c'est une config simplifiée pour un serveur qui fournit quelques services, dont un dns sur udp + tcp. Suppose que ce serveur recoive un paquet udp 53 (une requete dns). Comparaisons : 1 regle tcp non une regle udp oui -> udp_packets une regle port 53 -> oui ->packet accepté ! Si on met tout dans input, il aurait effectué : 1 tcp + 80 -> non 1 tcp + 22 -> non 1 tcp + 53 -> non 1 tcp + 25 -> non 1 udp + 53 -> oui -> traitement. soit 2 règles de plus. Et comme en plus, plus il y a de patterns dans la règle, plus c'est long (tcp + port 80 = 2 tests !), on a un architecture bien moins efficace.... Tout le jeu de faire un beau script se situe dans la belle architecture des chaines ! Je pense qu'il faudrait pour bien faire pas plus de 5 regles à verfiier pour les paquets utilisés couramment (typiquement, les paquets de reponse sur une connexion etablie, le tarffic web) et pour les services necessitant de la reactivité (pour ça, le dns n'est pas forcemment un bon exemple. Le ssh serait plus interressant à privilegier).... A toi de jouer !!!! Thomas

par **Muzo** » 15 Jan 2004 11:16

Ben plus je joue, plus j'étudie le script et plus je me dit que le script fournit en plus pour la SME et vachement bien foutu <IMG SRC="images/smiles/icon_razz.gif">

par **tomtom** » 15 Jan 2004 11:42

c'est assez souvent le cas <IMG SRC="images/smiles/icon_rolleyes.gif"> t.

--new-chain mais comment ca marche?

Qui est en ligne ?