Quelques questions de nOObs

par **HallaanLoske** » 25 Fév 2004 11:58

Bajour <IMG SRC="images/smiles/icon_smile.gif"> j'espere que je ne vais pas poser trop de questions repetitives ... Bien, j'utilise IPCOP 1.3 patchée 8 le fw s'intercale entre un routeur, et un reseau local. Donc pas de gestion de modem. bref je suis aussi debutant sous linux, je patauge donc un peu. Alors, premiere question : lors de l'install g mal config mon IP green. g pas de pbs pour la changer, mais a chaque reboot, faut recommenser. dans quels fichiers puis-je enregistrer la nouvelle adresse ( et ainsi eviter un ifconfig a chaque fois) Deuxieme question : pareil pour la config de passerelle ou est-ce que je peux enregistrer ça ? Troisieme question : j'ai pour but de refaire mes regles de fw. Grace au site D'antolien (j'espere que j'eccorche pas ^^) et qq tuto IPTABLES je m'en sors pour le moment (doucement mais surement) la question est de savoir est ce que j'integre mes regles au fichier deja en place (etc/rc.d/rc.firewall si je ne m'abuse) ou est ce que je réecris moi même tout le bordel ( g peur ) vala quelques premieres questions. Merci d'avance <IMG SRC="images/smiles/icon_wink.gif">

par **Gesp** » 25 Fév 2004 12:22

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE>Alors, premiere question : lors de l'install g mal config mon IP green. g pas de pbs pour la changer, mais a chaque reboot, faut recommenser. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ne modifie pas directement dans certains fichiers, relance setup, ce sera plus simple et ta configuration sera gardée. idem pour la Deuxieme question <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE>Troisieme question : j'ai pour but de refaire mes regles de fw. Grace au site D'antolien (j'espere que j'eccorche pas ^^) et qq tuto IPTABLES je m'en sors pour le moment (doucement mais surement) </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Mets tes règles dans rc.local. De cette manière, tu ne casseras pas rc.firewall

par **HallaanLoske** » 25 Fév 2004 12:44

Merci de ta reponse Gesp. comment rc.local est géré ? ( oauis je sais j'abuse, mais j'aime bien essayer de comprendre <IMG SRC="images/smiles/icon_smile.gif"> ) j'entends par la que lorsque rc.firewall est lancé, il fait appel à ce qui figure dans rc.local ? encore une question : est ce que au lieu de relancer le setup (g pas le CD sous la main, et rien pour le graver) je peux incorporer mes commandes dans un fichier qui se lance au demarage ? est ce que ce fichier peut etre rc.local justement ? merci de ton attention <IMG SRC="images/smiles/icon_smile.gif">

par **YT-1300** » 25 Fév 2004 12:56

Bonjour HallaanLoske de la contée <IMG SRC="images/smiles/icon_wink.gif"> En ce qui conserne le setup notre amis penssais a la commande setup. Tape setup et tu devrais arriver au menu de configuration qui est lancé lors de l'installation. @+tard et bon courage, YT-1300

par **HallaanLoske** » 25 Fév 2004 13:08

a ouais mici mon loulou <IMG SRC="images/smiles/icon_smile.gif"> <IMG SRC="images/smiles/icon_smile.gif"> c nickel c tout bon. bon, maintenant plus hard chauds (pour moi en tous cas) je veux : du lan pouvoir aller me promener partout sur la toile. j'ai sur mon lan un serveur mail/web. je veux qu'il soit accessible depuis internet. alors g fait ce petit machin en picotant a droite et gauche en comprenant a peu pres, mais en etant incapable de le faire tout seul. Z'en pensez quoi ? <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> # On bloque toutes communications /sbin/iptables -P INPUT DROP /sbin/iptables -P OUTPUT DROP /sbin/iptables -P FORWARD DROP # On autorise l'interface locale (Lo) à sortir sur les deux reseaux (interne et externe) /sbin/iptables -A INPUT -i lo ACCEPT /sbin/iptables -A OUTPUT -o lo ACCEPT # On autorise les flux du reseau local à sortir sur interne sur tous les ports /sbin/iptables -A INPUT -i $GREEN_DEV ACCEPT # On fait suivre tout ce qui viens du reseau local sur internet /sbin/iptables -t nat -A POSTROUTING -o $RED_DEV -j MASQUERADE # Toutes les connexions qui sortent du LAN vers le Net sont acceptées /sbin/iptables -A FORWARD -i $GREEN_DEV -o $RED_DEV -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # Seules les connexions déjà établies ou en relation avec des connexions établies sont acceptées venant du Net vers le LAN /sbin/iptables -A FORWARD -i $RED_DEV -o $GREEN_DEV -m state --state ESTABLISHED,RELATED -j ACCEPT # On autorise les flux d'internet a entrer sur les ports 25 et 80 /sbin/iptables -A INPUT -i $RED_DEV -p tcp --dport 25,80 -j ACCEPT /sbin/iptables -A INPUT -i $RED_DEV -p udp --dport 25,80 -j ACCEPT /sbin/iptables -A OUTPUT -o $GREEN_DEV -p tcp --dport 25,80 -j ACCEPT /sbin/iptables -A OUTPUT -o $GREEN_DEV -p udp --dport 25,80 -j ACCEPT # On redirige les flux d'internet entrant à aller sur le serveur HTTP/SMTP d’ip [IP_LOCALE] /sbin/iptables -t nat -A PREROUTING -d $RED_DEV -p tcp --dport 80 -j DNAT --to-destination [IP_LOCALE]:80 /sbin/iptables -t nat -A PREROUTING -d $RED_DEV -p tcp --dport 25 -j DNAT --to-destination [IP_LOCALE]:25 # On bloque les pings qui viennent du net /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 0 -j DROP /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 5 -j DROP /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 8 -j DROP </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> z'en pensez quoi ?

par **Franck78** » 25 Fév 2004 13:21

Hello Allan Tu attaques très fort. Avant de penser à retaper le bordel, fait lui confiance. Essaie de le comprendre, apprend à verifier avec tcpdump, maitrise le bouzin quoi. N'oublie pas que tu l'as installé pour sa fonction firewall à priori et que par défaut il le fait correctement. Tu attaques directement dans le coeur! Cool! Regarde d'abord ce qui l'entoure. Visite le site de Caleca (christian.caleca.free.fr) il y a de bonnes explications en français. Et pose des questions ! Bonne découverte

par **HallaanLoske** » 25 Fév 2004 14:26

Merci Franck, ton msg est tres encouragent <IMG SRC="images/smiles/icon_smile.gif"> effectivement j'attaque un peu fort, en faisaint le gars qui y connais rien, mais qui veut bouffer du dragon avant d'avoir vu un gobelin <IMG SRC="images/smiles/icon_smile.gif"> Certes c'est pas très serieux, mais bon. <IMG SRC="images/smiles/icon_smile.gif"> <IMG SRC="images/smiles/icon_smile.gif"> J'ai effectivement visiter le site indiqué, et j'y ai trouvé pas mal de choses, qui m'ont aidés à construire ce script ... bon maintenant faut que je le test. Mais effectivement pêut etre que je devrait decouvrir avant ce que fait la configuration de bases. Bref <IMG SRC="images/smiles/icon_smile.gif"> n'empeche que si qq a un avis sur le script, les erreurs qu'il possede ... Disons que je l'ai fait assez simplement, il doit y avoir pleins d'erreurs mais je ne les vois pas ( manque de recul, encore une fois tu as raisons Franck. ) Enfin voila. Bon je vais tester mon bordel on verra bien <IMG SRC="images/smiles/icon_smile.gif"> <IMG SRC="images/smiles/icon_smile.gif"> je donne des news. Si qq peut repondre aux 2-3 questions que je pose plus haut (genr el'emplacement IP etc. ... même si g trouver une alternative grace à Gest, ça m'interesse qd même <IMG SRC="images/smiles/icon_smile.gif"> ) je lui en serai devoué <IMG SRC="images/smiles/icon_smile.gif">

par **Franck78** » 25 Fév 2004 15:29

Jusqu'a la ca parait bon. Ici ca se gate Tu laisses 25 et 80 entrer dans ipcpop. il s'en fout! Mais tu veux aussi diriger 25 et 80 ailleurs. Faut choisir... J'ai pas encore utilisé dnat e snat. Cependant c'est pas parceque tu as changé adresse ip ou port qu'un paquet qu'il est autorisé dans FORWARD ou INPUT donc pour venir d'internet, il faut au moins quelquechose comme -A FORWARD -i $RED_DEV -p tcp --dport 80 -m state --state NEW -j ACCEPT 2) Pas besoin de udp sur 25 et 80. Rien à voir 3) Place plutot les restrictions dès le début (icmp) <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> # On autorise les flux d'internet a entrer sur les ports 25 et 80 /sbin/iptables -A INPUT -i $RED_DEV -p tcp --dport 25,80 -j ACCEPT /sbin/iptables -A INPUT -i $RED_DEV -p udp --dport 25,80 -j ACCEPT /sbin/iptables -A OUTPUT -o $GREEN_DEV -p tcp --dport 25,80 -j ACCEPT /sbin/iptables -A OUTPUT -o $GREEN_DEV -p udp --dport 25,80 -j ACCEPT # On redirige les flux d'internet entrant à aller sur le serveur HTTP/SMTP d’ip [IP_LOCALE] /sbin/iptables -t nat -A PREROUTING -d $RED_DEV -p tcp --dport 80 -j DNAT --to-destination [IP_LOCALE]:80 /sbin/iptables -t nat -A PREROUTING -d $RED_DEV -p tcp --dport 25 -j DNAT --to-destination [IP_LOCALE]:25 # On bloque les pings qui viennent du net /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 0 -j DROP /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 5 -j DROP /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 8 -j DROP </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE>

par **HallaanLoske** » 26 Fév 2004 13:00

Salut à tous <IMG SRC="images/smiles/icon_smile.gif"> merci Franck pour ton aide. J'ai pris en compte certains point, je prendrais les autres plus tard. Je m'attarde pour le moment à l'acces du reseau local sur internet, on verra apres pour la suite <IMG SRC="images/smiles/icon_smile.gif"> voici le script tel que je l'ai modifier : <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> # On bloque toutes communications /sbin/iptables -P INPUT DROP /sbin/iptables -P OUTPUT DROP /sbin/iptables -P FORWARD DROP # On bloque les pings qui viennent du net /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 0 -j DROP /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 5 -j DROP /sbin/iptables -A INPUT -i $RED_DEV -p icmp --icmp-type 8 -j DROP # On autorise l'interface locale (Lo) à sortir sur les deux reseaux (interne et externe) /sbin/iptables -A INPUT -i lo ACCEPT /sbin/iptables -A OUTPUT -o lo ACCEPT # On autorise les flux du reseau local à sortir sur interne sur tous les ports /sbin/iptables -A INPUT -i $GREEN_DEV ACCEPT # On fait suivre tout ce qui viens du reseau local sur internet /sbin/iptables -t nat -A POSTROUTING -o $RED_DEV -j MASQUERADE # Toutes les connexions qui sortent du LAN vers le Net sont acceptées /sbin/iptables -A FORWARD -i $GREEN_DEV -o $RED_DEV -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # Seules les connexions déjà établies ou en relation avec des connexions établies sont acceptées venant du Net vers le LAN /sbin/iptables -A FORWARD -i $RED_DEV -o $GREEN_DEV -m state --state ESTABLISHED,RELATED -j ACCEPT # On ouvre le port 222 au lan /sbin/iptables –A INPUT –i lo –p tcp –dport 222 –j ACCEPT # On autorise les flux d'internet a entrer sur les ports 25 et 80 /sbin/iptables -A INPUT -i $RED_DEV -p tcp --dport 25,80 -j ACCEPT /sbin/iptables -A OUTPUT -o $GREEN_DEV -p tcp --dport 25,80 -j ACCEPT # On redirige les flux d'internet entrant à aller sur le serveur HTTP/SMTP d’ip [IP_LOCALE] /sbin/iptables -t nat -A PREROUTING -d $RED_DEV -p tcp --dport 80 -j DNAT --to-destination [IP_LOCALE]:80 /sbin/iptables -t nat -A PREROUTING -d $RED_DEV -p tcp --dport 25 -j DNAT --to-destination [IP_LOCALE]:25 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> j'ai un petit pbs qui perture : je n'arrive pas de mon reseau local à acceder au FW via ssh ... pourtant g fais une tentative d'ouverture du port 222 ... <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> # On ouvre le port 222 au lan /sbin/iptables –A INPUT –i lo –p tcp –dport 222 –j ACCEPT </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> g une erreur qq part surement, mais je ne la voie pas <IMG SRC="images/smiles/icon_frown.gif"> a vot' bon coeur mes seigneurs <IMG SRC="images/smiles/icon_smile.gif">

par **Franck78** » 26 Fév 2004 15:25

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> # On ouvre le port 222 au lan /sbin/iptables –A INPUT –i lo –p tcp –dport 222 –j ACCEPT </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> g une erreur qq part surement, mais je ne la voie pas <IMG SRC="images/smiles/icon_frown.gif"> a vot' bon coeur mes seigneurs <IMG SRC="images/smiles/icon_smile.gif"> [/quote] Ca rentre par GREEN ou READ ou ce que tu veux mais pas par lo !

par **HallaanLoske** » 26 Fév 2004 15:39

ben ça rentre par GREEN, mais comme plus haut je mettais ceci : <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE># On autorise les flux du reseau local à sortir sur interne sur tous les ports /sbin/iptables -A INPUT -i $GREEN_DEV ACCEPT </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> je pensais que tout etait accepter ... c pour ça que je ne pigge pô <IMG SRC="images/smiles/icon_frown.gif"> n'empeche toi t'es mon copain je t'aime tu fais que prendre du temps pour me repondre <IMG SRC="images/smiles/icon_wink.gif">

par **HallaanLoske** » 26 Fév 2004 16:28

arf c bon g resolu le pbs tout seul <IMG SRC="images/smiles/icon_smile.gif">

par **HallaanLoske** » 26 Fév 2004 16:28

arf c bon g resolu le pbs tout seul <IMG SRC="images/smiles/icon_smile.gif">

par **Franck78** » 26 Fév 2004 23:06

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> /sbin/iptables -A INPUT -i $GREEN_DEV ACCEPT je pensais que tout etait accepter ... c pour ça que je ne pigge pô <IMG SRC="images/smiles/icon_frown.gif"> n'empeche toi t'es mon copain je t'aime tu fais que prendre du temps pour me repondre <IMG SRC="images/smiles/icon_wink.gif"> </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> /sbin/iptables -A INPUT -i $GREEN_DEV ACCEPT -j ACCEPT ! _________________ Franck <IMG SRC="images/smiles/icon_wink.gif">

par **HallaanLoske** » 02 Mars 2004 15:42

Quelques nouvelles <IMG SRC="images/smiles/icon_smile.gif"> J'ai mis en place après une serie de tests mon fw sous IPCOP, tout marche. Merci à ceux qui se sont donnés la peine de m'aider (même tout simplement ceux qui ont lus <IMG SRC="images/smiles/icon_smile.gif"> ) je tacherai de faire une chtite doc recapitulative de mes travaux, si ça peut servir. Encore uen fois merci pour tout ( et particulierement à Franck <IMG SRC="images/smiles/icon_smile.gif"> ) ++

Quelques questions de nOObs

Qui est en ligne ?