Fonctionnement d'Îptables

[polopopo]

salut,
je me pose certaine question concernant iptables.
Voilà par defaut, ipcop (pour ma part 1.4.2+dans+copfilter) ne bloque rien.
Donc je crée ma règle pour tout bloquer puis derrière n'ouvrir que les ports nécessaires (http, https, FTP, etc..)

dans mon rc.firewall j'aoute la ligne suivante
iptables -I FORWARD -i eth0 -j DROP
==> par conséquent cette règle doit tout bloquer ( lu sur le forum topic=4025)

je relance mon rc.firewall.

je teste
Tout est bloqué. SAUF j'arrive à me connecter sur le web.
mon browser est configurer avec un proxy statique sur le port 8080.

A priori, la regle ne bloque pas tout, elle laisse paser le proxy!!

A moins que cette règle ne convienne pas pour ma situation!!

[patrick-f]

Bonjour

Regarde sur le site d' Antolien

Tout bloquer d'abord, puis autoriser ensuite ?
http://ipcop.hn.org/ipcop-sid/

[tomtom]

dans mon rc.firewall j'aoute la ligne suivante
iptables -I FORWARD -i eth0 -j DROP
==> par conséquent cette règle doit tout bloquer ( lu sur le forum topic=4025)

je relance mon rc.firewall.

je teste
Tout est bloqué. SAUF j'arrive à me connecter sur le web.
mon browser est configurer avec un proxy statique sur le port 8080.

A priori, la regle ne bloque pas tout, elle laisse paser le proxy!!

A moins que cette règle ne convienne pas pour ma situation!!

FORWARD sert à traiter les paquets qui TRAVERSENT le firewall. Tout est donc bloqué, en ce qui concerne les paquets traversant le firewall.

INPIT sert à traiter les paquets à destination de la machine locale. Or tout ce qui arrive de green est autorisé dans cette chaine. Et comme ton proxy est probablement sur ton IPCop, les paquets qui vont vers le proxy sont autorisés

t.

[polopopo]

je suis allé sur le site d'Antolien.
http://ipcop.hn.org/ipcop-sid/
g mis en commentaire cette ligne
#/sbin/iptables -A FORWARD -i $GREEN_DEV -m state --state NEW -j ACCEPT

cela fait exactement la meme chose que cette règle:
iptables -I FORWARD -i eth0 -j DROP

Ca me bloque bien tout le traffic sauf le proxy.
La connexion vers le net est possible.

Tomtom, tu as deviné. Mon proxy est bien sur mon ipcop.
En fait, mon ipcop ne doit gérer que le HTTP.
Avec 1 des 2 règles précédentes, la config répond à mes besoin.

Mais, est ce que cette configuration peut elle etre fonctionnel pour fonctionner avec la QOS et L7?
En gros, je cherche à limiter ma bande passante pour le HTTP.
Qu'il n'y ait pas un user qui pompe tout au détriment des applications qui transitent sur mon VPN basé sur un autre OS.