je vais essayer d’être le plus précis possible et vous fournir toute ma conf.
merci d'avance aux lecteurs de ce poste
donc j ai mis en place un serveur sous debian squeeze sur un hôte vmware esxi
configuration de shorewall avec 2 interfaces loc + net, jusqu'ici tous vas très bien (routage ok, blocage des ports ok, redirection et dnat ok, masquerade ok)
je rajoute 2 interfaces une pour un sous réseau avec des clients (pc, imp), et une autre pour openvpn (tunnel jusqu'au datacentre)
les problèmes commencent:
ca fait une semaine que je suis dessus et je m'arrache les cheveux (je ne trouve pas et je me doute que c'est une erreur à la c..)
de la zone loc et fw je peux tout pinger
loc > tun = ok (depuis tous les postes dans loc, vers tous les postes derrière le vpn)
tun > loc = ko (le ping s'arrête à la patte du vpn sur le firewall 10.9.0.6 et ensuite ca marche pas)
plus > loc = ok (depuis/vers tous les postes dans les 2 zones)
loc > plus = ok (depuis/vers tous les postes dans les 2 zones)
plus > net =ko (ca s’arrête à 192.168.12.253)
je penses que ca doit être le même genre de problème pour les 2 cas.
vous trouverez un schéma ici: http://hpics.li/3f8c62c
voici les différents fichiers de conf de shorewall:
j'ai fait un peu de test dessus, ajout ou retrait d'option
interface
- Code: Tout sélectionner
#ZONE INTERFACE BROADCAST OPTIONS
net eth0 detect tcpflags,nosmurfs,routefilter,logmartians
loc eth1 detect routeback
#dhcp,tcpflags,nosmurfs,routefilter,logmartians
plus eth2 detect routeback
#,dhcp,tcpflags,nosmurfs,routefilter,logmartians
svext eth3 detect
wifi eth4 detect
tun tun0 detect routeback
masq
- Code: Tout sélectionner
#INTERFACE SOURCE ADDRESS PROTO PORT(S) IPSEC MARK
eth0 192.168.100.0/24 79.174.XXX.XXX
tun0 192.168.100.0/24 10.9.0.6
eth2 192.168.12.0/24 79.174.XXX.XXX
eth1:192.168.100.0/24 192.168.222.0/24 192.168.100.253
policy
- Code: Tout sélectionner
#SOURCE DEST POLICY LOG LEVEL LIMIT:BURST
loc net DROP info
plus net DROP info
#net plus ACCEPT info
net all DROP info
tun all ACCEPT info
all tun ACCEPT info
#fw tun ACCEPT info
#loc tun ACCEPT info
#tun loc ACCEPT info
#tun fw ACCEPT info
plus loc ACCEPT info
loc plus ACCEPT info
plus fw ACCEPT info
fw plus ACCEPT info
# THE FOLLOWING POLICY MUST BE LAST
all all REJECT info
tunnels
- Code: Tout sélectionner
#TYPE ZONE GATEWAY GATEWAY
# ZONE
openvpnclient:1194 net XXX.XXX.XXX.XXX
zones
- Code: Tout sélectionner
#ZONE TYPE OPTIONS IN OUT
# OPTIONS OPTIONS
fw firewall
net ipv4
loc ipv4
svext ipv4
wifi ipv4
plus ipv4
tun ipv4
shorewall.conf
- Code: Tout sélectionner
###############################################################################
#
# Shorewall Version 4 -- /etc/shorewall/shorewall.conf
#
# For information about the settings in this file, type "man shorewall.conf"
#
# Manpage also online at http://www.shorewall.net/manpages/shorewall.conf.html
###############################################################################
# S T A R T U P E N A B L E D
###############################################################################
STARTUP_ENABLED=Yes
###############################################################################
# V E R B O S I T Y
###############################################################################
VERBOSITY=2
###############################################################################
# L O G G I N G
###############################################################################
LOGFILE=/var/log/messages
STARTUP_LOG=/var/log/shorewall-init.log
LOG_VERBOSITY=2
LOGFORMAT="Shorewall:%s:%s:"
LOGTAGONLY=No
LOGRATE=
LOGBURST=
LOGALLNEW=
BLACKLIST_LOGLEVEL=
MACLIST_LOG_LEVEL=info
TCP_FLAGS_LOG_LEVEL=info
SMURF_LOG_LEVEL=info
LOG_MARTIANS=Yes
###############################################################################
# L O C A T I O N O F F I L E S A N D D I R E C T O R I E S
###############################################################################
IPTABLES=
IP=
TC=
IPSET=
PERL=/usr/bin/perl
PATH=/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/bin:/usr/local/sbin
SHOREWALL_SHELL=/bin/sh
SUBSYSLOCK="/var/lock/shorewall"
MODULESDIR=
CONFIG_PATH=/etc/shorewall:/usr/share/shorewall
RESTOREFILE=
IPSECFILE=zones
LOCKFILE=
###############################################################################
# D E F A U L T A C T I O N S / M A C R O S
###############################################################################
DROP_DEFAULT="Drop"
REJECT_DEFAULT="Reject"
ACCEPT_DEFAULT="none"
QUEUE_DEFAULT="none"
NFQUEUE_DEFAULT="none"
###############################################################################
# R S H / R C P C O M M A N D S
###############################################################################
RSH_COMMAND='ssh ${root}@${system} ${command}'
RCP_COMMAND='scp ${files} ${root}@${system}:${destination}'
###############################################################################
# F I R E W A L L O P T I O N S
###############################################################################
IP_FORWARDING=On
ADD_IP_ALIASES=Yes
ADD_SNAT_ALIASES=No
RETAIN_ALIASES=No
TC_ENABLED=Internal
TC_EXPERT=No
TC_PRIOMAP="2 3 3 3 2 3 1 1 2 2 2 2 2 2 2 2"
CLEAR_TC=Yes
MARK_IN_FORWARD_CHAIN=Yes
CLAMPMSS=No
ROUTE_FILTER=Yes
DETECT_DNAT_IPADDRS=No
MUTEX_TIMEOUT=60
ADMINISABSENTMINDED=Yes
BLACKLISTNEWONLY=Yes
DELAYBLACKLISTLOAD=No
MODULE_SUFFIX=
DISABLE_IPV6=Yes
BRIDGING=No
DYNAMIC_ZONES=No
PKTTYPE=Yes
NULL_ROUTE_RFC1918=Yes
MACLIST_TABLE=filter
MACLIST_TTL=
SAVE_IPSETS=No
MAPOLDACTIONS=No
FASTACCEPT=Yes
IMPLICIT_CONTINUE=Yes
HIGH_ROUTE_MARKS=No
USE_ACTIONS=Yes
OPTIMIZE=0
EXPORTPARAMS=Yes
EXPAND_POLICIES=Yes
KEEP_RT_TABLES=No
DELETE_THEN_ADD=Yes
MULTICAST=No
DONT_LOAD=
AUTO_COMMENT=Yes
MANGLE_ENABLED=Yes
USE_DEFAULT_RT=No
RESTORE_DEFAULT_ROUTE=Yes
AUTOMAKE=No
WIDE_TC_MARKS=No
TRACK_PROVIDERS=No
ZONE2ZONE=2
ACCOUNTING=Yes
DYNAMIC_BLACKLIST=Yes
OPTIMIZE_ACCOUNTING=No
LOAD_HELPERS_ONLY=No
REQUIRE_INTERFACE=No
FORWARD_CLEAR_MARK=Yes
###############################################################################
# P A C K E T D I S P O S I T I O N
###############################################################################
BLACKLIST_DISPOSITION=DROP
MACLIST_DISPOSITION=REJECT
TCP_FLAGS_DISPOSITION=DROP
#LAST LINE -- DO NOT REMOVE
et les routes sur le serveur
- Code: Tout sélectionner
Table de routage IP du noyau
Destination Passerelle Genmask Indic Metric Ref Use Iface
10.9.0.5 * 255.255.255.255 UH 0 0 0 tun0
localnet * 255.255.255.248 U 0 0 0 eth0
192.168.100.0 * 255.255.255.0 U 0 0 0 eth1
192.168.12.0 * 255.255.255.0 U 0 0 0 eth2
10.9.0.0 10.9.0.5 255.255.255.0 UG 0 0 0 tun0
192.168.222.0 10.9.0.5 255.255.255.0 UG 0 0 0 tun0
192.168.0.0 - 255.255.0.0 ! 0 - 0 -
172.16.0.0 - 255.240.0.0 ! 0 - 0 -
10.0.0.0 - 255.0.0.0 ! 0 - 0 -
default XXX-XXX-174-79. 0.0.0.0 UG 0 0 0 eth0
Les 2 zones wifi et srvext ne sont pas encore utilisées
si vous aviez besoin d'autres précisions n’hésitez pas
j'espere qu'avec votre aide je pourrais arrêter d'avoir mal à la tête
merci à tous
