Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Configuration Iptables et Squid ?

biltoboubou

Bonjour

Voila la config :

un serveur fedora avec squid et iptables

Eth0 carte vers internet 192.168.0.151 ( car ça va sur un routeur 192.168.0.1 )

Eth1 carte vers les clients LAN 10.0.0.1

lorsque je stop l'iptables
et que je configure mon client avec le proxy , ça marche

mais avec iptables start , non ?

maintenant , je ne trouve pas comment configurer mon iptables pour faire fonctionner mon proxy, avec un minimun de sécurite

######################################################################
# I N I T I A L I S A T I O N R E S E A U / K E R N E L
######################################################################

# Activation du forwarding
# C'est pas pour faire joli, on aura des règles
# de forward et il faut bien que les paquets
# traversent la machine, donc on met ce fichier à 1
echo 1 > /proc/sys/net/ipv4/ip_forward

######################################################################
# I N I T I A L I S A T I O N D E S C H A I N E S
######################################################################

# Nous vidons les chaînes :
iptables -F

# Nous supprimons d'éventuelles chaînes personnelles :
iptables -X

# Nous les faisons pointer par défaut sur DROP
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# Nous faisons de même avec toutes les autres tables,
# à savoir "nat" et "mangle", mais en les faisant pointer
# par défaut sur ACCEPT. Ca ne pose pas de problèmes
# puisque tout est bloqué au niveau "filter"

iptables -t nat -F
iptables -t nat -X

iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

######################################################################
# G E S T I O N M A C H I N E L O C A L E
######################################################################

# Nous considérons que la machine elle même est sûre
# et que les processus locaux peuvent communiquer entre eux
# via l'interface locale :

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

######################################################################
# G E S T I O N F I R E W A L L -> L A N
######################################################################
#on permet toutes les liaisons firewall-LAN (LAN --> eth1)

iptables -A INPUT -i eth1 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -m state --state NEW,ESTABLISHED -j ACCEPT

######################################################################
# G E S T I O N L A N -> F I R E W A L L
######################################################################
#on permet toutes les liaisons LAN-firewall (LAN --> eth1 )

iptables -A INPUT -i eth1 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -m state --state ESTABLISHED -j ACCEPT

Merci pour l'aide

biltoboubou

Personne n'a une petite idée ? 🙁

LOOPING

Vérifie dans tes Services (system-config-services) si iptables est bien actif.
Par défaut, après une installation de Fedora, le service ip6tables est activé.

baptistoux

que te retourne :

cat /proc/sys/net/ipv4/ip_forward

?
si ça te retourne 0, tu as trouvé ton problème, il faut que ta machine transmette les paquets qui lui sont envoyés (ip_forward a 1)

biltoboubou

LOOPING wrote:Vérifie dans tes Services (system-config-services) si iptables est bien actif.
Par défaut, après une installation de Fedora, le service ip6tables est activé.

iptables tourne , pas de pb

biltoboubou

baptistoux wrote:que te retourne :
cat /proc/sys/net/ipv4/ip_forward
?
si ça te retourne 0, tu as trouvé ton problème, il faut que ta machine transmette les paquets qui lui sont envoyés (ip_forward a 1)

Salut

oui avec ip_forward ça marche
mais je ne veux pas de forward , mais passer par le proxy

Madmax

Hello,

Tu es sûr que ça marche avec le forwarding? (echo 1 > /proc/sys/net/ipv4/ip_forward ... qui d'ailleurs est présent dans ton script. )

De mon point de vue il semblerait que le traffic est, par défault, non autorisé... donc il faudrait rajouté des règles pour eth0.

iptables -A INPUT -i eth0 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -d 194.2.0.20 -m state --state NEW -p udp --dport 53 -o eth0 -j ACCEPT
iptables -A OUTPUT -d 194.2.0.50 -m state --state NEW -p udp --dport 53 -o eth0 -j ACCEPT
iptables -A OUTPUT -m state --state NEW -p tcp -m multiport --dport http,https -o eth0 -j ACCEPT

#194.2.0.20 & 194.2.0.50 étant mes DNS favoris. Tu peux les changer avec ceux de ton FAI.

Pour tester ton firewall:
http://www.pcflank.com/test.htm

With regards

Pour référence:

http://linuxgazette.net/103/odonovan.html

M@dm@x