Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

[Résolu] regle iptables

fgland

bonsoir,

j'aimerai bloquer le port 80 en sortie à certaines heures mais ma commande ne marche pas. Ne maitrisant pas iptables voici le résultat OUTPUT de iptables -L

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  anywhere             anywhere             tcp dpt:http

pourtant je navigue toujours sur internet avec firefox !
que faut-il de plus que la commande

iptables -A OUTPUT -p udp --dport 80 -j DROP

Merci

Gérard

proxy

prk udp ??? tcp 😉

fgland

désolé c'est une erreur de ma part car n'ayant pas de résultat avec tcp, j'ai ajouté udp et n'ai pas mis le bon dans mon message !
mais le résultat est le même

Gérard

fgland

Je viens de tester sur mon poste et cela bloqie bien. Le problème est donc sur ma passerelle qui est un raspberry donc avec pidora.
Voici mes règles iptables

# Generated by iptables-save v1.4.16.2 on Thu Oct  3 09:18:38 2013
*nat
:PREROUTING ACCEPT [19764:1448770]
:INPUT ACCEPT [3:148]
:OUTPUT ACCEPT [399:28196]
:POSTROUTING ACCEPT [0:0]
-A PREROUTING -i eth+ -p udp -m udp --dport 253 -j DNAT --to-destination xxx.xxx.xxx.253:22
-A PREROUTING -i eth+ -p tcp -m tcp --dport 253 -j DNAT --to-destination xxx.xxx.xxx.253:22
-A PREROUTING -i eth+ -p tcp -m tcp --dport 82 -j DNAT --to-destination xxx.xxx.xxx.222
-A PREROUTING -i eth+ -p udp -m udp --dport 82 -j DNAT --to-destination xxx.xxx.xxx.222
-A PREROUTING -i eth+ -p tcp -m tcp --dport 251 -j DNAT --to-destination xxx.xxx.xxx.251:22
-A PREROUTING -i eth+ -p tcp -m tcp --dport 252 -j DNAT --to-destination xxx.xxx.xxx.252:22
-A PREROUTING -i eth+ -p udp -m udp --dport 252 -j DNAT --to-destination xxx.xxx.xxx.252:22
-A PREROUTING -i eth+ -p udp -m udp --dport 251 -j DNAT --to-destination xxx.xxx.xxx.251:22
-A PREROUTING -d xxx.xxx.xxx.xxx/32 -i eth0 -p udp -m udp --dport 5060 -j DNAT --to-destination xxx.xxx.xxx.253:5060
-A POSTROUTING -o eth+ -j MASQUERADE
-A POSTROUTING -s xxx.xxx.xxx.253/32 -o eth0 -j SNAT --to-source xxx.xxx.xxx.xxx
COMMIT
# Completed on Thu Oct  3 09:18:38 2013
# Generated by iptables-save v1.4.16.2 on Thu Oct  3 09:18:38 2013
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [26:3864]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -d 224.0.0.251/32 -p udp -m conntrack --ctstate NEW -m udp --dport 5353 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p udp -m conntrack --ctstate NEW -m udp --dport 222 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 222 -j ACCEPT
-A INPUT -p udp -m conntrack --ctstate NEW -m udp --dport 82 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 82 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -p tcp -m tcp --dport 80 -j DROP
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -o eth+ -j ACCEPT
-A FORWARD -d xxx.xxx.xxx.253/32 -i eth+ -p udp -m conntrack --ctstate NEW -m udp --dport 22 -j ACCEPT
-A FORWARD -d xxx.xxx.xxx.253/32 -i eth+ -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -j ACCEPT
-A FORWARD -d xxx.xxx.xxx.222/32 -i eth+ -p tcp -m conntrack --ctstate NEW -m tcp --dport 82 -j ACCEPT
-A FORWARD -d xxx.xxx.xxx.222/32 -i eth+ -p udp -m conntrack --ctstate NEW -m udp --dport 82 -j ACCEPT
-A FORWARD -d xxx.xxx.xxx.251/32 -i eth+ -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -j ACCEPT
-A FORWARD -d xxx.xxx.xxx.252/32 -i eth+ -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -j ACCEPT
-A FORWARD -d xxx.xxx.xxx.252/32 -i eth+ -p udp -m conntrack --ctstate NEW -m udp --dport 22 -j ACCEPT
-A FORWARD -d xxx.xxx.xxx.251/32 -i eth+ -p udp -m conntrack --ctstate NEW -m udp --dport 22 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A OUTPUT -p tcp -m tcp --dport 80 -j DROP

j'ai masqué toutes les adresse ip
Toutes les autres règles marchent...
j'utilise bien iptables car je ne sais comment convertir ces règles en firewalld et l'interface graphique n'est pas des plus évidentes !

Merci
Gérard

philippe_PMA

Salut

Nativement, le raspberry n'a qu'un seul port réseau.
Tu parles de passerelle pour ton raspberry. J'imagine que tu as ajouté un convertisseur USB / RJ45 pour pouvoir faire une passerelle firewall.

Donc, s'il s'agit bien d'une passerelle, ce n'est pas :

-A OUTPUT -p tcp -m tcp --dport 80 -j DROP

qu'il te faut mais :

-A FORWARD -p tcp -m tcp --dport 80 -j DROP

fgland

de fait j'ai bien un usb/rj45, j'aurais dû le préciser
J'ai testé la commande, cela ne marche pas non plus.
l'ordre des lignes iptables à son importance me semble-til...
Comment puis-je le mettre en première position...
en rédigeant, j'ai fini par trouver

iptables -I FORWARD 1 -p tcp --dport 80 -j DROP

Comme elle se trouve toujours en position 1, je peux l'effacer plus facilement le matin !

un grand merci
Gérard

philippe_PMA

fgland wrote:de fait j'ai bien un usb/rj45, j'aurais dû le préciser

Oui 😉

fgland wrote: l'ordre des lignes iptables à son importance me semble-til...

Oui, la ligne

-A FORWARD -o eth+ -j ACCEPT

fait tout passer en sortie ...