Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Iptables de malheur

Subat

Voilà ma Fedora core installer depuis quelques jours voir semaine et tout ce qui va avec pour mon besoi personnelle.

Le seul pb c'est que cette machine est connecté à internet et me délivre internet sur les autres aordianteur.

Premier Pb certains site ne sont plus accessible comme www.fnac.fr

ensuite je ne peut plus utiliser msn messenger donc ma famille et amis à moins de nouvelle de moi :lol:.

Donc voilà je vous appelle à l'aide au passage je ne suis pas en interface graphique mais texte car ma machine est avant tout un serveur web donc l'interface graphique cela ralenti :lol:

[supprimé]

euh, si t'as pas d'interface graphique, j'vois pas comment resoudre ça.
à mon avis lynx ou links, c'est pas le top pour voir des pages asp avec du javascript,par contre ça passe super bien sous Mozilla/firefox (et probablement avec Konqueror mais j'utilise quasi jamais)
Pour msn en mode texte, tu as piqué ma curiosité, j'ai trouvé ceci: http://freshmeat.net/projects/centericq/
y a meme des rpms 🙂
Meme si on a des UI très performante, il vaut mieux etre aguerri au mode texte en cas de besoin. 😉
sinon, installe juste le serveur X et un gestionnaire de fenetre comme wmaker, ça te boufferas pas beaucoup de ressources (enfin , ça depend de ta machine) et tu lances uniquement en cas de besoin.

Subat

Je pense que je me suis mal exprimé.

J'ai une machine sur laquelle j'ai installer la fedora core 2, elle fait la jointure en tre mon pc de travail avec interface graphique et msn 😃 eh donc je n'arrive pas ah me connecter à msn avec mon pc de bureau il faut que je configure le port avec iptable mais je n'y arrive pas.

[supprimé]

to

%iptables -A INPUT -p tcp --dport "portmsn" -d "ipstationmsn" --sport 1024: -d "ipservermsn" -m state --state ESTABLISHED,RELATED -j ACCEPT

%iptables -A OUTPUT -p tcp --dport 1024: -d 'ipservermsn' --sport 'ipstationmsn' -d 'portmsn' -m state --state NEW,ESTANLISHED,RELATED -j ACCEPT

%service iptables save

ATTENTION, msn utilise 2 port, 1 pour le chat text et l'autre pour le transfere de fichier.

Si tu as besoin de plus d'info
TuxSpirit@tssi2003.net

Neuromancien

Bonjour,

Je ne sais pas ce que tu utilise comme script iptable,
mais tu peut essayer ca:
Shorewall
C'est un script tres bien fait que tu peut customiser a fond 🙂

Y'a meme une doc en francais dessus

Neuromancien

kelux

Salut ,

Je pense d'abord qu'il faut utiliser le hook FORWARD et non INPUT et OUTPUT...

De plus les règles sont fausses ... les interfaces d'entrée et de sortie sont ou ??? (-i et -o ...) ainsi que --sport 'ipstationmsn' -d 'portmsn' est faux....

Pour revenir au probleme initial, ....

On suppose que tu fais confiance au réseau local (quoique des fois cela parait moins sur ....) tu fais :

iptables -A FORWARD -i $lan -o $net -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i $net -o $lan -m state --state RELATED,ESTABLISHED -j ACCEPT

Voili voilou , pour d'autres questions sur Iptables no pb

[supprimé]

OUais,

J'ai pas fais gaff c'est bien du forward !! dsl

Par contre les interface ne son pas obligatoir et pour '--dport' port de destination et '--sport' port sont justes. c'est des obtion du module '-p tcp' ou '-p udp'

Ta regle est juste, mais un regle comme ca ou pas d'iptables c'est presque pareil...

je propose

#!/bin/sh
#
# Scipt de Configuration IPTABLES
#
####################################
#
#
# Configuration simple...
#
#
# Definition de variables
#
# Executables
IPTABLES_BIN=/sbin/iptables

#
# IP reseaux
IP_LOCAL=127.0.0.1
IP_WWW=0.0.0.0/0
IP_ETH1=XXX.XXX.XXX.XXX
## note, si tu utilise un modem ETH1 sera surement ppp0
IP_ETH0=192.168.0.1
IP_LAN=192.168.0.0/0

#
## Ports
PORT_HTTP=80
PORT_HTTPS=443
PORT_HTTP_PROXY=8080
PORT_FTP_1=20
PORT_FTP_2=21
PORT_SAMBA=137:139
PORT_AUTH=900
PORT_POP3=110
PORT_SMTP=25
PORT_ICMP=icmp
PORT_SUP=1024:
PORT_INF=1024:
PORT_MSN_1=6644
PORT_MSN_2=21344
# note, les ports msn son pris au hasar.
#
# Reset des tables et effacement des chaines
$IPTABLES_BIN -F
$IPTABLES_BIN -X

#
# On DROP tout
$IPTABLES_BIN -P INPUT DROP
$IPTABLES_BIN -P OUTPUT DROP
$IPTABLES_BIN -P FORWORD DROP

# idem pour le nat
$IPTABLES_BIN -t nat -F
$IPTABLES_BIN -t nat -X

$IPTABLES_BIN -t nat -P PREROUTING ACCEPT
$IPTABLES_BIN -t nat -P POSTROUTING ACCEPT
$IPTABLES_BIN -t nat -P OUTPUT ACCEPT

# et mangle
$IPTABLES_BIN -t mangle -F
$IPTABLES_BIN -t mangle -X

$IPTABLES_BIN -t mangle -P PREROUTING ACCEPT
$IPTABLES_BIN -t mangle -P INPUT ACCEPT
$IPTABLES_BIN -t mangle -P OUTPUT ACCEPT
$IPTABLES_BIN -t mangle -P FORWARD ACCEPT
$IPTABLES_BIN -t mangle -P POSTROUTING ACCEPT
#
# On autorise tout les les connexions sur interface local
$IPTABLES_BIN -A INPUT -p tcp -d $IP_LOCAL -s $IP_LOCAL -j ACCEPT
$IPTABLES_BIN -A OUTPUT -p tcp -d $IP_LOCAL -s $IP_LOCAL -j ACCEPT

#########################################
# Regles ETH1
#########################################
# INPUT
#
# On autorise les connexions a HTTP et HTTPS.
$IPTABLES_BIN -A INPUT -i eth1 -p tcp -s $IP_WWW --sport $PORT_SUP -d $IP_ETH1 --dport $PORT_HTTP -m state --state NEW -j ACCEPT
$IPTABLES_BIN -A INPUT -i eth1 -p tcp -s $IP_WWW --sport $PORT_SUP -d $IP_ETH1 --dport $PORT_HTTPS -m state --state NEW -j ACCEPT

# On autorise les connexions ESTABLISHED et RELATED
$IPTABLES_BIN -A INPUT -i eth1 -p tcp -s $IP_WWW -d $IP_ETH1 -m state --state ESTABLISHED,RELATED -j ACCEPT

#
# OUTPUT
#
# On atorise les connexion NEW pour les ports http 80, 8080, 443 et ftp 20 et 21...
$IPTABLES_BIN -A OUTPUT -o eth1 -p tcp -s $IP_ETH1 --sport $PORT_SUP -d $IP_WWW --dport $PORT_HTTP m state --state NEW -j ACCEPT
$IPTABLES_BIN -A OUTPUT -o eth1 -p tcp -s $IP_ETH1 --sport $PORT_SUP -d $IP_WWW --dport $PORT_HTTPS m state --state NEW -j ACCEPT
$IPTABLES_BIN -A OUTPUT -o eth1 -p tcp -s $IP_ETH1 --sport $PORT_SUP -d $IP_WWW --dport $PORT_HTTP_PROXY m state --state NEW -j ACCEPT
$IPTABLES_BIN -A OUTPUT -o eth1 -p tcp -s $IP_ETH1 --sport $PORT_SUP -d $IP_WWW --dport $PORT_FTP_1 m state --state NEW -j ACCEPT
$IPTABLES_BIN -A OUTPUT -o eth1 -p tcp -s $IP_ETH1 --sport $PORT_SUP -d $IP_WWW --dport $PORT_FTP_2 m state --state NEW -j ACCEPT

# On autorise les connexions ESTABLISHED et RELATED
$IPTABLES_BIN -A OUTPUT -o eth1 -p tcp -s $IP_ETH1 -d $IP_WWW ESTABLISHED,RELATED -j ACCEPT

#########################################
# Regles ETH0
#########################################
#
# INPUT
#
# On autorise les connexions a samba.
$IPTABLES_BIN -A INPUT -i eth0 -p tcp -s $IP_LAN --sport $PORT_SAMBA -d $IP_ETH0 --dport $PORT_SAMBA -m state --state NEW -j ACCEPT
$IPTABLES_BIN -A INPUT -i eth0 -p udp -s $IP_LAN --sport $PORT_SAMBA -d $IP_ETH0 --dport $PORT_SAMBA m state --state NEW -j ACCEPT

# On autorise le port d'authentification pour samba.
$IPTABLES_BIN -A INPUT -i eth0 -p tcp -s $IP_LAN --sport $PORT_AUTH -d $IP_ETH0 --dport $PORT_AUTH m state --state NEW -j ACCEPT
$IPTABLES_BIN -A INPUT -i eth0 -p udp -s $IP_LAN --sport $PORT_AUTH -d $IP_ETH0 --dport $PORT_AUTH m state --state NEW -j ACCEPT

# On autorise les connexions SSH
$IPTABLES_BIN -A INPUT -i eth0 -p tcp -s $IP_LAN --sport $PORT_SUP -d $IP_ETH0 --dport $PORT_SSH m state --state NEW -j ACCEPT

# On autorise les connexions ESTABLISHED et RELATED.
$IPTABLES_BIN -A INPUT -i eth0 -p tcp -s $IP_LAN -d $IP_ETH0 -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES_BIN -A INPUT -i eth0 -p udp -s $IP_LAN -d $IP_ETH0 -m state --state ESTABLISHED,RELATED -j ACCEPT

#
# OUTPUT
#
# On autorise tout
$IPTABLES_BIN -A OUTPUT -o eth0 -p tcp -s $IP_ETH0 -d $IP_LAN NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES_BIN -A OUTPUT -o eth0 -p udp -s $IP_ETH0 -d $IP_LAN NEW,ESTABLISHED,RELATED -j ACCEPT

# GLOBAL
#
# On autorise l'icmp dans le LAN
$IPTABLES_BIN -A INPUT -i eth0 icmp -j ACCEPT
$IPTABLES_BIN -A OUTPUT -o eth0 icmp -j ACCEPT

#########################################
# Regles FORWARD
#########################################
#
#
# On translate les adresse du lan vars le web

$IPTABLES_BIN -t nat -A POSTROUTING -s $IP_LAN -o eth1 -j MASQUERADE

#
# On autorise les connexions HTTP HTTPS et Proxy et ftp du LAN vers web
$IPTABLES_BIN -A FORWARD -i eth0 -o eth1 -p tcp -s $IP_LAN --sport $PORT_SUP -d $IP_WWW --dport $PORT_HTTP -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES_BIN -A FORWARD -i eth0 -o eth1 -p tcp -s $IP_LAN --sport $PORT_SUP -d $IP_WWW --dport $PORT_HTTPS -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES_BIN -A FORWARD -i eth0 -o eth1 -p tcp -s $IP_LAN --sport $PORT_SUP -d $IP_WWW --dport $PORT_HTTP_PROXY -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES_BIN -A FORWARD -i eth0 -o eth1 -p tcp -s $IP_LAN --sport $PORT_SUP -d $IP_WWW --dport $PORT_FTP_1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES_BIN -A FORWARD -i eth0 -o eth1 -p tcp -s $IP_LAN --sport $PORT_SUP -d $IP_WWW --dport $PORT_FTP_2 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#
# On autorise msn
$IPTABLES_BIN -A FORWARD -i eth0 -o eth1 -p tcp -s $IP_LAN --sport $PORT_SUP -d $IP_WWW --dport $PORT_MSN_1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPTABLES_BIN -A FORWARD -i eth0 -o eth1 -p tcp -s $IP_LAN --sport $PORT_SUP -d $IP_WWW --dport $PORT_MSN_2 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# On autorises les connexions etablies et relation du web vers le lan
$IPTABLES_BIN -A FORWARD -i eth1 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

#
# On active l'option forward du noyau
echo 1 > /proc/sys/net/ipv4/ip_forward
############################################

Pour savegarder les tables
'%service iptables save'

Pour retorer les tables
'%service iptables restore'

Voila, j'ai fait ca sur le tas, tu trouvera surement quelques petites erreurs mais dans l'enssemble il est bon.

Pour les regle de forward, il te faudra en rajouter pour tou les ports que tu desire utilisé, ou tu peut ne pas definir de port ce qui laiseras tout les ports passer.

NB : Mais le reseau n'es pas asser securisé dans cette configuration, néan moins je pense que c'est le minimum..

A+
TuxSpirit

[supprimé]

RE Yo

J'avais pas vu,
http://www.fedora-france.org/modules/newbb/viewtopic.php?topic_id=520&post_id=4103&order=0&viewmode=flat&pid=3651&forum=16#forumpost4103

Une solution qui devrais t'aller 🙂

toto019

Salut

Je cherchais un script pour partager ma connection internet avec mon autre ordinateur portable.

Bête comme je suis, j'ai fait un copier-coller du script, et je l'ai executé. Il semblerait qu'il aime pas l'option -m ...

Quelqu'un pourrait faire une ebauche de script (ou carrément le script) jouant sur iptable permettant de partager ma connexion internet (parce que moi, j'avoues, là je pige rien, c'est pas je veux pas ... mais j'ai beau me torturer l'esprit, je n'arrive pas à partager cette p***** de connection internet ... ca m'enerve un peu d'ailleurs :evil: )

eth0 : reseau interne
eth1 : internet (avec ppp0)

Bien sur, toute machine se connectant à mon HUB serait capable de se connecter à internet sans difficultés 😉

J'en demande trop ... :-?

Voilà, merci pour votre aide 🙂

Subat

pour ceux que ça intéresse un artice et parue sur le partage de connection et qui a été réaliser par Lionel Tricon et donc allez sur son site pour trouver le scripte pour partager et bien protéger son firewal par contre j'ai du rajouter c'est 4 ligen car sinon je pouvais pas aller sur certains site (ex: fnac.com).

iptables -t mangle -A FORWARD -i ppp0 -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

iptables -t mangle -A FORWARD -i eth0 -o ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

iptables -t filter -A FORWARD -i ppp0 -o eth0 -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -t filter -A FORWARD -i eth0 -o ppp0 -p all -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Pour votre bonheur.

Ce srcipt et ces 4 lignes doivent reprendre pas mal des postes mais moi cela à marcher de suite donc voilà. Juste une précision dans l fichier de Lionel il faut changer le chemin de iptables.

Dans le fichier remplacer :
IPT="/usr/sbin/iptables"

par:
IPT="/sbin/iptables"

Phoenix818

si jamais, pour faire une passerelle ehternet//Internet, y a une distrib de Linux spécialisée pour ça, gratuite:
Smothwall
c'est en fait un gros firewall, dans le genre de Kerio Pro, gratuit.
Comme tu semble avoir une machine dédiée, c'est encore mieux, surtout qu'il ne demande vraiment pas gros, comme config, et est administrable à distance [via le LAN, voire le WAN si tu active les options adéquates, me semble]

Perso, je ne l'ai pas essayé, mais la doc est pas mal foutue...

Subat

Merci de ce renseignement je vais regarder ça ce soir dès que j'ai un peu de temps

TuxSpirit

Salut

DSL, jesuis pas venu sur le site depuis un petit bou.

Le script que j'ai pondu était vite fait, juste pour calmer le 'tes nul c pas ca" ...

Si tu a besoin de scripts iptables ou de conseil écrie moi ca sera plus facile, et je me ferais un plaisir de t'aider a configurer ton routeur (C'est un peut mon metier 😉)

A+
Tux.