[iptable] yen a ici qui utilisent les scripts de Mon Motha ?

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : [iptable] yen a ici qui utilisent les scripts de Mon Motha ?

Piksou

ici: http://monmotha.mplug.org/firewall/index.php ?
paske chez moi, ça merde

Message édité par Piksou le 14-06-2002 à 14:44:00

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

Publicité

djoh

Piksou a écrit a écrit :

ici: http://monmotha.mplug.org/firewall/index.php ?
paske chez moi, ça merde

:ouch: ça a l'air d'être une sacré usine à gaz ce script
t'es sur que t'as besoin de tout ça ?

Piksou

bah disons que je suis aps un maitre en script
mon ancien ipchains, c'était une passoire
là, ça avait l'avantage de faire le boulot à ma place
mais ça marche pas

t'as kekchose de mieux à me conseiller ?
il me faut juste un masqerade, un ou 2 portfw et une protection minimale quoi
et ptet un squid transparent si j'ai le courage

Message édité par Piksou le 14-06-2002 à 15:05:04

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

djoh

Piksou a écrit a écrit :

bah disons que je suis aps un maitre en script
mon ancien ipchains, c'était une passoire
là, ça avait l'avantage de faire le boulot à ma place

mais ça marche pas

t'as kekchose de mieux à me conseiller ?
il me faut juste un masqerade, un ou 2 portfw et une protection minimale quoi

et ptet un squid transparent si j'ai le courage

pour le squid, si c'est le cache que tu recherches, y-a un post pas loi en dessous qui cherche une solution, mais pas trouvée pour le moment.

pour le script, je peux t'aider, c'est sur que ça gèrera pas tout ce que fait ton script, mais ce sera largement suffisant pour toi (ça l'est pour moi, et j'ai à peu près les même besoin )

voici le script, en admettant que tu es une passerelle et que c'est là que tu mets ton script (à ce que j'ai compris de tes besoins) :

Code :

#d'abord, faut vider la table :
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
#ensuite pour le masquerade :
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#où eth0 est ton acces au net
# ensuite on bloc les access venant du net, dont la connexion n'est pas encore établit ; et on accept les connexion a la passerelle, venant du rezo local : tout le reste passe à la trappe
iptables -N block
iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A block -m state --state NEW -i ! eth0 -j ACCEPT
iptables -A block -j DROP
iptables -A INPUT -j block
iptables -A FORWARD -j block
#enfin, pour la forwarding de port (exemple pour le ftp) :
#la premiere ligne forward les port
#la deuxieme ouvre les ports nécessaire au ftp
#192.168.0.2 étant ton serveur ftp sur ton rezal
iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 20:21 -j DNAT --to 192.168.0.2
iptables -A FORWARD -i eth0 -p tcp --dport 20:21 -d 192.168.0.2 -j ACCEPT

pour ma part il me reste à gérer les log, j'ai pas encore fait, mais avec ça, tu devrais déjà avoir ce qu'il te faut , et ça marche

Message édité par djoh le 14-06-2002 à 15:18:24

Piksou

je vais d'abord
essayer ça: http://www.linuxhelp.net/guides/joey/iptables-firewall vu que j'ai déja commencé à le modifier
si ça merde encore, j'esayerais le tien
merci en tous cas

bon, je vais aller filer l'adressed monmotha à l'autre pour squid, qu'il voit si comprend

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

Mjules

Modérateur
Parle dans le vide

Je te conseille ce site, rubrique Netfilter:
http://christian.caleca.free.fr

---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. | Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.

Piksou

ah ben non enf ait, il cherhce à utilise run squid sur un autre PC, lui
mjules: thx :jap:

Message édité par Piksou le 14-06-2002 à 15:21:15

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

djoh

Piksou a écrit a écrit :

je vais d'abord
essayer ça: http://www.linuxhelp.net/guides/joey/iptables-firewall vu que j'ai déja commencé à le modifier
si ça merde encore, j'esayerais le tien

merci en tous cas

bon, je vais aller filer l'adressed monmotha à l'autre pour squid, qu'il voit si comprend

ça a l'air bien, il gere les log et les syn (je sais toujours pas ce que c'est, mais ça a l'air dangereux ce flag)
faudra que je regarde ça de plus près

djoh

Piksou a écrit a écrit :

ah ben non enf ait, il cherhce à utilise run squid sur un autre PC, lui

mjules: thx :jap:

oui, il se complique un peu la vie

Piksou

bon, ben le script est dans les choux aussi
j'essaie le tien (tain, c'est la galère :sweat: )
mais je me demadne si ya pas un truc qui cloche
pourtant j'arrive àpinger l'IP "externe" du modem depyuis les machines du LAN

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

Publicité

djoh

Piksou a écrit a écrit :

bon, ben le script est dans les choux aussi
j'essaie le tien (tain, c'est la galère :sweat:

)
mais je me demadne si ya pas un truc qui cloche
pourtant j'arrive àpinger l'IP "externe" du modem depyuis les machines du LAN

ben ils font des trucs compliqués sur les flags syn, c'est p-t pour ça que ça déconne

djoh

j'ai vu dans ton autre topic que tu pouvais pas utiliser le masquerade ?! :??: :heink:

Piksou

nan, c que ej voulais pas utilsier l'option masquerade de rp-pppoe
je préfère un script propre à part

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

djoh

Piksou a écrit a écrit :

nan, c que ej voulais pas utilsier l'option masquerade de rp-pppoe
je préfère un script propre à part

ah ok, et ça marche alors ?

Piksou

bah non (je veins de tester
une fosi modifié, ça donne ça chez moi:

#d'abord, faut vider la table :
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X

#ensuite pour le masquerade :
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

#où eth0 est ton acces au net

# ensuite on bloc les access venant du net, dont la connexion n'est pas encore établit ; et on accept les connexion a la passerelle, venant du rezo local : tout le reste passe à la trappe
iptables -N block
iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A block -m state --state NEW -i ! ppp0 -j ACCEPT
iptables -A block -j DROP

iptables -A INPUT -j block
iptables -A FORWARD -j block

#enfin, pour la forwarding de port (exemple pour le ftp) :
#la premiere ligne forward les port
#la deuxieme ouvre les ports nécessaire au ftp
#192.168.0.2 étant ton serveur ftp sur ton rezal
iptables -A PREROUTING -t nat -i ppp0 -p tcp --dport 4662 -j DNAT --to 192.168.123.2
iptables -A FORWARD -i eth0 -p tcp --dport 4662 -d 192.168.123.2 -j ACCEPT
iptables -A PREROUTING -t nat -i ppp0 -p tcp --dport 2121 -j DNAT --to 192.168.123.2
iptables -A FORWARD -i eth0 -p tcp --dport 2121 -d 192.168.123.2 -j ACCEPT

ça me retourne

iptables v1.2.6a: Bad IP address `192.168.123.2
'

Try `iptables -h' or 'iptables --help' for more information.
iptables v1.2.6a: Bad IP address `192.168.123.2
'

Try `iptables -h' or 'iptables --help' for more information.

et ça forward quedalle

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

djoh

:lol:
didonc, 4662 c'est pas edonkey ça ?
pq si c'est avec ça que tu teste si ça marche, faut que tu sache qu'il faut plus que ce port là pour que ça marche
2121, je sais pas ce que c'est
et sinon comment est agencé ton rezo ?
sous quel machine surf tu sur le net
est-ce que tu arrives à surfer ?
as-tu déclarer tes machines dans /etc/hosts ?
utilises tu dhcp ?

Piksou

4662, c'est la communication edonkey serveur client. les autres ports, il suffit qu'ils apssent "normalement", mais si tu portfw pas le 4662, t'as un low ID et tu dl pas vite
fin de la parenthèse.

2121, c'est pour un serveur FTP, à l'occasion, juste pour pas portfw le 21 en permanence.

mon résal focntionne comme suit.
un Alcatel STH en PPPOE
il est connecé sur eth1 du PC Passerelle, la connection fait apparaitre ppp0 pour la connection.
De plus, passerelle est connectée pas eth0 au LAN de la maison par l'IP 192.168.123.1
tout la maison en en 192.168.123.x, ma machine étant le .2 et la dernière le .6 (masi j'vais voulu laisser du mou)

le résal est géré par un switch 100 Mbits.

pas de DNCH, les DNS sont ceux du provider déclarés à la min sur chaque PC, y compris la passerelle.

acteullement, depusi la passerelle, après avoir lancé la connection (et fait un route add default gw dont je em passerais bien si je savais comment m'en débarasser), je ping tout le monde, mes DNS, mon LAN, google ou autre.
mais depuis les autres machines (mon PC ou mon portable, par ex), pas moyen de ma connecer à google ni de la pinger. je en peu pinger que l'IP "externe" du modem ADSL

/etc/hosts ? faut y mettre quoi ?

tous mes PCs ont 192.168.123.1 (la passerelle) en gateway et les DNS Tiscali en DNS of course

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

Mjules

Modérateur
Parle dans le vide

ton script; tu le copie/colle depuis internet ou tu le tapes toi même ?
parce que dans le premier cas, ça ne marche pas toujours (il ne reconnait pas les commandes)

---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. | Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.

Piksou

les deux premiers: enregistrement
le dernier: copier-coller + "nettoyage DOS/UNIX"

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

Polio

lanceur de Kerbals

Salut tlm,

J'ai mis pas mal de temps à obtenir un forwarding fonctionnel. En espérant que cela intéresse du monde, j'ai fait une copie du script que j'utilise (fait main ).

Ce dernier réalise deux "ports-forwading" un vers le serveur HTTP et un vers un Terminal Server (en réalité un pc sous XP Pro) depuis le port 119 (parce les autres ports sont bloqués où "proxyés" ).

Pour ce qui est de la sécurité, j'ai volontairement laissé tout ouvert dans le sens LAN -> WAN :non: . Ceci combiné avec des règles certainement trop laxistes, n'est certainement pas un modèle du genre, mais bon ceci est une autre histoire :na: .

#!/bin/sh
##########
# Configuration Netfilter
##########
# Polio <matthieu.michon@eseo.fr>
##########

##########
# Désactiver le routage
##########
echo 0 > /proc/sys/net/ipv4/ip_forward

##########
# Initialiser les tables
##########
iptables -F
iptables -F -t nat
iptables -Z
iptables -Z -t nat
iptables -X

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
iptables -t nat -P PREROUTING DROP
iptables -t nat -P POSTROUTING DROP
iptables -t nat -P OUTPUT DROP

##########
# Configurer les chaines
##########
iptables -A INPUT -i eth0 -s 192.168.7.0/24 -j ACCEPT
iptables -A INPUT -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT

iptables -A FORWARD -j ACCEPT

iptables -A OUTPUT -o ppp0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -t nat -A PREROUTING -j ACCEPT

iptables -t nat -A OUTPUT -j ACCEPT

iptables -t nat -A POSTROUTING -o eth0 -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o lo -j ACCEPT

##########
# Redirections
##########
# RDP (119 -> 3389)
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 119 -j DNAT --to 192.168.7.7:3389
iptables -t nat -I POSTROUTING -d 192.168.7.7 -j SNAT --to 192.168.7.10
# HTTP
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to 192.168.7.1:80
iptables -t nat -I PREROUTING -i eth0 -d tsept.minidns.net -p tcp --dport 80 -j DNAT --to 192.168.7.1:80
iptables -t nat -I POSTROUTING -d 192.168.7.1 -j SNAT --to 192.168.7.10

##########
# Activer le routage
##########
echo 1 > /proc/sys/net/ipv4/ip_forward

BMOTheKiller

une p'tite question avec ipchains, j'ai les ports 20, 21, 25, 80, 110 qui sont ouverts (j'en ai besoin, j'ai des serveurs qui tournent dessus), je cherche à les rendre invisibles sans pour autant les fermer (tous mes autres ports répondent BLOCKED et je refuse tous types d'icmp entrants, j'ai juste ces ports ci-dessus qui sont "visibles" ), c'est pas méchant mais bon....

comment faire ?

:hello:

djoh

ben voilà qui est mieux, avec tout ces détails
mais je trouve toujours pas d'où peut venir ton pb !

bon, faut mieux procéder par étape : d'abord, active uniquement le masquerading pour voir si ça marche

et t'es autre pc, ils sont sous windows ? T'es sur qu'ils sont bien configurés ? le masque, ma passerelle et les dns sont bon ?

déjà, quand ça ça marchera, ce sera une bonne chose

Piksou

ça tourne
tout ça a cause d'un module dans le kernel :cry:
ou ptet de ma faute de frappe dans le LAN :ange:
toujours est-il que ça fonctionne avec le Mon Motha
oui, tout était bien configuré puisque tout marchait déja ave cune gw avant
mais je voulasi passer de pptp sous potatoe ou on se loggait en root à un truc propre.
c'est en bonne voie.
merci beaucoup :jap:
il ne me reste plus qu'a me débarasserde mon problème de add route.

merci à vous tous ainsi qu'à Jowile pour le coup du module :jap:

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau

Publicité

FORUM HardWare.fr

Linux et OS Alternatifs

Codes et scripts

[iptable] yen a ici qui utilisent les scripts de Mon Motha ?

Sujets relatifs
RH, les fichiers utilisent trop de place sur le dd de mon serveur !	Y'a des pros des scripts unix ?
Exemples de scripts IPTABLES	Questions à ceux qui utilisent Openoffice
[IPTABLE] Ca marche po top	ecriture de scripts
problème d'interpréteur de scripts ksh, nawk...	manuel concis sur les scripts bash, awk, sed, perl, sous linux...
ptits pb de scripts sh .... sujet d'interro inside	Debian et scripts utilisateur.
Plus de sujets relatifs à : [iptable] yen a ici qui utilisent les scripts de Mon Motha ?

Page générée en 0.074 secondes