pas de ftp dans le LAN iptables

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : pas de ftp dans le LAN iptables

lima44

bonjour,

je galère dur, je n'ai pas d'accès au ftp en tant que client à partir de mon LAN.

les modules suivant sont chargés

lsmod |grep ftp
ip_nat_ftp 2272 0
iptable_nat 19060 3 ipt_MASQUERADE,ip_nat_ftp
ip_conntrack_ftp 71344 1 ip_nat_ftp
ip_conntrack 37400 5 ipt_MASQUERADE,ipt_state,ip_nat_ftp,iptable_nat,ip_conntrack_ftp

et mes règles iptables sur la passerelle:

Code :

[root@ordiyo lionel]# iptables-save
# Generated by iptables-save v1.2.9 on Sun Sep 10 00:18:00 2006
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -s 192.168.0.0/255.255.255.0 -i eth0 -j DROP
-A INPUT -s 127.0.0.0/255.0.0.0 -i eth0 -j DROP
-A INPUT -s 10.0.0.0/255.0.0.0 -i eth0 -j DROP
-A INPUT -s 255.255.255.255 -i eth0 -j DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.0.0/255.255.255.0 -d 192.168.0.0/255.255.255.0 -i eth2 -j ACCEPT
-A INPUT -s 200.33.220.206 -i eth0 -j ULOG
-A INPUT -s 200.33.220.206 -i eth0 -j DROP
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 212.27.38.253 -i eth0 -p udp -m udp --dport 1024:65535 -j ACCEPT
-A INPUT -s 212.27.38.253 -i eth0 -p tcp -m tcp --dport 1024:65535 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 21 -j ULOG
-A INPUT -i eth0 -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 6891:6892 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 6891:6892 -j ULOG
-A INPUT -p icmp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -m state --state NEW -m limit --limit 10/min -j ACCEPT
-A INPUT -j DROP
-A FORWARD -s 192.168.0.0/255.255.255.0 -i eth2 -o eth0 -p tcp -m tcp ! --sport 80 -j ACCEPT
-A FORWARD -d 192.168.0.0/255.255.255.0 -i eth0 -o eth2 -p tcp -m tcp ! --dport 80 -j ACCEPT
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j DROP
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -s 192.168.0.0/255.255.255.0 -d 192.168.0.0/255.255.255.0 -o eth2 -j ACCEPT
-A OUTPUT -d 200.33.220.206 -o eth0 -j ULOG
-A OUTPUT -d 200.33.220.206 -o eth0 -j DROP
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -d 212.27.38.253 -o eth0 -p udp -m udp --dport 1024:65535 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 554 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 554 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 53 -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 67 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 443 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 110 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 25 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 21 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 1441 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 1755 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 8080 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 1863 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 6891:6892 -j ACCEPT
-A OUTPUT -o eth0 -p tcp -m tcp --dport 6891:6892 -j ULOG
-A OUTPUT -p icmp -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o eth0 -p udp -m udp --dport 123 -j ACCEPT
-A OUTPUT -j DROP
COMMIT
# Completed on Sun Sep 10 00:18:00 2006
# Generated by iptables-save v1.2.9 on Sun Sep 10 00:18:00 2006
*mangle
:PREROUTING ACCEPT [2:96]
:INPUT ACCEPT [2:96]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT
# Completed on Sun Sep 10 00:18:00 2006
# Generated by iptables-save v1.2.9 on Sun Sep 10 00:18:00 2006
*nat
:PREROUTING ACCEPT [2:96]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 192.168.0.0/255.255.255.0 -o eth0 -j MASQUERADE
COMMIT
# Completed on Sun Sep 10 00:18:00 2006

par contre je passe par squid et sur firefox en précissant :3128 pour le ftp ça passe??

là je sèche.

merci lionel

Publicité

lima44

personne ne peut m'aider?

lima44

j'essaie d'etre plus clair

internet----freebox ---- linux (passerelle) --------------- seconde machine (avec double boot XP et linux)

sur la passerelle (eth0: IP fixe eth2: 192.168.0.1 avec IPTABLES et SQUID

sur la seconde machine (eth0 192.168.0.2 et pas de firewall

voilà ma config

j'ai une règle dans iptables qui me permet de forcer le passage par squid pour internet

iptables -t filter -A FORWARD -i eth2 -o eth0 -s 192.168.0.0/24 -p tcp --sport ! 80 -d 0.0.0.0/0 -m state --state ! INVALID -j ACCEPT

iptables -t filter -A FORWARD -i eth0 -o eth2 -s 0.0.0.0/0 -d 192.168.0.0/24 -p tcp --dport ! 80 -m state --state ! INVALID -j ACCEPT

cette règle oblige à passer par le proxy squid pour internet puisse qu'elle interdit le port 80 en FORWARD (sans doute du bricolage mais ça marche) c'est pratique pour controler les sites pour mes enfants ainsi que certaines heures de connexion autorisées.

par contre si je n'ajoute pas plus bas dans mon script

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

et bien je ne peux pas avoir accès à ma messagerie via thunderbird???

Et une session FTP lancé de ma 2ème machine ne passe pas (sujet du post) et ce même si je vire ma règle bricolée et que je FORWARD tous avec

-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

je mets mon fichier iptables:

Code :

#!/bin/sh
#
###############################################################################
# NOM: regles-iptables.sh
#
###############################################################################
# Initialisation de la table MANGLE
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
# Suppression de toutes les chaînes pré-définies de la table FILTER
iptables -t filter -F
# Suppression de toutes les chaînes utilisateur de la table FILTER
iptables -t filter -X
# Par defaut, toute les paquets de la table FILTER sont détruits
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT DROP
iptables -t filter -P FORWARD DROP
# refuse les connexions extérieurs pour les adresses internes au reseau
iptables -t filter -A INPUT -i eth0 -s 192.168.0.0/24 -j DROP
iptables -t filter -A INPUT -i eth0 -s 127.0.0.0/8 -j DROP
iptables -t filter -A INPUT -i eth0 -s 10.0.0.0/8 -j DROP
iptables -t filter -A INPUT -i eth0 -s 255.255.255.255 -j DROP
# AntiSpoofing
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
# SYN flooding
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
# log les connexionx suspectes
echo 1 > /proc/sys/net/ipv4/conf/all/log_martians
# Autorise l'interface loopback à dialoguer avec elle-même
iptables -t filter -A OUTPUT -o lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT
iptables -t filter -A INPUT -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT
iptables -t filter -A OUTPUT -o eth2 -s 192.168.0.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -t filter -A INPUT -i eth2 -s 192.168.0.0/24 -d 192.168.0.0/24 -j ACCEPT
################################################################################
# IP masquerading
################################################################################
# Suppression de toutes les chaînes pré-définies de la table NAT
iptables -t nat -F
# Suppression de toutes les chaînes utilisateur de la table NAT
iptables -t nat -X
# Par defaut, toute les paquets de la table NAT sont ACCEPTES
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
# Activation du NAT dans le kernel
echo 1 > /proc/sys/net/ipv4/ip_forward
# Autorise les paquet à aller d'une interface réseau à l'autre
iptables -t filter -A FORWARD -i eth2 -o eth0 -s 192.168.0.0/24 -p tcp --sport ! 80 -d 0.0.0.0/0 -m state --state ! INVALID -j ACCEPT
iptables -t filter -A FORWARD -i eth0 -o eth2 -s 0.0.0.0/0 -d 192.168.0.0/24 -p tcp --dport ! 80 -m state --state ! INVALID -j ACCEPT
# Demande à la table NAT de modifier les paquets sortants
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j MASQUERADE
################################################################################
# sécurité passerelle
################################################################################
# on autorise toutes les connexionx établies ou relatives (ftp)
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
# free TV ports RTSP
iptables -A INPUT -i eth0 -p udp --dport 1024:65535 -s 212.27.38.253 -j ACCEPT
iptables -A OUTPUT -o eth0 -p udp --dport 1024:65535 -d 212.27.38.253 -j ACCEPT
iptables -A OUTPUT -o eth0 -p udp --dport 554 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 1024:65535 -s 212.27.38.253 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 554 -j ACCEPT
# résolution de nom
iptables -A OUTPUT -o eth0 --protocol udp --destination-port 53 -j ACCEPT
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 53 -j ACCEPT
# DHCP
iptables -A OUTPUT -o eth0 --protocol udp --destination-port 67 -j ACCEPT
# http
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 80 -j ACCEPT
#https
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 443 -j ACCEPT
# pop3
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 110 -j ACCEPT
# smtp
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 25 -j ACCEPT
# ftp
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 21 -j ACCEPT
#section serveur FTP
iptables -A INPUT -i eth0 --protocol tcp --destination-port 21 -j ULOG
iptables -A INPUT -i eth0 --protocol tcp --destination-port 21 -j ACCEPT
#connexion radio et macromedia
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 1441 -j ACCEPT
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 1755 -j ACCEPT
# proxy
iptables -A OUTPUT -o eth0 --protocol tcp --destination-port 8080 -j ACCEPT
# amsn le port 6891 6892 etc permette le transfert de fichier
iptables -A OUTPUT -o eth0 -p tcp --dport 1863 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 6891:6892 -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --dport 6891:6892 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 6891:6892 -j ULOG
iptables -A OUTPUT -o eth0 -p tcp --dport 6891:6892 -j ULOG
#Ping
iptables -A OUTPUT -p icmp -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p icmp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p icmp -m state --state NEW -m limit --limit 10/min -j ACCEPT
# NTPD (synchro tps avec internet)
iptables -A OUTPUT -o eth0 --protocol udp --destination-port 123 -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP
iptables -A FORWARD -j DROP
iptables -L -n -v >/tmp/iptables
cut -c12- /tmp/iptables > /root/iptables
rm -f /tmp/iptables
echo "terminé"

en espérant une aide

lionel

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

pas de ftp dans le LAN iptables

Sujets relatifs
iptables redirection en local	[ iptables ] bad built-in chain name
iptables match u32	Problèmes de règles IPtables...
Iptables + Relai UDP	Iptables
[IPTABLES] Utiliser des adresses IP publiques sur un LAN (résolu)	Forwarder a l'interieur de son LAN avec iptables :)
[IPTABLES] Structure script firewall <---> LAN sans DMZ	[iptables] gérer un LAN d'IP publiques
Plus de sujets relatifs à : pas de ftp dans le LAN iptables

Page générée en 0.081 secondes