probleme avec iptables : modules (resolu), forwarding maintenant

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : probleme avec iptables : modules (resolu), forwarding maintenant

dam1330

...

bonjour,

toutes lignes iptables qui l'argument --state me retournent :

iptables: No chain/target/match by that name

comme:

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

le reste marche bien, je peux le vérifier avec iptables -L

j'ai bien lu la doc un peu partout, mais ils disent que ca peut venir de plein de chose, comme un module pas chargé, mais la encore je ne sais pas quel est le module en question

------------------------------------------------- resolu ------------------------------------------------------------

cf 4 eme poste pour le forwarding

Message édité par dam1330 le 27-04-2006 à 11:37:27

Publicité

dam1330

...

bon bein j'ai trouvé tout seul, le modula doit avoir changé de nom:
j'avais lu ca:
CONFIG_IP_NF_MATCH_STATE - Il s'agit d'une des plus importantes nouveautés vis-à-vis d'ipchains. Ce module permet de faire de la correspondance d'état sur les paquets. Par exemple, si vous avez déjà observé un trafic dans les deux directions sur une connexion TCP, les paquets concernés seront repérés par la mention ESTABLISHED.

dans mon noyau 2.6.16.X il s'appelle CONFIG_NETFILTER_XT_MATCH_STATE
et comme y a écrit NEW devant je l'avais pas mis

Ted41

merci pour l'explication, ca va me servir

dam1330

...

bon maintenant ca marche pas mal, sauf deux truc que je ne comprends pas.
voici mon script actuel, je me suis inspiré un peu partout

reseau

PC1(192.168.0.3) ---------- (eth0:192.168.0.2)ROUTEUR(eth1:192.168.5.10)---------------PC2(192.168.5.11)

Code :

#!/bin/sh
# /etc/network/if-pre-up.d/iptables-start
# Script qui démarre les règles de filtrage "iptables"
# REMISE à ZERO des règles de filtrage
iptables -F
iptables -t nat -F
# DEBUT des "politiques par défaut"
# Je veux que les connexions entrantes soient bloquées par défaut
iptables -P INPUT DROP
# Je veux que les connexions destinées à être forwardées
# soient bloquées par défaut
iptables -P FORWARD DROP
# Je veux que les connexions sortantes soient bloquées par défaut
iptables -P OUTPUT DROP
# FIN des "politiques par défaut"
###################
# pas de spoofing
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
then
for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $filtre
done
fi
###################
###################
# pas de synflood
if [ -e /proc/sys/net/ipv4/tcp_syncookies ] ; then
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
fi
###################
# DEBUT des règles de filtrage
#on accepte le forward
#iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
#iptables -A FORWARD -o eth1 -i eth0 -j ACCEPT
# Pas de filtrage sur l'interface de "loopback"
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# J'accepte le protocole ICMP (i.e. le "ping" ) uniquement venant de l'interface eth0
#iptables -A INPUT -p icmp -i eth0 -j ACCEPT
iptables -A OUTPUT -p icmp -o eth0 -j ACCEPT
iptables -A OUTPUT -p icmp -o eth1 -j ACCEPT
# J'accepte le protocole IGMP (pour le multicast)
iptables -A INPUT -p igmp -j ACCEPT
# J'accepte les packets entrants et sortants relatifs à des connexions déjà établies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# Décommentez la ligne suivante pour que le serveur SSH éventuel
# soit joignable de l'extérieur
iptables -A INPUT -p tcp --dport 22 -i eth0 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 22 -o eth0 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -i eth1 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 22 -o eth1 -j ACCEPT
#Auto Ban
iptables -I INPUT -p tcp --destination-port 22 -i eth0 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --destination-port 22 -i eth0 -m state --state NEW -m recent --update --seconds 300 --hitcount 3 -j DROP
#On accepte le surf sur la machine locale
iptables -A OUTPUT -o eth0 -p tcp --destination-port 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --source-port 80 -j ACCEPT
# FIN des règles de filtrage
# DEBUT des règles pour le partage de connexion (i.e. le NAT)
# Décommentez la ligne suivante pour que le système fasse office de
# "serveur NAT" et remplaçez "eth0" par le nom de l'interface connectée
# à Internet
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# FIN des règles pour le partage de connexion (i.e. le NAT)
# DEBUT des règles de "port forwarding"
# Décommentez la ligne suivante pour que les requêtes TCP reçues sur
# le port 80 de l'interface eth0 soient forwardées à la machine dont
# l'IP est 192.168.0.3 sur son port 80 (la réponse à la requête sera
# forwardée au client)
iptables -t nat -A PREROUTING -d 192.168.0.2 -p tcp --dport 80 -j DNAT --to-destination 192.168.5.11:80
# FIN des règles de "port forwarding"

la deniere regle ne fonctionne pas, je n'arrive pas a joindre mon serveur web, je me connecte depuis le pc1 en faisant http://192.168.0.2 et ca me fait "connectiong to ....." pendant une eternité sur firefox

ensuite je voudrais permettre UNIQUEMENT le WEB sur l'interface locale:
je n'y arrive pas. c'est tout ou rien.

avec ca:
iptables -P FORWARD DROP
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -o eth1 -i eth0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

tout passe (normal), ne peut on pas accepter que le port 80 ?

D'autres commentaires sur mon script ?

Message édité par dam1330 le 27-04-2006 à 12:18:08

dam1330

...

bon bien j'avance a petit pas: pour fowarder que le net j'ai fait:
iptables -A FORWARD -p tcp --destination-port www -j ACCEPT
iptables -A FORWARD -p tcp --source-port www -j ACCEPT

iptables -A FORWARD -p udp --destination-port 53 -j ACCEPT
iptables -A FORWARD -p udp --source-port 53 -j ACCEPT

la plus rien ne passe sur le local sauf le net

pour le ftp (client) j'ai mis
iptables -A FORWARD -p tcp --destination-port 20:21 -j ACCEPT
iptables -A FORWARD -p tcp --source-port 20:21 -j ACCEPT

je peux connecter sur ftpperso.free.fr, mais pas sur les ftp passifs:
Impossible de récupérer ftp://ftp.nerim.net/debian-marill [...] elease.gpg Impossible de se connecter au port en mode passif.

et par ailleurs j'ai toujours pas de port forwarding, je peux pas joindre mon serveru web !!!
EDIT: bon enfait je pensais avoir mis YES dans /etc/network/options pour ip_forward mais en fait c'etais non

Message édité par dam1330 le 27-04-2006 à 16:24:13

Ted41

"bon enfait je pensais avoir mis YES dans /etc/network/options pour ip_forward mais en fait c'etais non" -> donc ca marche maintenant?
je suis pas un expert d'iptables, mais je peux peut etre te filer un coup de main

Message édité par Ted41 le 27-04-2006 à 22:31:54

dam1330

...

oui ca marche maintenant

il me reste que le ftp passif

Message cité 1 fois

Mikouze

Universe Owner

dam1330 a écrit :

oui ca marche maintenant

il me reste que le ftp passif

modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT

Message édité par Mikouze le 27-04-2006 à 23:15:56

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

probleme avec iptables : modules (resolu), forwarding maintenant

Sujets relatifs
[Résolu] Supprimer les fichiers *abc récursivement	Problème Asterisk + Festival
probleme asterisk	Problème d'accès à Ubuntu et Windows
Probleme ArchLinux et Madwifi	[Résolu] Problème d'identification Samba
probleme avec FR1 [ENBD] erreur lors de la compilation d'un module	[Résolu]Lecture audio simultanée impossible Fedora core 3
[problème] serveur postfix
Plus de sujets relatifs à : probleme avec iptables : modules (resolu), forwarding maintenant

Page générée en 0.052 secondes