problème entre ntp et iptables

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : problème entre ntp et iptables

redvivi

Salut à tous !

Je rencontre un problème sur une passerelle/firewall Debian avec openntp, quand j'utilise ntpdate-debian avec le script de firewalling ci-joint, impossible d'obtenir une synchronisation avec les serveurs internet (Operation non permitted), maintenant si j'ouvre toutes les portes du firewall tout fonctionne, pourtant j'ai ouvert les ports 123 tcp/udp (normalement udp mais au cas ou j'ai mis le tcp) Voici mon script de firewalling qui bloque le ntp:

Code :

# Nous vidons les chaînes:
iptables -F
# Nous supprimons d'éventuelles chaînes personnelles :
iptables -X
# Nous les faisons pointer par défaut sur DROP
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
# Nous faisons de même avec toutes les autres tables,
#à savoir "nat" et "mangle", mais en les faisant pointer
# par défaut sur ACCEPT. Ca ne pose pas de problèmes
# puisque tout est bloqué au niveau "filter"
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
# Nous considérons que la machine elle-même est sûre
# et que les processus locaux peuvent communiquer entre eux
# via l'interface locale :
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# Nous considérons que notre réseau local est sûr
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A INPUT -i eth2 -j ACCEPT
iptables -A OUTPUT -o eth2 -j ACCEPT
# Translation d'adresses pour tout ce qui traverse la passerelle
# en sortant par eth1 (Accès Internet)
#echo " "
#echo "Application du partage de connexion Internet..."
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
# Toutes les connexions qui sortent du LAN vers le Net
# sont acceptées
#echo "Mise en place de l'ouverture dynamique de ports..."
iptables -A FORWARD -i eth2 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Seules les connexions déja établies ou en relation avec
# des connexions établies sont acceptées venant du Net vers le LAN
iptables -A FORWARD -i eth1 -o eth2 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Autorisation des requêtes DNS sur toutes les interfaces
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --sport 53 -j ACCEPT
# Accès Internet du serveur
iptables -A OUTPUT -o eth1 -p tcp -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
#Blocage des outils de monitoring
iptables -I INPUT -i eth1 -p tcp --dport 3000 -j DROP
iptables -I INPUT -i eth1 -p tcp --dport 3001 -j DROP
#Autorisation des envois SMTP locaux
iptables -A OUTPUT -o eth1 -p tcp --sport 1024: -d mail.icam.fr --dport 25 -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp -s mail.icam.fr --sport 25 --dport 1024: -m state --state RELATED,ESTABLISHED -j ACCEPT
#Autorisation des accès SSH depuis le Net
iptables -A INPUT -p tcp --dport 2145 -i eth1 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 2145 -o eth1 -j ACCEPT
#On accepte la transmission des erreurs de ping
iptables -A INPUT -p icmp -m state --state RELATED -j ACCEPT
#Autorisation du protocole NTP (synchronisation des horloges)
iptables -A INPUT -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -p udp --sport 123 -j ACCEPT
iptables -A INPUT -p tcp --dport 123 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 123 -j ACCEPT
#Blocage des protocoles
iptables -I FORWARD -m layer7 --l7proto edonkey -j DROP
iptables -I FORWARD -m layer7 --l7proto bittorrent -j DROP
iptables -I INPUT -i eth1 -m layer7 --l7proto edonkey -j DROP
iptables -I OUTPUT -o eth1 -m layer7 --l7proto edonkey -j DROP
iptables -I INPUT -i eth1 -m layer7 --l7proto bittorrent -j DROP
iptables -I OUTPUT -o eth1 -m layer7 --l7proto bittorrent -j DROP
iptables -I INPUT -i eth1 -m layer7 --l7proto dhcp -j DROP
iptables -I OUTPUT -o eth1 -m layer7 --l7proto dhcp -j DROP
iptables -I FORWARD -m layer7 --l7proto dhcp -j DROP
iptables -I FORWARD -m layer7 --l7proto gnutella -j DROP
iptables -I FORWARD -m layer7 --l7proto gnutella -j DROP
iptables -I INPUT -i eth1 -m layer7 --l7proto gnutella -j DROP
iptables -I OUTPUT -o eth1 -m layer7 --l7proto gnutella -j DROP

Pour ouvrir les portes je mets les policy en accept et un exit après la définition des policies

Merci d'avance !
RedVivi

Message édité par redvivi le 06-10-2007 à 16:24:56

Publicité

o'gure

Modérateur
Multi grognon de B_L

Déja tu peux utiliser -j LOG pour logguer, ca pourrait t'aider à débugguer et savoir exactement quelle règle drop ton NTP

---------------
Relax. Take a deep breath !

o'gure

Modérateur
Multi grognon de B_L

Si j'ai bien compris :
- tu as ce firewall, et tu voudrais mettre à jour son horloge mais avec ce script, ca marche pas ?

---------------
Relax. Take a deep breath !

redvivi

Ou trouve -t-on les logs dans ce cas ? il faut mettre le -J LOG pour chaque règle ?

o'gure

Modérateur
Multi grognon de B_L

Tu pourrais mettre le résultat de la commande
iptables -t filter -L -v -n ?

---------------
Relax. Take a deep breath !

o'gure

Modérateur
Multi grognon de B_L

Tu retrouves dans /var/log
Pour mettre -j LOG, pour une règle précise tu recopies la ligne juste avant et au lieu de mettre -j ACCEPT tu mets -j LOG

---------------
Relax. Take a deep breath !

o'gure

Modérateur
Multi grognon de B_L

Hmmm, je crois avoir trouvé :

#Autorisation du protocole NTP (synchronisation des horloges)
iptables -A INPUT -p udp --dport 123 -j ACCEPT
iptables -A OUTPUT -p udp --sport 123 -j ACCEPT
iptables -A INPUT -p tcp --dport 123 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 123 -j ACCEPT

En INPUT c'est --sport 123 et non --dport et inversement en OUTPUT

D'ailleurs si j'étais toi j'utiliserais le 'stateful':
- je garderais la règle en OUTPUT (avec -m state --state NEW,ESTABLISHED)
- je ne mettrais rien en INPUT, seulement : -p udp -m state --state ESTABLISHED -j ACCEPT (là tu n'as que pour tcp)

et effectivement, tu n'as pas besoin de tcp pour ntp dans ce cas là, c'est uniquement udp.

Message édité par o'gure le 06-10-2007 à 17:17:28

---------------
Relax. Take a deep breath !

redvivi

Tu utiliserai le stateful sur le port 123 udp seulement ? pourtant j'ai déjà une règle qui me permet de faire du stateful (si j'ai bien compris, celà consiste à ouvrir "dynamiquement" les ports sur demande de connexion du serveur lui meme vers internet cest sa ?)

o'gure

Modérateur
Multi grognon de B_L

Tu as une règle pour le stateful effectivement mais tu as précisé le protocol TCP uniquement.

iptables -A INPUT -i eth1 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

et pour ton problème c'est que tu as inversé les sport/dport...

Donc soit tu enlèves -p tcp sur cette ligne, soit tu en refais une autre pour l'UDP. Et oui j'utilise ca. mon squelette est

1. politique par défaut : DROP en INPUT, OUTPUT (et forward)
2. j'accepte tout ce qui est ESTABLISHED/RELATED en INPUT, OUTPUT et en FORWARD.
3. J'ouvre un port par un --state NEW en FORWARD (sens LAN->internet) ou en OUTPUT.

Le stateful n'est pas uniquement pour l'ouverture de port dynamique (genre FTP avec la négociation de port, ceci utilise l'état RELATED.) mais pour le suivit des protocoles TCP ou UDP eux meme.

Message édité par o'gure le 06-10-2007 à 18:32:24

---------------
Relax. Take a deep breath !

o'gure

Modérateur
Multi grognon de B_L

En fait le stateful (sans parler d'ouverture de port dynamique pour FTP par exemple c'est :
- On autorise les paquets qui sont en l'état NEW dans un sens (donc qui initie une session TCP ou undébut de flux UDP)
- On autorise automatiquement le trafic retour symétrique.

Par exemple dans ton cas tu veux ouvrir le port UDP 123 en output (--dport) et en input (--sport). Si tu fais ca, les équipements d'internet pourront émettre des paquets avec un port source UDP 123 et ces paquets franchiront ton firewall.

Si on prend le port 80 en TCP en faisant pareil, tous les paquets ayant un port source = 80 depuis internet vers ton PC ne sera pas supprimé par ton firewall. Donc ca remet en cause l'intégralité de ton filtrage.

=> TOUJOURS mettre du statefull et n'ouvrir dans le sens INTERNET => LAN que si tu mets un service a disposition à internet, et tu filtre uniquement dans ce cas sur le port dport.

---------------
Relax. Take a deep breath !

Publicité

o'gure

Modérateur
Multi grognon de B_L

http://christian.caleca.free.fr/netfilter.html

---------------
Relax. Take a deep breath !

o'gure

Modérateur
Multi grognon de B_L

Et je ne sais toujours pas si ca a résolu ton probleme l'inversion --sport et --dport ??

---------------
Relax. Take a deep breath !

redvivi

Heum...j'ai planté mon accès distant, je te dis ça dimanche soir :-s

Message édité par redvivi le 06-10-2007 à 21:16:18

o'gure

Modérateur
Multi grognon de B_L

[:el g]

---------------
Relax. Take a deep breath !

redvivi

Finalement l'inversion des sport et dport n'a pas résolu le problème :s

Taz

bisounours-codeur

tu peux virer tes règles pour NTP et corriger celle là :

#
#
iptables -A INPUT -i eth1 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

forcément si tu laisses pas l'UDP, sntp marche beaucoup moins bien.

o'gure

Modérateur
Multi grognon de B_L

pourtant c'est sûr qu'il fallait inverser. T'as regardé en rajoutant des règles identiques avec un --j LOG ?

Message édité par o'gure le 08-10-2007 à 18:59:29

---------------
Relax. Take a deep breath !

redvivi

Je comprends pas, j'ai ajouté cette ligne dans mon syslog:

Code :

kern.warning /var/log/iptables.log

et j'ai ajouté chaque ligne en remplaçant -j DROP par -j LOG --log-prefix="iptables" (--log-level=0) mais rien n'y fait je n'ai pas de trace dans les logs

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

problème entre ntp et iptables

Sujets relatifs
Petit problème avec IPTABLES	[Résolu] Partage de connexion ne fonctionne pas
iptables probleme filter kernel	probleme avec iptables : modules (resolu), forwarding maintenant
[Iptables] probleme de NAT	problème passerelle internet (Iptables, je pense)
probleme iptables	Problème avec le Arno's IPTABLES Firewall Script
Problème avec les log d'iptables	Iptables/Netfilter problème avec les hooks (décision routage erronée)
Plus de sujets relatifs à : problème entre ntp et iptables

Page générée en 0.134 secondes