Forum |  HardWare.fr | News | Articles | PC | S'identifier | S'inscrire | Shop Recherche
1127 connectés 

  FORUM HardWare.fr
  Linux et OS Alternatifs
  réseaux et sécurité

  Pb script iptables : forward pop3

 


 Mot :   Pseudo :  
 
 Page :   1  2
Page Précédente
Auteur Sujet :

Pb script iptables : forward pop3

n°204532
Profil sup​primé
Posté le 23-12-2002 à 16:24:10  answer
 

Je sais qu'il y a eu maintes sujets, et avant de poster, j'ai recherché sur le net ! Et vu que plusieurs têtes pensantes valent mieux qu'une ...
 
Donc le problème est que je n'arrive a récupérer mes mails par pop a travers ma passerelle !
 
voici le script :
pour infos, $eth = LAN, $ppp = net
 

Code :
  1. $IPT -P INPUT ACCEPT
  2. $IPT -P OUTPUT ACCEPT
  3. $IPT -P FORWARD ACCEPT
  4. # C'est normal puisque tout est bloque au niveau de la table filter
  5. $IPT -F
  6. $IPT -t nat -F
  7. $IPT -X
  8. $IPT -t  nat -X
  9. $IPT -t nat -P PREROUTING ACCEPT
  10. $IPT -t nat -P POSTROUTING ACCEPT
  11. $IPT -t nat -P OUTPUT ACCEPT
  12. echo 1 > /proc/sys/net/ipv4/ip_forward
  13. if [ "$1" = "flush" ]
  14. then
  15.         exit 0
  16. fi
  17. # On drop tout par defaut
  18. $IPT -P INPUT DROP
  19. $IPT -P OUTPUT DROP
  20. $IPT -P FORWARD DROP
  21. # IP Masquering
  22. $IPT -t nat -A POSTROUTING -s $minet    -o $ppp -j MASQUERADE
  23. $IPT -t nat -A POSTROUTING -s $petitgus -o $ppp -j MASQUERADE
  24. # spoofing
  25. if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
  26. then
  27. for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
  28. do
  29.         echo 1 > $filtre
  30. done
  31. fi
  32. # On accepte tous en local et sur le reseau
  33. $IPT -A INPUT  -i lo   -j ACCEPT
  34. $IPT -A OUTPUT -o lo   -j ACCEPT
  35. $IPT -A INPUT  -i $eth -j ACCEPT
  36. $IPT -A OUTPUT -o $eth -j ACCEPT
  37. #net
  38. $IPT -A INPUT  -i $ppp -m state --state ESTABLISHED \
  39.                -p tcp --sport 80 -j ACCEPT
  40. $IPT -A OUTPUT -o $ppp -m state --state NEW,ESTABLISHED \
  41.                -p tcp --dport 80 -j ACCEPT
  42. # Dns
  43. $IPT -A INPUT  -i $ppp -p udp --sport 53 -j ACCEPT
  44. $IPT -A OUTPUT -o $ppp -p udp --dport 53 -j ACCEPT
  45. $IPT -A INPUT  -i $ppp -p tcp --sport 53 -j ACCEPT
  46. $IPT -A OUTPUT -o $ppp -p tcp --dport 53 -j ACCEPT
  47. # Proxy
  48. $IPT -A INPUT  -i $eth -p tcp --sport 3128 -j ACCEPT
  49. $IPT -A OUTPUT -o $eth -p tcp --dport 3128 -j ACCEPT
  50. # Ssh
  51. $IPT -A INPUT  -i $eth -s $minet -m state --state NEW,ESTABLISHED \
  52.                -p tcp --sport 22 -j ACCEPT
  53. $IPT -A OUTPUT -o $eth -d $minet -m state --state ESTABLISHED \
  54.                -p tcp --dport 22 -j ACCEPT
  55. # Pop3
  56. $IPT -A FORWARD -i $eth -o $ppp -p tcp --dport 110 \
  57.                 -m state --state NEW,ESTABLISHED -j ACCEPT
  58. $IPT -A FORWARD -i $ppp -o $eth -p tcp --sport 110 \
  59.                 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Si kekun a une idée ...


Message édité par Profil supprimé le 23-12-2002 à 16:25:16
mood
Publicité
Posté le 23-12-2002 à 16:24:10  profilanswer
 

n°204536
e_esprit
Posté le 23-12-2002 à 16:32:43  profilanswer
 

Oooooooohh, un fan des Musclés !!!
 
Sinon, pour ton pb, c'est bizarre, pisque normalement, si accepetes toute connexions vers l'exterieur de ton initiative (NEW, ESTABLISHED), ta demande pop doit en faire partie...
Sinon je suis desole mais je lis pas le netfilter couramment...


---------------
Ce n'est point ma façon de penser qui a fait mon malheur, c'est celle des autres.
n°205004
Profil sup​primé
Posté le 25-12-2002 à 19:26:05  answer
 

Mais bourdel, y a bien des dieux en iptables ici ! nan ?

n°205005
Kuei-Saho
Posté le 25-12-2002 à 19:32:08  profilanswer
 

Kurt Haribo a écrit :

Mais bourdel, y a bien des dieux en iptables ici ! nan ?


 
iptables ca fait mal a la tete. Moi aussi faut que je configure mon firewall et j'arrette pas de repousser :whistle:.
 
Bonne chance  :hello:  

n°205006
Profil sup​primé
Posté le 25-12-2002 à 19:37:29  answer
 

Kuei-Saho a écrit :


 
iptables ca fait mal a la tete. Moi aussi faut que je configure mon firewall et j'arrette pas de repousser :whistle:.
 
Bonne chance  :hello:    


 
Merci !  
 
J'arrive pas à comprendre pourquoi il marche pas ce *ù$^*ù de script !

n°205040
le passant
Posté le 26-12-2002 à 00:54:24  profilanswer
 

Autorise aussi le protocol udp pour le pop3, je crois qu'il l'utilise énormement, donc...
 
Une petite remarque, sinon : je trouve ta gestion du dns un peu maladroite. Si tu n'as que des postes qui doivent accèder au net (comme le fait penser ton script, ou alors c'est encore pire, il te manque une dmz).
 
Ainsi, tu prends le risque de te prendre quelques baffes sur ton dns.
Un petit moyen de le gérer plus "secure" :
 

Code :
  1. for server in $DNS1 $DNS2; do
  2.    iptables -A INPUT -i ppp0 -p udp --sp 53 --dp 1024: -s $server -m state --state ESTABLISHED -j ACCEPT
  3.    iptables -A OUTPUT -o ppp0 -p udp --sp 1024: --dp 53 -d $server -m state --state NEW,ESTABLISHED -j ACCEPT
  4. done


 
DNS 1 et 2 sont ceux de ton FAI.
 
Vali vala.
 
Demain, il sera assez tôt pour d'autres remarques si nécessaire.
 
Le passant.
 
Edit : pas pu attendre demain ;)
Et puis, je comprends pas trop pourquoi tu autorise le port 80 si tu passes par un proxy ???


Message édité par le passant le 26-12-2002 à 00:58:20
n°205047
C_Po_Ma_Fa​ute
Posté le 26-12-2002 à 03:43:04  profilanswer
 

Pour le DNS : là c'est ouvert de chez ouvert, je ne pense pas que tu souhaites que ton DNS puisse être accessible à toute la planète, il pourrait se viander méchamment, et puis si tout le monde laisse ouvert son DNS comme ça, ça peut faire mal !!!  
Je te laisse imaginer les possibilités pour des petits malins si par exemple tous les abonnés de ton FAI étaient dans le même cas.
 

Le passant a écrit :


 
(...)
 
Et puis, je comprends pas trop pourquoi tu autorise le port 80 si tu passes par un proxy ???
 


 
 

Code :
  1. (...)
  2. #net
  3. $IPT -A INPUT  -i $ppp -m state --state ESTABLISHED \
  4.               -p tcp --sport 80 -j ACCEPT
  5. $IPT -A OUTPUT -o $ppp -m state --state NEW,ESTABLISHED \
  6.               -p tcp --dport 80 -j ACCEPT
  7. (...)
  8. # Proxy
  9. $IPT -A INPUT  -i $eth -p tcp --sport 3128 -j ACCEPT
  10. $IPT -A OUTPUT -o $eth -p tcp --dport 3128 -j ACCEPT 
  11. (...)


 
Visiblement seul le port du proxy est autorisé pour les machines du réseau, c'est seulement du côté d'internet que le port 80 passe.
 
 

n°205052
Profil sup​primé
Posté le 26-12-2002 à 09:46:47  answer
 

c_po_ma_faute a écrit :


 
Visiblement seul le port du proxy est autorisé pour les machines du réseau, c'est seulement du côté d'internet que le port 80 passe.
 


 
vi.
 
pour le dns, j'avais pas fait gaffe ! je te remercie je vais corriger cela ! :jap:

n°205054
Profil sup​primé
Posté le 26-12-2002 à 10:04:38  answer
 

Le passant a écrit :

Autorise aussi le protocol udp pour le pop3, je crois qu'il l'utilise énormement, donc...
 


 
j'ai autorisé le protocole udp pour le pop3, mais ca change ke dalle ! c'est pas possible, y a bien une erreur quelque part mais où ?

n°205059
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-12-2002 à 10:51:46  profilanswer
 

Essayes de lancer ton script en mode "débugage" ... rajoutes un -x à la ligne (la première du fichier normalement) où tu indiques quel interpréteur doit être choisi pour executer ton script ...

mood
Publicité
Posté le 26-12-2002 à 10:51:46  profilanswer
 

n°205062
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-12-2002 à 10:55:41  profilanswer
 

Pourquoi tu utilises pas à fond les capacités de fw STATEFUL qu'offre Netfilter  ? Ca te simplifierai la tache, crois moi ...

n°205082
Kuei-Saho
Posté le 26-12-2002 à 11:58:15  profilanswer
 

Question conne qui a rien a voir, mais vous faites quoi dans la vie pour connaitre tout ca sur IPTABLE ?
Moi je suis ingenieur et iptable je maitrise que dale (pourtant j'en ai deja fais un peu lors de mes etudes).

n°205087
le passant
Posté le 26-12-2002 à 12:16:28  profilanswer
 

Ingénieur aussi, mais j'ai du me monter une passerelle à la main pour me rendre compte que c'était bien une incompatibilité modem-fai qui m'empèchait de surfer ;).
 
Et pis, c'est marrant  :D .
 
Et pis j'ai encore plein de lacunes  :lol: .
 
Le passant.

n°205090
le passant
Posté le 26-12-2002 à 12:32:01  profilanswer
 

Pour ton problème de pop3, ne précise que les interfaces d'entrées, il a peut-être du mal la :
 

Code :
  1. $IPT -A FORWARD -i $ppp -p tcp --dport 110 \
  2.                -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Pour ceux qui vient du LAN essaye avec ceci dans un premier temps :
 

Code :
  1. $IPT -A FORWARD -i $eth -p tcp \
  2.                -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


 
Ne surtout pas oublier le smtp si tu veux envoyer des mails :
 

Code :
  1. $IPT -A FORWARD -i $ppp -p tcp --dport 25 \
  2.                -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Si ça fonctionne, tu pourras durcir par la suite tes règles sur -i $eth.
Essaye toujours ce qui précède.
 
Le passant.

n°205094
Profil sup​primé
Posté le 26-12-2002 à 12:43:33  answer
 

Le passant a écrit :

Pour ton problème de pop3 ...


 
Ca ne marche toujours pas !

n°205098
le passant
Posté le 26-12-2002 à 12:52:04  profilanswer
 

Ah !!!
 
J'arrive à la fin des solutions raisonnables à ma connaissance...
 
Essaye simplement comme ceci :
 

Code :
  1. $IPT -A FORWARD -i $eth -j ACCEPT
  2. $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Histoire de voir si ça provient bien de tes règles iptables, ou si c'est autre chose.
 
Le passant.

n°205100
Profil sup​primé
Posté le 26-12-2002 à 13:05:07  answer
 

Le passant a écrit :

Ah !!!
 
J'arrive à la fin des solutions raisonnables à ma connaissance...
 
Essaye simplement comme ceci :
 

Code :
  1. $IPT -A FORWARD -i $eth -j ACCEPT
  2. $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Histoire de voir si ça provient bien de tes règles iptables, ou si c'est autre chose.
 
Le passant.


 
Oui ca marche ! Par contre le fait de rajouter le port au forward fait que ca marche plus ! pourquoi ?? :cry:

n°205104
le passant
Posté le 26-12-2002 à 13:23:40  profilanswer
 

Bon, donc, c'est bien les règles qui foirent... Nous avons du mal les écrire (toi dans un premier temps et pis moi aussi our la suite).
 
Reste plus qu'a trouver la bonne solution, et puis si un vrai expert passait dans le coin... son aide serait la bienvenue :).
 
Bon, on va effectuer un petit essai :
 
D'abord ceci :

Code :
  1. $IPT -A FORWARD -i $eth -j ACCEPT


 
Ensuite :

Code :
  1. $IPT -A FORWARD -p tcp --dp 110 -m state --state ESTABLISHED,RELATED -j ACCEPT
  2. $IPT -A FORWARD -p tcp --dp 25 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Inutile de préciser l'interface, l'ordre d'éxécution des règles impliquant que tout ce qui n'est pas local (donc passant par eth et donc en accept) est traité par le reste.
 
Si ça ne marche pas, essaye avec --sp àa la place de --dp, mais bon, j'y crois pas trop.
 
Le passant.

n°205112
Profil sup​primé
Posté le 26-12-2002 à 13:41:41  answer
 

Le passant a écrit :

Bon, donc, c'est bien les règles qui foirent...  


 
Toujours pareil, ca marche pas ! on dirait qu'il bloque sur le port !

n°205114
le passant
Posté le 26-12-2002 à 13:45:49  profilanswer
 

Que ce soit --sp ou --dp ??? Rah !!! Pourtant ça devrait passer tranquillou.
 
Est-ce que pop3 et smtp sont bien les services 110 et 25 dans ton /etc/services ???
 
Sinon, je vois pas trop.
 
Le passant.

n°205115
Profil sup​primé
Posté le 26-12-2002 à 13:54:29  answer
 

Le passant a écrit :

Que ce soit --sp ou --dp ??? Rah !!! Pourtant ça devrait passer tranquillou.
 
Est-ce que pop3 et smtp sont bien les services 110 et 25 dans ton /etc/services ???
 
Sinon, je vois pas trop.
 
Le passant.


 
oui.
Au fait, merci de t'intéresser à mon problème :jap:


Message édité par Profil supprimé le 26-12-2002 à 13:59:00
n°205119
le passant
Posté le 26-12-2002 à 14:08:20  profilanswer
 

Kurt Haribo a écrit :


oui.
Au fait, merci de t'intéresser à mon problème :jap:


 
De rien, il m'intrigue énormément.
 
Chez moi, j'ai essayé ceci :
 

Code :
  1. $IPTABLES -A allowed -p tcp --syn -j ACCEPT  # Une approche tcp "normale"
  2. $IPTABLES -A allowed -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
  3. $IPTABLES -A allowed -p tcp -j DROP          # Tant pis pour les autres
  4. $IPTABLES -A tcp_packets -p tcp --sport 80 -j allowed  # HTTP
  5. $IPTABLES -A tcp_packets -p tcp --sport 110 -j allowed # POP3
  6. $IPTABLES -A tcp_packets -p tcp --sport 25 -j allowed # SMTP
  7. $IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT                          # LAN --> EXT
  8. $IPTABLES -A FORWARD -p tcp -j tcp_packets                            # LAN <-- EXT


 
Et ça marche très bien, donc, comme c'est la même chose que je t'ai dit de faire plus haut... je vois pas.
 
On peut le traduire dans ton cas par :

Code :
  1. $IPT -A FORWARD -p tcp --sport 110 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Le passant.
 
Edit : en dport, ça ne marche pas du tout !!!!
j'ai essayé, et ça ne passe qu'en sport.


Message édité par le passant le 26-12-2002 à 14:13:08
n°205123
le passant
Posté le 26-12-2002 à 14:22:20  profilanswer
 

tu peux remettre ton script avec les modifs, stp, je vois plus trop ou on en est   :ange: .
 
Le passant.

n°205125
Profil sup​primé
Posté le 26-12-2002 à 14:36:05  answer
 

et voila :
 
 

Code :
  1. # On drop tout par defaut
  2. $IPT -P INPUT DROP
  3. $IPT -P OUTPUT DROP
  4. $IPT -P FORWARD DROP
  5. # IP Masquering
  6. $IPT -t nat -A POSTROUTING -s $minet    -o $ppp -j MASQUERADE
  7. $IPT -t nat -A POSTROUTING -s $petitgus -o $ppp -j MASQUERADE
  8. # spoofing
  9. if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
  10. then
  11. for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
  12. do
  13.         echo 1 > $filtre
  14. done
  15. fi
  16. # On accepte tous en local et sur le reseau
  17. $IPT -A INPUT  -i lo   -j ACCEPT
  18. $IPT -A OUTPUT -o lo   -j ACCEPT
  19. $IPT -A INPUT  -i $eth -j ACCEPT
  20. $IPT -A OUTPUT -o $eth -j ACCEPT
  21. # Net
  22. $IPT -A INPUT  -i $ppp -m state --state ESTABLISHED \
  23.                -p tcp --sport 80 -j ACCEPT
  24. $IPT -A OUTPUT -o $ppp -m state --state NEW,ESTABLISHED \
  25.                -p tcp --dport 80 -j ACCEPT
  26. # Dns
  27. for server in $dns1 $dns2; do
  28.         $IPT -A INPUT  -i $ppp -p udp --sport 53 -s $server \
  29.                        -m state --state ESTABLISHED -j ACCEPT
  30.         $IPT -A OUTPUT -o $ppp -p udp --dport 53 -d $server \
  31.                        -m state --state NEW,ESTABLISHED -j ACCEPT
  32.         $IPT -A INPUT  -i $ppp -p tcp --sport 53 -s $server \
  33.                        -m state --state ESTABLISHED -j ACCEPT
  34.         $IPT -A OUTPUT -o $ppp -p tcp --dport 53 -d $server \
  35.                        -m state --state NEW,ESTABLISHED -j ACCEPT
  36. done
  37. # Proxy
  38. $IPT -A INPUT  -i $eth -p tcp --sport 3128 -j ACCEPT
  39. $IPT -A OUTPUT -o $eth -p tcp --dport 3128 -j ACCEPT
  40. # Ssh
  41. $IPT -A INPUT  -i $eth -s $minet -m state --state NEW,ESTABLISHED \
  42.                -p tcp --sport 22 -j ACCEPT
  43. $IPT -A OUTPUT -o $eth -d $minet -m state --state ESTABLISHED \
  44.                -p tcp --dport 22 -j ACCEPT
  45. # Pop3
  46. $IPT -A FORWARD -i $eth -j ACCEPT
  47. $IPT -A FORWARD -p tcp --sport 110 -m state --state ESTABLISHED,RELATED -j ACCEPT

n°205134
le passant
Posté le 26-12-2002 à 14:55:56  profilanswer
 

$minet et $petitgus sont deux machines dans ton LAN ?
 
Euh, si tu essaye de faire ton nat comme ceci :
 

Code :
  1. $IPT -t nat -A POSTROUTING -o $ppp -j MASQUERADE


 
Ca change quelque chose pour ton soucis de pop3 ?? ou pas ??
 
(je cherche l'invraissemblable :) ).
 
Eh, mais c'est peut-être tout ça, me semble que c'est pas la bonne manière de traduire tout ça... essaye :).
 
Le passant.

n°205136
le passant
Posté le 26-12-2002 à 14:57:24  profilanswer
 

Tiens, je crois que je viens de dire une connerie, mais essaye quand même, on sait jamais.
 
Le passant.

n°205137
le passant
Posté le 26-12-2002 à 15:05:37  profilanswer
 

Bon, je dois m'absenter, donc à plus et bon courage..
 
Le passant.

n°205138
Profil sup​primé
Posté le 26-12-2002 à 15:11:13  answer
 

ca change rien du tout

n°205178
le passant
Posté le 26-12-2002 à 17:34:27  profilanswer
 

Tu as activé l'ipforwarding :) ??
 
un truc du genre :

Code :
  1. echo 1 > /proc/sys/net/ipv4/ip_forward


 
J'ai po l'impression (si c'est tout ton script qui est la), le seul truc que je vois, c'est justement l'abscence de cette activation.
 
Sinon, il faut regarder sur ton noyau, pour savoir si il est correctement configuré.
 
Si ce n'est le cas, sélectionne toutes les options du noyau (histoire de n'en oublier aucune, et comme je ne connait pas le tiercé gagnant...).
 
Hormis ces bêtes oublis, je ne vois aucune raison pour que cela ne fonctionnne pas.
 
Le passant.
 
Edit : l'ip_forward semble ok dans ton premier scrip, donc je n'ai rien dit. Ne te reste plus qu'a regarder au niveau du noyau.
 
reEdit : Pour le noyau, c'est ok aussi, parce que si ça fonctionne sans préciser les ports...
Faut que je réfléchisse un peu plus avant d'écrire moi...
 
rereEdit : Je pense à autre chose, pour le DNS, tu peux n'autoriser que l'udp, les requètes dns n'utilisant que ce protocole (bien moins lourd que tcp).


Message édité par le passant le 26-12-2002 à 17:50:08
n°205194
le passant
Posté le 26-12-2002 à 18:13:58  profilanswer
 

Bon, pour éviter un autre édit :
 
J'ai pris le temps de tester toutes les solutions envisagés (même celle que toi tu proposais au tout début).
 
Et ça marche chez moi.
 
Donc, ça provient surrement de ta config, et la je ne vois pas du tout comment t'aider, je n'arrive plus à imaginer de solution.  
 
Une mauvaise compil de noyau, le non chargement des modules correct avant leur utilisation. Mais dans ce cas, la protestation du système devrait être bien plus virullente, et quand on a allégé la config de iptables, l'erreur aurait du percistée.
 
Bon, dernier recours, je vais copier tes règles et les balancer en entier chez moi, pour voir si rien ne m'aurait échappé.
 
Le passant.

n°205196
le passant
Posté le 26-12-2002 à 18:29:34  profilanswer
 

Après vérification, et une légère modif pour correspondre à ce que j'ai, ton script fonctionne parfaitement.
 
Donc ça provient de quelque chose d'autre, et la, je sais po...
 
Voici le script que j'ai testé chez moi :

Code :
  1. $IPT -P INPUT ACCEPT
  2. $IPT -P OUTPUT ACCEPT
  3. $IPT -P FORWARD ACCEPT
  4. # C'est normal puisque tout est bloque au niveau de la table filter
  5. $IPT -F
  6. $IPT -t nat -F
  7. $IPT -X
  8. $IPT -t  nat -X
  9. $IPT -t nat -P PREROUTING ACCEPT
  10. $IPT -t nat -P POSTROUTING ACCEPT
  11. $IPT -t nat -P OUTPUT ACCEPT
  12. echo 1 > /proc/sys/net/ipv4/ip_forward
  13. if [ "$1" = "flush" ]
  14.   then
  15.         exit 0
  16. fi
  17. # On drop tout par defaut
  18. $IPT -P INPUT DROP
  19. $IPT -P OUTPUT DROP
  20. $IPT -P FORWARD DROP
  21. # IP Masquering
  22. $IPT -t nat -A POSTROUTING -s $minet    -o $ppp -j MASQUERADE
  23. $IPT -t nat -A POSTROUTING -s $petitgus -o $ppp -j MASQUERADE
  24. # spoofing
  25. if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
  26.   then
  27. for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
  28. do
  29.         echo 1 > $filtre
  30. done
  31. fi
  32. # On accepte tous en local et sur le reseau
  33. $IPT -A INPUT  -i lo   -j ACCEPT
  34. $IPT -A OUTPUT -o lo   -j ACCEPT
  35. $IPT -A INPUT  -i $eth -j ACCEPT
  36. $IPT -A OUTPUT -o $eth -j ACCEPT
  37. #net
  38. $IPT -A FORWARD -i $ppp -m state --state ESTABLISHED \
  39.                -p tcp --sport 80 -j ACCEPT
  40. $IPT -A FORWARD -o $ppp -m state --state NEW,ESTABLISHED \
  41.                -p tcp --dport 80 -j ACCEPT
  42. # Dns
  43. for server in $dns1 $dns2; do
  44.           $IPT -A INPUT  -i $ppp -p udp --sport 53 -s $server \
  45.                          -m state --state ESTABLISHED -j ACCEPT
  46.           $IPT -A OUTPUT -o $ppp -p udp --dport 53 -d $server \
  47.                          -m state --state NEW,ESTABLISHED -j ACCEPT
  48. done
  49. # Proxy
  50. #$IPT -A INPUT  -i $eth -p tcp --sport 3128 -j ACCEPT
  51. #$IPT -A OUTPUT -o $eth -p tcp --dport 3128 -j ACCEPT
  52. # Ssh
  53. $IPT -A INPUT  -i $eth -s $minet -m state --state NEW,ESTABLISHED \
  54.                -p tcp --sport 22 -j ACCEPT
  55. $IPT -A OUTPUT -o $eth -d $minet -m state --state ESTABLISHED \
  56.                -p tcp --dport 22 -j ACCEPT
  57. # Pop3
  58. $IPT -A FORWARD -i $eth -o $ppp -p tcp --dport 110 \
  59.                 -m state --state NEW,ESTABLISHED -j ACCEPT
  60. $IPT -A FORWARD -i $ppp -o $eth -p tcp --sport 110 \
  61.                 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Aucun changement fondamental, comme tu le vois. Juste le proxy que je n'ai pas encore installé chez moi :).
 
Ca me désole un peu de te laisser ainsi, mais je ne vois pas la solution.
Mais bon, ce n'est pas ton script, c'est déjà ça ;).
 
Le passant.


Message édité par le passant le 26-12-2002 à 18:31:22
n°205198
Profil sup​primé
Posté le 26-12-2002 à 18:42:17  answer
 

Le passant a écrit :


Ca me désole un peu de te laisser ainsi, mais je ne vois pas la solution.
Mais bon, ce n'est pas ton script, c'est déjà ça ;).
 
Le passant.


 
 
Super je te remercie encore de m'avoir aidé ! Je vais essayer de regarder dans le noyau ! je te tien au courant.

n°205203
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-12-2002 à 19:01:54  profilanswer
 

Pourquoi pas essayer avec ca :


# Pop3
  $IPT -A FORWARD -i $eth -o $ppp -p tcp --dport 110 -m state --state NEW -j ACCEPT


 
et ca (à mettre juste après le masquerading) :


# Règle pour utiliser les capacités de fw STATEFUL que possède Netfilter
  $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT


Message édité par Zzozo le 26-12-2002 à 19:02:55
n°205213
Profil sup​primé
Posté le 26-12-2002 à 19:41:55  answer
 

Zzozo a écrit :

Pourquoi pas essayer avec ca :


# Pop3
  $IPT -A FORWARD -i $eth -o $ppp -p tcp --dport 110 -m state --state NEW -j ACCEPT


 
et ca (à mettre juste après le masquerading) :


# Règle pour utiliser les capacités de fw STATEFUL que possède Netfilter
  $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT




 
j'ai déjà essayer ! apparement c un probleme de config dans le noyau ! c'est pas normal que ca ne marche pas.

n°205214
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-12-2002 à 19:45:24  profilanswer
 

Kurt Haribo a écrit :


 
j'ai déjà essayer ! apparement c un probleme de config dans le noyau ! c'est pas normal que ca ne marche pas.
 


Tu as des messages d'erreur qui s'affichent ?  ( penses au - x)

n°205227
Profil sup​primé
Posté le 26-12-2002 à 20:15:39  answer
 

Zzozo a écrit :


Tu as des messages d'erreur qui s'affichent ?  ( penses au - x)


 
j'ai aucun message d'erreur.

n°205228
Zzozo
Modérateur
Un peu, passionément, à la fol
Posté le 26-12-2002 à 20:20:43  profilanswer
 

Kurt Haribo a écrit :


 
j'ai aucun message d'erreur.


Tu as bien mis le -x comme option pour l'interpréteur en tête du script ? sans ca, ca n'affiche rien ...
Tu penses à charger (forcer le chargement on va dire) les modules correspondants si tu as un noyau modulaire ?

n°205474
Profil sup​primé
Posté le 27-12-2002 à 13:53:02  answer
 

Zzozo a écrit :


Tu as bien mis le -x comme option pour l'interpréteur en tête du script ? sans ca, ca n'affiche rien ...
Tu penses à charger (forcer le chargement on va dire) les modules correspondants si tu as un noyau modulaire ?


 
Oui j'ai bien mis -x, mais aucune erreur. Par contre, je viens de recomiler le kernel, et toujours pareil ca veut pas marcher. je comprends pas.

n°205478
le passant
Posté le 27-12-2002 à 14:00:32  profilanswer
 

Kurt Haribo a écrit :


 
Oui j'ai bien mis -x, mais aucune erreur. Par contre, je viens de recomiler le kernel, et toujours pareil ca veut pas marcher. je comprends pas.


 
Tu as ton fichier de compil, tu peux le mettre ici s'il te plait ?
Et ta distribution, c'est quoi, avec quel kernel, etc ??
 
Le passant.

n°205485
Profil sup​primé
Posté le 27-12-2002 à 14:34:56  answer
 

Le passant a écrit :


 
Tu as ton fichier de compil, tu peux le mettre ici s'il te plait ?
Et ta distribution, c'est quoi, avec quel kernel, etc ??
 
Le passant.


 
il s'appelle comment le fichier de compil ?

mood
Publicité
Posté le   profilanswer
 

 Page :   1  2
Page Précédente

Aller à :
Ajouter une réponse
  FORUM HardWare.fr
  Linux et OS Alternatifs
  réseaux et sécurité

  Pb script iptables : forward pop3

 

Sujets relatifs
Script sous linuxscript pour faire ça...
HELP erreur script shelllancer une session X depuis un script -> "X: user not authorized ..."
[iptables] FTP [resolu]Règles avec IPChains ou IPTables
[comment 'timeriser' un script sh ?][SCRIPT UNIX]
[debian] librairie mysql - pb script configurelamer iptables pour proxy redirect
Plus de sujets relatifs à : Pb script iptables : forward pop3


Copyright © 1997-2022 Hardware.fr SARL (Signaler un contenu illicite / Données personnelles) / Groupe LDLC / Shop HFR