[iptable] yen a ici qui utilisent les scripts de Mon Motha ?

yen a ici qui utilisent les scripts de Mon Motha ? [iptable] - Codes et scripts - Linux et OS Alternatifs

Marsh Posté le 14-06-2002 à 14:43:35    

ici: http://monmotha.mplug.org/firewall/index.php ?
paske chez moi, ça merde :/


Message édité par Piksou le 14-06-2002 à 14:44:00

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 14:43:35   

Reply

Marsh Posté le 14-06-2002 à 15:02:37    

Piksou a écrit a écrit :

ici: http://monmotha.mplug.org/firewall/index.php ?
paske chez moi, ça merde :/  




 
 
 :ouch: ça a l'air d'être une sacré usine à gaz ce script
t'es sur que t'as besoin de tout ça ?   :o

Reply

Marsh Posté le 14-06-2002 à 15:04:16    

bah disons que je suis aps un maitre en script
mon ancien ipchains, c'était une passoire
là, ça avait l'avantage de faire le boulot à ma place ;)
mais ça marche pas :(
 
t'as kekchose de mieux à me conseiller ?
il me faut juste un masqerade, un ou 2 portfw et une protection minimale quoi :/
et ptet un squid transparent si j'ai le courage :o


Message édité par Piksou le 14-06-2002 à 15:05:04

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 15:16:24    

Piksou a écrit a écrit :

bah disons que je suis aps un maitre en script
mon ancien ipchains, c'était une passoire
là, ça avait l'avantage de faire le boulot à ma place ;)
mais ça marche pas :(
 
t'as kekchose de mieux à me conseiller ?
il me faut juste un masqerade, un ou 2 portfw et une protection minimale quoi :/
et ptet un squid transparent si j'ai le courage :o  




 
 
pour le squid, si c'est le cache que tu recherches, y-a un post pas loi en dessous qui cherche une solution, mais pas trouvée pour le moment.
 
pour le script, je peux t'aider, c'est sur que ça gèrera pas tout ce que fait ton script, mais ce sera largement suffisant pour toi (ça l'est pour moi, et j'ai à peu près les même besoin  :D)
 
 
voici le script, en admettant que tu es une passerelle et que c'est là que tu mets ton script (à ce que j'ai compris de tes besoins) :
 

Code :
  1. #d'abord, faut vider la table :
  2. iptables -F
  3. iptables -X
  4. iptables -t nat -F
  5. iptables -t nat -X
  7. #ensuite pour le masquerade :
  8. iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
  10. #où eth0 est ton acces au net
  12. # ensuite on bloc les access venant du net, dont la connexion n'est pas encore établit ; et on accept les connexion a la passerelle, venant du rezo local : tout le reste passe à la trappe
  13. iptables -N block
  14. iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
  15. iptables -A block -m state --state NEW -i ! eth0 -j ACCEPT
  16. iptables -A block -j DROP
  18. iptables -A INPUT -j block
  19. iptables -A FORWARD -j block
  22. #enfin, pour la forwarding de port (exemple pour le ftp) :
  23. #la premiere ligne forward les port
  24. #la deuxieme ouvre les ports nécessaire au ftp
  25. #192.168.0.2 étant ton serveur ftp sur ton rezal
  26. iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 20:21 -j DNAT --to 192.168.0.2
  27. iptables -A FORWARD -i eth0 -p tcp --dport 20:21 -d 192.168.0.2 -j ACCEPT


 
 
 
pour ma part il me reste à gérer les log, j'ai pas encore fait, mais avec ça, tu devrais déjà avoir ce qu'il te faut , et ça marche


Message édité par djoh le 14-06-2002 à 15:18:24
Reply

Marsh Posté le 14-06-2002 à 15:19:21    

je vais d'abord
essayer ça: http://www.linuxhelp.net/guides/joey/iptables-firewall vu que j'ai déja commencé à le modifier
si ça merde encore, j'esayerais le tien ;)
merci en tous cas ;)
 
bon, je vais aller filer l'adressed monmotha à l'autre pour squid, qu'il voit si comprend


---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 15:19:31    

Je te conseille ce site, rubrique Netfilter:
http://christian.caleca.free.fr


---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. |  Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
Reply

Marsh Posté le 14-06-2002 à 15:21:05    

ah ben non enf ait, il cherhce à utilise run squid sur un autre PC, lui :o
mjules: thx :jap:


Message édité par Piksou le 14-06-2002 à 15:21:15

---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 15:29:56    

Piksou a écrit a écrit :

je vais d'abord
essayer ça: http://www.linuxhelp.net/guides/joey/iptables-firewall vu que j'ai déja commencé à le modifier
si ça merde encore, j'esayerais le tien ;)
merci en tous cas ;)
 
bon, je vais aller filer l'adressed monmotha à l'autre pour squid, qu'il voit si comprend  




 
ça a l'air bien, il gere les log et les syn (je sais toujours pas ce que c'est, mais ça a l'air dangereux ce flag)
faudra que je regarde ça de plus près   ;)

Reply

Marsh Posté le 14-06-2002 à 15:31:54    

Piksou a écrit a écrit :

ah ben non enf ait, il cherhce à utilise run squid sur un autre PC, lui :o
mjules: thx :jap:  




 
oui, il se complique un peu la vie

Reply

Marsh Posté le 14-06-2002 à 17:07:09    

bon, ben le script est dans les choux aussi
j'essaie le tien (tain, c'est la galère  :sweat: )
mais je me demadne si ya pas un truc qui cloche
pourtant j'arrive àpinger l'IP "externe" du modem depyuis les machines du LAN :/


---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 17:07:09   

Reply

Marsh Posté le 14-06-2002 à 17:26:26    

Piksou a écrit a écrit :

bon, ben le script est dans les choux aussi
j'essaie le tien (tain, c'est la galère  :sweat: )
mais je me demadne si ya pas un truc qui cloche
pourtant j'arrive àpinger l'IP "externe" du modem depyuis les machines du LAN :/  




 
ben ils font des trucs compliqués sur les flags syn, c'est p-t pour ça que ça déconne

Reply

Marsh Posté le 14-06-2002 à 17:39:45    

j'ai vu dans ton autre topic que tu pouvais pas utiliser le masquerade ?! :??:  :heink:

Reply

Marsh Posté le 14-06-2002 à 17:45:26    

nan, c que ej voulais pas utilsier l'option masquerade de rp-pppoe
je préfère un script propre à part


---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 17:54:26    

Piksou a écrit a écrit :

nan, c que ej voulais pas utilsier l'option masquerade de rp-pppoe
je préfère un script propre à part  




 
ah ok, et ça marche alors ?

Reply

Marsh Posté le 14-06-2002 à 18:14:16    

bah non (je veins de tester :/
une fosi modifié, ça donne ça chez moi:

#d'abord, faut vider la table :
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
 
#ensuite pour le masquerade :
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
 
#où eth0 est ton acces au net
 
# ensuite on bloc les access venant du net, dont la connexion n'est pas encore établit ; et on accept les connexion a la passerelle, venant du rezo local : tout le reste passe à la trappe
iptables -N block
iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A block -m state --state NEW -i ! ppp0 -j ACCEPT
iptables -A block -j DROP
 
iptables -A INPUT -j block
iptables -A FORWARD -j block
 
 
#enfin, pour la forwarding de port (exemple pour le ftp) :
#la premiere ligne forward les port
#la deuxieme ouvre les ports nécessaire au ftp
#192.168.0.2 étant ton serveur ftp sur ton rezal
iptables -A PREROUTING -t nat -i ppp0 -p tcp --dport 4662 -j DNAT --to 192.168.123.2
iptables -A FORWARD -i eth0 -p tcp --dport 4662 -d 192.168.123.2 -j ACCEPT
iptables -A PREROUTING -t nat -i ppp0 -p tcp --dport 2121 -j DNAT --to 192.168.123.2
iptables -A FORWARD -i eth0 -p tcp --dport 2121 -d 192.168.123.2 -j ACCEPT


ça me retourne

iptables v1.2.6a: Bad IP address `192.168.123.2
'
 
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.2.6a: Bad IP address `192.168.123.2
'
 
Try `iptables -h' or 'iptables --help' for more information.


et ça forward quedalle :/


---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 18:26:21    

:lol:
didonc, 4662 c'est pas edonkey ça ? :p  
pq si c'est avec ça que tu teste si ça marche, faut que tu sache qu'il faut plus que ce port là pour que ça marche  ;)  
2121, je sais pas ce que c'est
et sinon comment est agencé ton rezo ?
sous quel machine surf tu sur le net
est-ce que tu arrives à surfer ?
as-tu déclarer tes machines dans /etc/hosts ?
utilises tu dhcp ?

Reply

Marsh Posté le 14-06-2002 à 18:37:41    

4662, c'est la communication edonkey serveur client. les autres ports, il suffit qu'ils apssent "normalement", mais si tu portfw pas le 4662, t'as un low ID et tu dl pas vite ;)
fin de la parenthèse.
 
2121, c'est pour un serveur FTP, à l'occasion, juste pour pas portfw le 21 en permanence.
 
mon résal focntionne comme suit.
un Alcatel STH en PPPOE
il est connecé sur eth1 du PC Passerelle, la connection fait apparaitre ppp0 pour la connection.
De plus, passerelle est connectée pas eth0 au LAN de la maison par l'IP 192.168.123.1
tout la maison en en 192.168.123.x, ma machine étant le .2 et la dernière le .6 (masi j'vais voulu laisser du mou)
 
le résal est géré par un switch 100 Mbits.
 
pas de DNCH, les DNS sont ceux du provider déclarés à la min sur chaque PC, y compris la passerelle.
 
acteullement, depusi la passerelle, après avoir lancé la connection (et fait un route add default gw dont je em passerais bien si je savais comment m'en débarasser), je ping tout le monde, mes DNS, mon LAN, google ou autre.
mais depuis les autres machines (mon PC ou mon portable, par ex), pas moyen de ma connecer à google ni de la pinger. je en peu pinger que l'IP "externe" du modem ADSL
 
/etc/hosts ? faut y mettre quoi ?
 
tous mes PCs ont 192.168.123.1 (la passerelle) en gateway et les DNS Tiscali en DNS of course


---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 18:53:01    

ton script; tu le copie/colle depuis internet ou tu le tapes toi même ?
parce que dans le premier cas, ça ne marche pas toujours (il ne reconnait pas les commandes)


---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. |  Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
Reply

Marsh Posté le 14-06-2002 à 18:54:59    

les deux premiers: enregistrement
le dernier: copier-coller + "nettoyage DOS/UNIX"


---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le 14-06-2002 à 19:09:24    

Salut tlm,
 
 
J'ai mis pas mal de temps à obtenir un forwarding fonctionnel. En espérant que cela intéresse du monde, j'ai fait une copie du script que j'utilise (fait main  :o ).
 
 
Ce dernier réalise deux "ports-forwading" un vers le serveur HTTP et un vers un Terminal Server (en réalité un pc sous XP Pro) depuis le port 119 (parce les autres ports sont bloqués où "proxyés" ).
 
 
Pour ce qui est de la sécurité, j'ai volontairement laissé tout ouvert dans le sens LAN -> WAN :non: . Ceci combiné avec des règles certainement trop laxistes, n'est certainement pas un modèle du genre, mais bon ceci est une autre histoire :na: .
 
 

#!/bin/sh
##########
# Configuration Netfilter
##########
# Polio <matthieu.michon@eseo.fr>
##########
 
 
##########
# Désactiver le routage
##########
echo 0 > /proc/sys/net/ipv4/ip_forward
 
 
##########
# Initialiser les tables
##########
iptables -F
iptables -F -t nat
iptables -Z
iptables -Z -t nat
iptables -X
 
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
iptables -t nat -P PREROUTING DROP
iptables -t nat -P POSTROUTING DROP
iptables -t nat -P OUTPUT DROP
 
 
##########
# Configurer les chaines
##########
iptables -A INPUT -i eth0 -s 192.168.7.0/24 -j ACCEPT
iptables -A INPUT -i ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
 
iptables -A FORWARD -j ACCEPT
 
iptables -A OUTPUT -o ppp0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
 
 
iptables -t nat -A PREROUTING -j ACCEPT
 
iptables -t nat -A OUTPUT -j ACCEPT
 
iptables -t nat -A POSTROUTING -o eth0 -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o lo -j ACCEPT
 
 
##########
# Redirections
##########
# RDP (119 -> 3389)
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 119 -j DNAT --to 192.168.7.7:3389
iptables -t nat -I POSTROUTING -d 192.168.7.7 -j SNAT --to 192.168.7.10
# HTTP
iptables -t nat -I PREROUTING -i ppp0 -p tcp --dport 80 -j DNAT --to 192.168.7.1:80
iptables -t nat -I PREROUTING -i eth0 -d tsept.minidns.net -p tcp --dport 80 -j DNAT --to 192.168.7.1:80
iptables -t nat -I POSTROUTING -d 192.168.7.1 -j SNAT --to 192.168.7.10
 
##########
# Activer le routage
##########
echo 1 > /proc/sys/net/ipv4/ip_forward

Reply

Marsh Posté le 14-06-2002 à 19:39:00    

une p'tite question avec ipchains, j'ai les ports 20, 21, 25, 80, 110 qui sont ouverts (j'en ai besoin, j'ai des serveurs qui tournent dessus), je cherche à les rendre invisibles sans pour autant les fermer (tous mes autres ports répondent BLOCKED et je refuse tous types d'icmp entrants, j'ai juste ces ports ci-dessus qui sont "visibles" ), c'est pas méchant mais bon....
 
comment faire ?
 
 :hello:

Reply

Marsh Posté le 14-06-2002 à 19:50:41    

ben voilà qui est mieux, avec tout ces détails
mais je trouve toujours pas d'où peut venir ton pb !  :/
 
bon, faut mieux procéder par étape : d'abord, active uniquement le masquerading pour voir si ça marche
 
et t'es autre pc, ils sont sous windows ? T'es sur qu'ils sont bien configurés ? le masque, ma passerelle et les dns sont bon ?
 
déjà, quand ça ça marchera, ce sera une bonne chose

Reply

Marsh Posté le 14-06-2002 à 20:02:30    

ça tourne
tout ça a cause d'un module dans le kernel  :cry:  
ou ptet de ma faute de frappe dans le LAN  :ange:  
toujours est-il que ça fonctionne avec le Mon Motha
oui, tout était bien configuré puisque tout marchait déja ave cune gw avant ;)
mais je voulasi passer de pptp sous potatoe ou on se loggait en root à un truc propre.
c'est en bonne voie.
merci beaucoup :jap:
il ne me reste plus qu'a me débarasserde mon problème de add route.
 
merci à vous tous ainsi qu'à Jowile pour le coup du module :jap:


---------------
« Le verbe "aimer" est le plus compliqué de la langue. Son passé n'est jamais simple, son présent n'est qu'imparfait et son futur toujours conditionnel. » Jean Cocteau
Reply

Marsh Posté le    

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed