Iptables et XNap?!

Iptables et XNap?! - Débats - Linux et OS Alternatifs

Marsh Posté le 24-10-2002 à 17:19:40    

J'ai mis en place les iptables et cela fonctionne bien pour la navigation internet, l'IRC, etc. mais pas pour le logiciel de P2P XNap ( xnap.sourceforge.net )!
 
XNap est configuré pour utiliser le port 6699 (c'est ce qui est marqué dans les proprités du plugin OpenNap). J'ai donc voulu ouvrir ce port en faisant:
 
iptables -A INPUT -i ppp0 --protocol tcp --source-port 6699 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ppp0 --protocol tcp --destination-port 6699 -m state --state NEW,ESTABLISHED -j ACCEPT
 
 
j'ai aussi essayé:
 
iptables -A INPUT -i ppp0 --protocol tcp --source-port 6699 -j ACCEPT
iptables -A OUTPUT -o ppp0 --protocol tcp --destination-port 6699 -j ACCEPT
 
 
mais cela ne fonctionne pas, XNap ne trouve aucun serveur :(
 
Si je réouvre tous les ports, il n'y a plus de problème.
 
 
 
 
 
Pour l'instant, mes ports ouverts sont: 25, 53, 80, 110, 119, 2401, 6667.
Tout le reste est rejetté.
 
 
Je suis connecté au câble par les interfaces eth0 et ppp0.


Message édité par eL_Shaman___ le 24-10-2002 à 17:20:02
Reply

Marsh Posté le 24-10-2002 à 17:19:40   

Reply

Marsh Posté le 24-10-2002 à 17:38:32    

et en ouvrant aussi en udp?


---------------
"Je brandirai une épée d'orichalque, je m'assouvirai sur des Templiers." | "Avec dans son sillage l'Ombre du Diable, Leirn appelait les morts pour une danse macabre et déchainaît les horreurs de la nuit..."
Reply

Marsh Posté le 24-10-2002 à 17:43:16    

El_ShAman___ a écrit a écrit :

J'ai mis en place les iptables et cela fonctionne bien pour la navigation internet, l'IRC, etc. mais pas pour le logiciel de P2P XNap ( xnap.sourceforge.net )!
 
XNap est configuré pour utiliser le port 6699 (c'est ce qui est marqué dans les proprités du plugin OpenNap). J'ai donc voulu ouvrir ce port en faisant:
 
iptables -A INPUT -i ppp0 --protocol tcp --source-port 6699 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ppp0 --protocol tcp --destination-port 6699 -m state --state NEW,ESTABLISHED -j ACCEPT
 
 
j'ai aussi essayé:
 
iptables -A INPUT -i ppp0 --protocol tcp --source-port 6699 -j ACCEPT
iptables -A OUTPUT -o ppp0 --protocol tcp --destination-port 6699 -j ACCEPT
 
 
mais cela ne fonctionne pas, XNap ne trouve aucun serveur :(
 
Si je réouvre tous les ports, il n'y a plus de problème.
 
 
 
 
 
Pour l'instant, mes ports ouverts sont: 25, 53, 80, 110, 119, 2401, 6667.
Tout le reste est rejetté.
 
 
Je suis connecté au câble par les interfaces eth0 et ppp0.




 
en fait, moi j'aurais plutot fait ca:
 
iptables -A INPUT -i ppp0 -p tcp --dport 6699 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 6669 -j ACCEPT
 
afin que tes paquets soient acceptes vers ton port 6699 local et sortent de ton port 6699 local
 
edit: en faisant comme toi avec le --state, tu empeches les utilisateurs de se connecter sur ton port 6699, dont tu n'uploadera pas


Message édité par apolon34 le 24-10-2002 à 17:44:05
Reply

Marsh Posté le 24-10-2002 à 17:59:03    

J'ai essayé:
 
iptables -A INPUT -i ppp0 -p tcp --dport 6699 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 6699 -j ACCEPT
 
et la même chose avec l'udp mais ça ne passe pas.
 
 
 
Si je fais un "netstat -a" j'obtiens ce résultat:
 
tcp        0      0 *:6699                  *:*             LISTEN
tcp        0      0 *:daytime               *:*                     LISTEN
tcp        0      0 *:www                   *:*                     LISTEN
tcp        0      0 *:auth                  *:*                     LISTEN
tcp        0      0 *:ipp                   *:*                  LISTEN
tcp        0      1 ca-bordeaux-4-114:42923 pD9E58672.dip.t-di:3456 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42912 PPPa400.tokyo-ip.d:3456 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42935 user-0c93b2c.cable:7777 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42931 c171152.adsl.hanse:8888 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42947 p5080DFB3.dip.t-di:3456 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42941 d87114.upc-d.chell:8888 SYN_SENT
 
etc.
 
 
 
Je fais quoi??!  :??:

Reply

Marsh Posté le 24-10-2002 à 18:21:10    

El_ShAman___ a écrit a écrit :

J'ai essayé:
 
iptables -A INPUT -i ppp0 -p tcp --dport 6699 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 6699 -j ACCEPT
 
et la même chose avec l'udp mais ça ne passe pas.
 
 
 
Si je fais un "netstat -a" j'obtiens ce résultat:
 
tcp        0      0 *:6699                  *:*             LISTEN
tcp        0      0 *:daytime               *:*                     LISTEN
tcp        0      0 *:www                   *:*                     LISTEN
tcp        0      0 *:auth                  *:*                     LISTEN
tcp        0      0 *:ipp                   *:*                  LISTEN
tcp        0      1 ca-bordeaux-4-114:42923 pD9E58672.dip.t-di:3456 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42912 PPPa400.tokyo-ip.d:3456 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42935 user-0c93b2c.cable:7777 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42931 c171152.adsl.hanse:8888 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42947 p5080DFB3.dip.t-di:3456 SYN_SENT
tcp        0      1 ca-bordeaux-4-114:42941 d87114.upc-d.chell:8888 SYN_SENT
 
etc.
 
 
 
Je fais quoi??!  :??:  




 
essaie de tout ouvrir, et tu fais un netstat pour voir si le port 6699 est le seul en cause.

Reply

Marsh Posté le 24-10-2002 à 18:53:06    

J'ai fais un "netstat -a" avec aucun logiciel contactant le réseau (web, irc, etc.) puis de même en ajoutant XNap.
 
J'ai obtenu cela (j'ai enlevé ce qui était inutile):
 
 
AVANT LE LANCEMENT DE XNap:
 


Connexions Internet actives (serveurs et établies)
Proto Recv-Q Send-Q Adresse locale          Adresse distante        Etat        
tcp        0      0 *:printer               *:*                     LISTEN      
tcp        0      0 *:time                  *:*                     LISTEN      
tcp        0      0 *:discard               *:*                     LISTEN      
tcp        0      0 *:daytime               *:*                     LISTEN      
tcp        0      0 *:www                   *:*                     LISTEN      
tcp        0      0 *:auth                  *:*                     LISTEN      
tcp        0      0 *:ipp                   *:*                     LISTEN      
udp        0      0 *:discard               *:*                                  
udp        0      0 *:ipp                   *:*                                  
Sockets du domaine UNIX actives(serveurs et établies)
Proto RefCpt Indicatrs   Type       Etat          I-Node Chemin


 
 
 
 
 
APRÈS LE LANCEMENT DE XNap:
 


Connexions Internet actives (serveurs et établies)
Proto Recv-Q Send-Q Adresse locale          Adresse distante        Etat        
tcp        0      0 *:printer               *:*                     LISTEN      
tcp        0      0 *:time                  *:*                     LISTEN      
tcp        0      0 *:discard               *:*                     LISTEN      
tcp        0      0 *:6699                  *:*                     LISTEN      
tcp        0      0 *:daytime               *:*                     LISTEN      
tcp        0      0 *:www                   *:*                     LISTEN      
tcp        0      0 *:auth                  *:*                     LISTEN      
tcp        0      0 *:ipp                   *:*                     LISTEN      
tcp        0      0 ca-bordeaux-4-114:46012 cs162150-16.hot.rr:7777 ESTABLISHED  
tcp        0      0 ca-bordeaux-4-114:45947 adsl.213-249-162-6:7777 ESTABLISHED  
tcp        0      1 ca-bordeaux-4-114:46118 203.68.250.163:3456     SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45971 host25-231.pool801:9999 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46120 62.211.175.7:8888       SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45984 212.171.6.182:3456      SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46066 pD9E6716F.dip.t-di:4444 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46028 pcp01037365pcs.frt:7777 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45977 CPE0f1129824209.cp:4444 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45932 qn-213-73-141-111.:9292 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45940 63.64.164.91:8888       SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45939 63.64.164.91:8888       SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46125 pD954794D.dip.t-di:3456 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46174 12-237-37-214.clie:3456 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45966 p5080577A.dip.t-di:8875 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46078 213-140-11-139.fa:33333 SYN_SENT    
tcp        0      0 ca-bordeaux-4-114:45953 h54n1fls20o947.tel:3456 ESTABLISHED  
tcp        0      1 ca-bordeaux-4-114:46006 3eea579c.cable.wan:8888 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45980 host-232-146-220-2:8888 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46161 p508206D7.dip0.t-i:6666 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46121 pD9E3411D.dip.t-di:8888 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45894 pD9E2A96A.dip.t-di:7777 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45965 p5080577A.dip.t-di:8877 SYN_SENT    
tcp        0      0 ca-bordeaux-4-114:46177 qn-212-58-182-136.:4444 ESTABLISHED
 
 
 
ça continue comme ça pendant un moment...
 
 
 
tcp        0      1 ca-bordeaux-4-114:46407 pD9577C0E.dip.t-di:8888 SYN_SENT    
tcp        0      0 ca-bordeaux-4-114:45974 ACB96359.ipt.aol.c:8888 ESTABLISHED  
tcp        0      0 ca-bordeaux-4-114:46374 pD951950B.dip.t-di:5555 TIME_WAIT    
tcp        0      1 ca-bordeaux-4-114:46459 1.255.49.141:3456       SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46332 sense-tracsco-133.:3456 SYN_SENT    
tcp        0      0 ca-bordeaux-4-114:46353 dlthdslgw1poolB64.:8888 ESTABLISHED  
udp        0      0 *:discard               *:*                                  
udp        0      0 *:ipp                   *:*                                  
Sockets du domaine UNIX actives(serveurs et établies)
Proto RefCpt Indicatrs   Type       Etat          I-Node Chemin


 
 
 
 
Voilà...

Reply

Marsh Posté le 24-10-2002 à 22:39:11    

El_ShAman___ a écrit a écrit :

J'ai fais un "netstat -a" avec aucun logiciel contactant le réseau (web, irc, etc.) puis de même en ajoutant XNap.
 
J'ai obtenu cela (j'ai enlevé ce qui était inutile):
 
 
AVANT LE LANCEMENT DE XNap:
 


Connexions Internet actives (serveurs et établies)
Proto Recv-Q Send-Q Adresse locale          Adresse distante        Etat        
tcp        0      0 *:printer               *:*                     LISTEN      
tcp        0      0 *:time                  *:*                     LISTEN      
tcp        0      0 *:discard               *:*                     LISTEN      
tcp        0      0 *:daytime               *:*                     LISTEN      
tcp        0      0 *:www                   *:*                     LISTEN      
tcp        0      0 *:auth                  *:*                     LISTEN      
tcp        0      0 *:ipp                   *:*                     LISTEN      
udp        0      0 *:discard               *:*                                  
udp        0      0 *:ipp                   *:*                                  
Sockets du domaine UNIX actives(serveurs et établies)
Proto RefCpt Indicatrs   Type       Etat          I-Node Chemin


 
 
 
 
 
APRÈS LE LANCEMENT DE XNap:
 


Connexions Internet actives (serveurs et établies)
Proto Recv-Q Send-Q Adresse locale          Adresse distante        Etat        
tcp        0      0 *:printer               *:*                     LISTEN      
tcp        0      0 *:time                  *:*                     LISTEN      
tcp        0      0 *:discard               *:*                     LISTEN      
tcp        0      0 *:6699                  *:*                     LISTEN      
tcp        0      0 *:daytime               *:*                     LISTEN      
tcp        0      0 *:www                   *:*                     LISTEN      
tcp        0      0 *:auth                  *:*                     LISTEN      
tcp        0      0 *:ipp                   *:*                     LISTEN      
tcp        0      0 ca-bordeaux-4-114:46012 cs162150-16.hot.rr:7777 ESTABLISHED  
tcp        0      0 ca-bordeaux-4-114:45947 adsl.213-249-162-6:7777 ESTABLISHED  
tcp        0      1 ca-bordeaux-4-114:46118 203.68.250.163:3456     SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45971 host25-231.pool801:9999 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46120 62.211.175.7:8888       SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45984 212.171.6.182:3456      SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46066 pD9E6716F.dip.t-di:4444 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46028 pcp01037365pcs.frt:7777 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45977 CPE0f1129824209.cp:4444 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45932 qn-213-73-141-111.:9292 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45940 63.64.164.91:8888       SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45939 63.64.164.91:8888       SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46125 pD954794D.dip.t-di:3456 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46174 12-237-37-214.clie:3456 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45966 p5080577A.dip.t-di:8875 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46078 213-140-11-139.fa:33333 SYN_SENT    
tcp        0      0 ca-bordeaux-4-114:45953 h54n1fls20o947.tel:3456 ESTABLISHED  
tcp        0      1 ca-bordeaux-4-114:46006 3eea579c.cable.wan:8888 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45980 host-232-146-220-2:8888 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46161 p508206D7.dip0.t-i:6666 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46121 pD9E3411D.dip.t-di:8888 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45894 pD9E2A96A.dip.t-di:7777 SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:45965 p5080577A.dip.t-di:8877 SYN_SENT    
tcp        0      0 ca-bordeaux-4-114:46177 qn-212-58-182-136.:4444 ESTABLISHED
 
 
 
ça continue comme ça pendant un moment...
 
 
 
tcp        0      1 ca-bordeaux-4-114:46407 pD9577C0E.dip.t-di:8888 SYN_SENT    
tcp        0      0 ca-bordeaux-4-114:45974 ACB96359.ipt.aol.c:8888 ESTABLISHED  
tcp        0      0 ca-bordeaux-4-114:46374 pD951950B.dip.t-di:5555 TIME_WAIT    
tcp        0      1 ca-bordeaux-4-114:46459 1.255.49.141:3456       SYN_SENT    
tcp        0      1 ca-bordeaux-4-114:46332 sense-tracsco-133.:3456 SYN_SENT    
tcp        0      0 ca-bordeaux-4-114:46353 dlthdslgw1poolB64.:8888 ESTABLISHED  
udp        0      0 *:discard               *:*                                  
udp        0      0 *:ipp                   *:*                                  
Sockets du domaine UNIX actives(serveurs et établies)
Proto RefCpt Indicatrs   Type       Etat          I-Node Chemin


 
 
 
 
Voilà...




 
ouais....  
 
en fait il utilise une belle panoplie de ports ton logiciel..
 
je pense que le plus simple est d'autoriser la sortie sur les ports > 46000 et d'accepter les connections etablies
 
iptables -A OUTPUT -o ppp0 -p tcp --sport 46000:50000 -m state --state NEW,ESTABLISHED -j ACCEPT
 
iptables -A INPUT -i ppp0 -p tcp -m state --state -m state ESTABLISHED -j ACCEPT
 
par contre niveau secu, c'est clairement pas le top

Reply

Marsh Posté le 25-10-2002 à 01:58:55    

un p'tit truc en passant, ta police INPUT est bien à DROP ?
 
dans ce cas il serait plus judicieux de faire ceci :
 
iptables -I INPUT -i ppp0 -p tcp -dport 6699 -j ACCEPT
 
en fait il faut faire insérer (-I) et non ajouter (-A), car en fait qd tu fais -A, tu mets cette règle en bas de liste donc si tu as une règle qui rejette toutes les connexions sur ppp0 et que tu fais iptables -A ..., tu ajoutes cette dernière en bas donc derrière la règle qui refuse toutes les connec, bref elle est carrément ignorée sur cette interface

Reply

Marsh Posté le 25-10-2002 à 13:36:32    

iptables -I INPUT -i ppp0 -p tcp --dport 6699 -j ACCEPT
n'améliore rien   :/
 
 
@apolon34:
Ben, je garde ta solution su je n'ai vraiment pas le choix!
 
 
 
 
 
Au fait, oui, je drop INPUT, OUTPUT et FORWARD.

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed