iptables (encore) - besoin de conseils et aide

iptables (encore) - besoin de conseils et aide - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 30-10-2003 à 18:11:40    

Ca y est j'arrive à faire marcher mon firewall/routeur...
Voila mon fichier script:

Code :
  1. # !/bin/sh
  3. # Chargement des modules
  4. modprobe ip_conntrack_ftp
  6. LAN="eth0"
  7. NET="eth1"
  8. IPXP="192.168.0.3"
  9. echo 1 > /proc/sys/net/ipv4/conf/all/forwarding
  11. # Vidage des chaines
  12. iptables -F
  13. iptables -X
  14. iptables -t nat -F
  15. iptables -t nat -X
  17. # Par défaut on drop tout
  18. iptables -P INPUT DROP
  19. iptables -P OUTPUT DROP
  20. iptables -P FORWARD DROP
  22. iptables -t nat -P PREROUTING ACCEPT
  23. iptables -t nat -P POSTROUTING ACCEPT
  24. iptables -t nat -P OUTPUT ACCEPT
  26. ############################################
  27. # CHAINES SPECIALES
  28. ############################################
  30. # Configuration de Icmp - On autorise les pings
  31. iptables -N ALLOW_ICMP
  32. iptables -F ALLOW_ICMP
  33. iptables -A ALLOW_ICMP -p icmp --icmp-type echo-reply -j ACCEPT
  34. iptables -A ALLOW_ICMP -p icmp --icmp-type echo-request -j ACCEPT
  35. iptables -A ALLOW_ICMP -p icmp --icmp-type time-exceeded -j ACCEPT
  37. # Paquets à jeter et logguer
  38. iptables -N LOG_DROP
  39. iptables -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : '
  40. iptables -A LOG_DROP -j DROP
  42. ############################################
  43. # RESEAU LOCAL
  44. ############################################
  46. # On accepte le réseau local:
  47. iptables -A INPUT  -i lo -j ACCEPT
  48. iptables -A OUTPUT -o lo -j ACCEPT
  51. ############################################
  52. # FIREWALL-LAN
  53. ############################################
  55. # On permet toutes les liaisons firewall-LAN
  56. iptables -A INPUT  -i $LAN -m state --state ESTABLISHED -j ACCEPT
  57. iptables -A OUTPUT -o $LAN -m state --state NEW,ESTABLISHED -j ACCEPT
  59. # on permet toutes les liaisons LAN-firewall
  60. iptables -A INPUT  -i $LAN -m state --state NEW,ESTABLISHED -j ACCEPT
  61. iptables -A OUTPUT -o $LAN -m state --state ESTABLISHED -j ACCEPT
  63. # On accepte de pinguer et d'etre pingué
  64. iptables -A INPUT -p icmp -j ALLOW_ICMP
  65. iptables -A OUTPUT -p icmp -j ALLOW_ICMP
  67. ############################################
  68. # FIREWALL
  69. ############################################
  71. # Resolution DNS pour le firewall
  72. iptables -A INPUT  -i $NET -p udp --sport 53 -j ACCEPT
  73. iptables -A OUTPUT -o $NET -p udp --dport 53 -j ACCEPT
  74. iptables -A INPUT  -i $NET -p tcp --sport 53 -j ACCEPT
  75. iptables -A OUTPUT -o $NET -p tcp --dport 53 -j ACCEPT
  77. # connexions Firewall-Internet (http/https)
  78. iptables -A OUTPUT -p tcp --dport 80  -o $NET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  79. iptables -A OUTPUT -p tcp --dport 443 -o $NET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  80. iptables -A INPUT  -p tcp --sport 80  -i $NET -m state --state ESTABLISHED,RELATED -j ACCEPT
  81. iptables -A INPUT  -p tcp --sport 443 -i $NET -m state --state ESTABLISHED,RELATED -j ACCEPT
  83. # connexions Firewall-Internet (ftp)
  84. iptables -A INPUT -i $NET -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT
  85. iptables -A OUTPUT -o $NET -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
  86. iptables -A INPUT -i $NET -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
  87. iptables -A OUTPUT -o $NET -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
  88. iptables -A INPUT -i $NET -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED
  89. -j ACCEPT
  90. iptables -A OUTPUT -o $NET -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED
  91. ,RELATED -j ACCEPT
  93. # connexions Firewall-Internet (pop)
  94. iptables -A OUTPUT -p tcp --dport 110  -o $NET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  95. iptables -A INPUT  -p tcp --sport 110  -i $NET -m state --state ESTABLISHED,RELATED -j ACCEPT
  97. # connexions Firewall-Internet (imaps)
  98. iptables -A OUTPUT -p tcp --dport 993  -o $NET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  99. iptables -A INPUT  -p tcp --sport 993  -i $NET -m state --state ESTABLISHED,RELATED -j ACCEPT
  101. # connexions Firewall-Internet (smtp)
  102. iptables -A OUTPUT -p tcp --dport 25  -o $NET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  103. iptables -A INPUT  -p tcp --sport 25  -i $NET -m state --state ESTABLISHED,RELATED -j ACCEPT
  105. # connexions Firewall-Internet (nntp)
  106. iptables -A OUTPUT -p tcp --dport 119  -o $NET -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  107. iptables -A INPUT  -p tcp --sport 119  -i $NET -m state --state ESTABLISHED,RELATED -j ACCEPT
  110. ############################################
  111. # LAN-INTERNET
  112. ############################################
  114. iptables -t nat -A POSTROUTING  -o $NET -j MASQUERADE
  116. # Resolution DNS pour les machines du LAN
  117. iptables -A FORWARD -i $NET -o $LAN -p udp --sport 53 -j ACCEPT
  118. iptables -A FORWARD -i $LAN -o $NET -p udp --dport 53 -j ACCEPT
  119. iptables -A FORWARD -i $NET -o $LAN -p tcp --sport 53 -j ACCEPT
  120. iptables -A FORWARD -i $LAN -o $NET -p tcp --dport 53 -j ACCEPT
  122. # connexions LAN-Internet (http/https)
  123. iptables -A FORWARD -p tcp --dport 80  -i $LAN -o $NET -m state --state NEW,ESTABLISHED,RELATED -j A
  124. CCEPT
  125. iptables -A FORWARD -p tcp --dport 443 -i $LAN -o $NET -m state --state NEW,ESTABLISHED,RELATED -j A
  126. CCEPT
  127. iptables -A FORWARD -p tcp --sport 80  -i $NET -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEP
  128. T
  129. iptables -A FORWARD -p tcp --sport 443 -i $NET -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEP
  130. T
  132. # acces au serveur Icq depuis LAN
  133. iptables -A FORWARD -i $LAN -o $NET -p tcp --dport 5190 -j ACCEPT
  134. iptables -A FORWARD -i $NET -o $LAN -p tcp --sport 5190 -j ACCEPT
  135. iptables -t nat -A PREROUTING -p udp --dport 5190 -i $NET -j DNAT --to $IPXP:5190
  136. iptables -t nat -A PREROUTING -p tcp --dport 5190 -i $NET -j DNAT --to $IPXP:5190
  138. # connexions Lan-Internet (pop)
  139. iptables -A FORWARD -p tcp --dport 110 -i $LAN -o $NET -j ACCEPT
  140. iptables -A FORWARD -p tcp --sport 110 -i $NET -o $LAN -j ACCEPT
  142. # connexions Lan-Internet (imaps)
  143. iptables -A FORWARD -p tcp --dport 993 -i $LAN -o $NET -j ACCEPT
  144. iptables -A FORWARD -p tcp --sport 993 -i $NET -o $LAN -j ACCEPT
  146. # connexions Lan-Internet (smtp)
  147. iptables -A FORWARD -p tcp --dport 25 -i $LAN -o $NET -j ACCEPT
  148. iptables -A FORWARD -p tcp --sport 25 -i $NET -o $LAN -j ACCEPT
  150. # connexions Lan-Internet (nntp)
  151. iptables -A FORWARD -p tcp --dport 119 -i $LAN -o $NET -j ACCEPT
  152. iptables -A FORWARD -p tcp --sport 119 -i $NET -o $LAN -j ACCEPT
  154. # On accepte que emule passe :-) -- A fixer
  155. iptables -t nat -A PREROUTING -i $NET -p tcp --dport 8000 -j DNAT --to $IPXP:8000
  156. iptables -t nat -A PREROUTING -i $NET -p udp --dport 8090 -j DNAT --to $IPXP:8090
  158. iptables -A FORWARD -i $LAN -o $NET -p tcp --dport 4661 -j ACCEPT
  159. iptables -A FORWARD -i $LAN -o $NET -p tcp --dport 4242 -j ACCEPT
  160. iptables -A FORWARD -i $LAN -o $NET -p tcp --dport 4662 -j ACCEPT
  161. iptables -A FORWARD -i $LAN -o $NET -p tcp --sport 8000 -j ACCEPT
  162. iptables -A FORWARD -i $NET -o $LAN -p tcp --dport 8000 -j ACCEPT
  163. iptables -A FORWARD -i $LAN -o $NET -p tcp --sport 8090 -j ACCEPT
  164. iptables -A FORWARD -i $NET -o $LAN -p tcp --dport 8090 -j ACCEPT
  165. iptables -A FORWARD -i $NET -o $LAN -p tcp --sport 4661 -j ACCEPT
  166. iptables -A FORWARD -i $NET -o $LAN -p tcp --sport 4242 -j ACCEPT
  168. # connexions Lan-Internet (ftp)
  169. iptables -A FORWARD -i $NET -o $LAN -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT
  170. iptables -A FORWARD -o $NET -i $LAN -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
  171. iptables -A FORWARD -i $NET -o $LAN -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
  172. iptables -A FORWARD -o $NET -i $LAN -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
  173. iptables -A FORWARD -i $NET -o $LAN -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ES
  174. TABLISHED -j ACCEPT
  175. iptables -A FORWARD -o $NET -i $LAN -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ES
  176. TABLISHED,RELATED -j ACCEPT
  178. # On accepte d'etre pingué et de pinguer
  179. iptables -A FORWARD -p icmp -j ALLOW_ICMP
  184. # On loggue les paquets qui ne passent pas
  185. iptables -A FORWARD -j LOG_DROP
  186. iptables -A INPUT -j LOG_DROP
  187. iptables -A OUTPUT -j LOG_DROP
  189. echo "Mise à jour des régles iptables de $NET <--> FIREWALL <--> $LAN";


 
Mais j'ai quand même quelques questions:
1/ Est-ce que la gestion du ftp ne craint pas au niveau sécurité?  
2/ Pourquoi Msn marche alors que je ne lui ai pas ouvert de port?
3/ Pourquoi dans mes log, iptable me DROP:
Oct 30 19:02:49 [kernel] [IPTABLES DROP] : IN=eth1 OUT=eth0 SRC=81.48.130.117 DST=192.168.0.3 LEN=46 TOS=0x00 PREC=0x00 TTL=117 ID=57559 PROTO=UDP SPT=4672 DPT=8090 LEN=26
alors que j'ai crée une règle pour qu'il le forward...
4/ Comment puis-je sécuriser au maximum la passerelle/firewall contre les attaques de méchant hackers pas gentils?
N'hésitez pas à critiquer et à me donner des conseils, c'est mon premier firewall alors j'ai besoin de vos conseils d'experts  ;)

Reply

Marsh Posté le 30-10-2003 à 18:11:40   

Reply

Marsh Posté le 31-10-2003 à 10:07:50    

Si tu pouvais mettre le résultat avec iptables -L -nv, le diagnostic serait + facile.
 
A+

Reply

Marsh Posté le 31-10-2003 à 16:51:46    

voila :)

Code :
  1. pegase root # iptables -L -nv
  2. Chain INPUT (policy DROP 7 packets, 396 bytes)
  3. pkts bytes target     prot opt in     out     source               destination
  4.     0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
  5. 117K   11M ACCEPT     all  --  eth0   *       0.0.0.0/0            0.0.0.0/0          state ESTABLISHED
  6.   563 69383 ACCEPT     all  --  eth0   *       0.0.0.0/0            0.0.0.0/0          state NEW,ESTABLISHED
  7.   349 41952 ALLOW_ICMP  icmp --  *      *       0.0.0.0/0            0.0.0.0/0
  8.    25  5641 ACCEPT     udp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          udp spt:53
  9.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:53
  10. 13228   20M ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:80 state RELATED,ESTABLISHED
  11.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:443 state RELATED,ESTABLISHED
  12.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:21 state ESTABLISHED
  13.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:20 state RELATED,ESTABLISHED
  14.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spts:1024:65535 dpts:1024:65535 state ESTABLISHED
  15.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:110 state RELATED,ESTABLISHED
  16.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:993 state RELATED,ESTABLISHED
  17.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:25 state RELATED,ESTABLISHED
  18.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:119 state RELATED,ESTABLISHED
  19.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spt:873 state ESTABLISHED
  20. 3289  168K LOG_DROP   all  --  *      *       0.0.0.0/0            0.0.0.0/0
  22. Chain FORWARD (policy DROP 40 packets, 22154 bytes)
  23. pkts bytes target     prot opt in     out     source               destination
  24.   183 37016 ACCEPT     udp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          udp spt:53
  25.   185 11959 ACCEPT     udp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          udp dpt:53
  26.     0     0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:53
  27.     0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:53
  28. 2595  318K ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:80 state NEW,RELATED,ESTABLISHED
  29.    92 23588 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:443 state NEW,RELATED,ESTABLISHED
  30. 2783 1693K ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:80 state RELATED,ESTABLISHED
  31.   103 51621 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:443 state RELATED,ESTABLISHED
  32.   514 23936 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:5190
  33.   498 73936 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:5190
  34.     0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:110
  35.     0     0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:110
  36.     0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:993
  37.     0     0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:993
  38.     0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:25
  39.     0     0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:25
  40.     0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:119
  41.     0     0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:119
  42. 1231 75321 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:4661
  43.   994  634K ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:4242
  44. 234K  254M ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:4662
  45. 404K  249M ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp spt:8000
  46. 407K   23M ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp dpt:8000
  47. 37796 1262K ACCEPT     udp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          udp spt:8090
  48. 38746 1819K ACCEPT     udp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          udp dpt:8090
  49.   906 66616 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:4661
  50.   784 44527 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:4242
  51.   144  8933 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:21 state ESTABLISHED
  52.   158  9702 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:21 state NEW,ESTABLISHED
  53.     0     0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spt:20 state RELATED,ESTABLISHED
  54.     0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:20 state ESTABLISHED
  55. 192K 8806K ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0          tcp spts:1024:65535 dpts:1024:65535 state ESTABLISHED
  56.     0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0          tcp spts:1024:65535 dpts:1024:65535 state RELATED,ESTABLISHED
  57.   266 15474 ALLOW_ICMP  icmp --  *      *       0.0.0.0/0            0.0.0.0/0
  58. 2976  145K LOG_DROP   all  --  *      *       0.0.0.0/0            0.0.0.0/0
  60. Chain OUTPUT (policy DROP 0 packets, 0 bytes)
  61. pkts bytes target     prot opt in     out     source               destination
  62.     0     0 ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0
  63. 145K   22M ACCEPT     all  --  *      eth0    0.0.0.0/0            0.0.0.0/0          state NEW,ESTABLISHED
  64.     0     0 ACCEPT     all  --  *      eth0    0.0.0.0/0            0.0.0.0/0          state ESTABLISHED
  65.   342 41624 ALLOW_ICMP  icmp --  *      *       0.0.0.0/0            0.0.0.0/0
  66.    25  1591 ACCEPT     udp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          udp dpt:53
  67.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:53
  68. 6829  359K ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:80 state NEW,RELATED,ESTABLISHED
  69.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:443 state NEW,RELATED,ESTABLISHED
  70.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:21 state NEW,ESTABLISHED
  71.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:20 state ESTABLISHED
  72.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp spts:1024:65535 dpts:1024:65535 state RELATED,ESTABLISHED
  73.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:110 state NEW,RELATED,ESTABLISHED
  74.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:993 state NEW,RELATED,ESTABLISHED
  75.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:25 state NEW,RELATED,ESTABLISHED
  76.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:119 state NEW,RELATED,ESTABLISHED
  77.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0          tcp dpt:873
  78.   110 26125 LOG_DROP   all  --  *      *       0.0.0.0/0            0.0.0.0/0
  80. Chain ALLOW_ICMP (3 references)
  81. pkts bytes target     prot opt in     out     source               destination
  82.   343 41628 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0          icmp type 0
  83.   343 41628 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0          icmp type 8
  84.    12   736 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0          icmp type 11
  86. Chain LOG_DROP (3 references)
  87. pkts bytes target     prot opt in     out     source               destination
  88. 6375  339K LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0          LOG flags 0 level 4 prefix `[IPTABLES DROP] : '
  89. 6375  339K DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0

Reply

Marsh Posté le 31-10-2003 à 17:59:29    

Une premiere remarque ( pour la forme ) que tu pourrais faire c'est d'utilisé ceci quand tu doit appliquer les memes regles a plusieurs ports differents :
-m multiport --dports 20,20,22,23
 
Ceci me parait faire doublon :
  117K   11M ACCEPT     all  --  eth0   *       0.0.0.0/0            0.0.0.0/0          state ESTABLISHED
    563 69383 ACCEPT     all  --  eth0   *       0.0.0.0/0            0.0.0.0/0          state NEW,ESTABLISHED
 
En ce qui concerne la secu :
pas bien d autoriser l'icmp en in
    349 41952 ALLOW_ICMP  icmp --  *      *       0.0.0.0/0            0.0.0.0/0
pas bien :
      0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spts:1024:65535 dpts:1024:65535 state ESTABLISHED
si ca doit etre pour le ftp utilise le module contrack_ftp
 
Pour msn, je crois qu'il passe par le port 80 pour sortir ... a confirmer
 
en ce qui concerne un port d'une machine interne a ton réseau, n'oublie pas de prérouté :
$IPTABLES -t nat -A PREROUTING -d *** -i *** -p tcp --dport 25 -j DNAT --to-destination ***:25
 
A+

Reply

Marsh Posté le 31-10-2003 à 21:47:31    

Merci pour ton aide!
 

Aragorn_1er a écrit :


pas bien :
      0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0          tcp spts:1024:65535 dpts:1024:65535 state ESTABLISHED
si ca doit etre pour le ftp utilise le module contrack_ftp


Je crois (d'après ce que j'ai lu) que cela utilise le module contrack_ftp et je ne pense pas qu'il y ait d'autre moyen de faire ça. Je me trompe?

Reply

Marsh Posté le 01-11-2003 à 02:30:17    

exact le nom du module: ip_conntrack_ftp
 
Sinon moi j'ai bien configurer mon serveur qui appartient à mon rezo local mais j'amerais savoir qu'elles sont les regles à mettre pour lui permetrte de ce mettre à jour (apt-get update) et de surfer. ?

Reply

Marsh Posté le 01-11-2003 à 02:35:59    

du moins ce k il faut ouvrir koi

Reply

Marsh Posté le 01-11-2003 à 03:32:55    

Aragorn_1er a écrit :


En ce qui concerne la secu :
pas bien d autoriser l'icmp en in
    349 41952 ALLOW_ICMP  icmp --  *      *       0.0.0.0/0            0.0.0.0/0
 


En quoi est ce mal de ne pas autoriser l'icmp ?
(le coup de la protection du flood ca marchera pas sur une ligne adsl car elle va quand meme se les manger les paquets  [:ddr555] ,le coup d'etre invisible ne marche pas surtout si il y a des serveurs sur la dite machine :D )

Reply

Marsh Posté le 02-11-2003 à 23:28:24    

Mikala a écrit :


En quoi est ce mal de ne pas autoriser l'icmp ?
(le coup de la protection du flood ca marchera pas sur une ligne adsl car elle va quand meme se les manger les paquets  [:ddr555] ,le coup d'etre invisible ne marche pas surtout si il y a des serveurs sur la dite machine :D )


 
Pinger une machine c'est un des tests qu l'on fait pour voir si elle est là, donc ca pourra surement faire passer leurs chemins a kelkes scripts kiddies.
Pi bon avoir le moins de services qui repondent sur une machine, ca me parrai etre une des bases de la secu ...
 
A+

Reply

Marsh Posté le 03-11-2003 à 00:02:59    

Aragorn_1er a écrit :


Pi bon avoir le moins de services qui repondent sur une machine, ca me parrai etre une des bases de la secu ...
 
A+


 :??:  
des services sur une machine qui ne répondent pas ?
quel est l'intéret d'avoir de tels services alors ?

Reply

Marsh Posté le 03-11-2003 à 00:02:59   

Reply

Marsh Posté le 03-11-2003 à 00:35:17    

je crois (je peux dire une connerie aussi) qu'il y a la possibilité de rejetter à partir d'un certain taux...genre au bout de 30 pings en 10 secondes interdire l'ICMP5
 
==>ce permet de répondre aux ping tt en protégeant contre un PoD


---------------
Jubi Photos : Flickr - 500px
Reply

Marsh Posté le 03-11-2003 à 00:57:47    

Jubijub a écrit :

je crois (je peux dire une connerie aussi) qu'il y a la possibilité de rejetter à partir d'un certain taux...genre au bout de 30 pings en 10 secondes interdire l'ICMP5
 
==>ce permet de répondre aux ping tt en protégeant contre un PoD


 
le PoD c'est pas un problème de frequence de ping, mais plutot de taille de paquet envoyé ;)

Reply

Marsh Posté le 03-11-2003 à 09:28:43    

Mikala a écrit :


 :??:  
des services sur une machine qui ne répondent pas ?
quel est l'intéret d'avoir de tels services alors ?


 
Je parle ici d'icmp au sens de service ...
 
A+

Reply

Marsh Posté le 03-11-2003 à 10:32:52    

Aragorn_1er a écrit :


 
Je parle ici d'icmp au sens de service ...
 
A+


dans ce cas l'icmp lui aussi _est_ utile .
que tu ne veuilles pas répondre au ping de base soit .mais l'imcp a tout de meme un rôle ne serais ce _que_ pour adapter la taille des paquets .
Suffit de prendre l'exemple passé de infobel qui filtrait comme un porc l'imcp sans réfléchir ( sous prétexte de protection contre les floods a coup sur ) bilan un certain nombre d'utilisateurs ayant une mtu 'exotique' avaient des problèmes d'acces au site ...

Reply

Marsh Posté le 03-11-2003 à 10:47:39    

Mikala a écrit :


dans ce cas l'icmp lui aussi _est_ utile .
que tu ne veuilles pas répondre au ping de base soit .mais l'imcp a tout de meme un rôle ne serais ce _que_ pour adapter la taille des paquets .
Suffit de prendre l'exemple passé de infobel qui filtrait comme un porc l'imcp sans réfléchir ( sous prétexte de protection contre les floods a coup sur ) bilan un certain nombre d'utilisateurs ayant une mtu 'exotique' avaient des problèmes d'acces au site ...
 


 
Je ne vois pas le rapport ici entre l'icmp et l'accés à un site :??:
 
A+

Reply

Marsh Posté le 03-11-2003 à 11:12:29    

ridben a écrit :

Ca y est j'arrive à faire marcher mon firewall/routeur...
Voila mon fichier script:
1/ Est-ce que la gestion du ftp ne craint pas au niveau sécurité?  
2/ Pourquoi Msn marche alors que je ne lui ai pas ouvert de port?
3/ Pourquoi dans mes log, iptable me DROP:
Oct 30 19:02:49 [kernel] [IPTABLES DROP] : IN=eth1 OUT=eth0 SRC=81.48.130.117 DST=192.168.0.3 LEN=46 TOS=0x00 PREC=0x00 TTL=117 ID=57559 PROTO=UDP SPT=4672 DPT=8090 LEN=26
alors que j'ai crée une règle pour qu'il le forward...
4/ Comment puis-je sécuriser au maximum la passerelle/firewall contre les attaques de méchant hackers pas gentils?
N'hésitez pas à critiquer et à me donner des conseils, c'est mon premier firewall alors j'ai besoin de vos conseils d'experts  ;)  


 
1/non, il faut juste bien canalisé le flux , l'idéal est le filtage applicatif (trendMicro Virus Wall : super outil)
2/no sabé,
2/no sabé,
4/ perso sur ma mdk 9.1 : j'ai le kernel secure de mdk (tres bon) et surtout j'utilise un outils digne des plus puissants firewall : FwBuilder (meme interface que checkpoint , watchGuard etc ...).
 
Ca permet de construire un bon firewall digne de ce nom, tout est codable.(il génére meme des scipts pour des cibles style cisco PIX, ipf , ipchains etc ...)


---------------
"Rengaines ton arrogance et essaies plutôt d'aider ceux qui débutent : ils ont besoin de toi."
Reply

Marsh Posté le 03-11-2003 à 11:13:44    

Aragorn_1er a écrit :


 
Je ne vois pas le rapport ici entre l'icmp et l'accés à un site :??:
 
A+


l'imcp permet a deux machines d'adapter la taille des paquets que ces deux machines s'échangent .
en partant du principe que tu filtres l'imcp comme un bourrin cette échange ne peut avoir lieu. ( c'était le cas passé de infobel ) bilan les deux machines ne peuvent pas 'coordonner' la taille des paquets qu'ils s'envoient bilan c'est comme si tu faisais un >/dev/null sur les paquets de données que tu envoyais
dans mon exemple passé un certain nombre de personnes étant en pppoe ( donc mtu batarde de 1492 ) ne pouvaient pas acceder au site d'infobel jusqu'a ce que cet admin réalise que filtrer l'imcp comme un bourrin ne servait a rien :o ( ca a quand meme durer 6 mois au moins )  

Reply

Marsh Posté le 07-11-2003 à 11:48:19    

Pourquoi "par défaut on drop tout" et pas seulement le INPUT ?


---------------
"Par moment j'me d'mande si chui pas con" G. de Suresnes
Reply

Marsh Posté le 07-11-2003 à 11:52:21    

parce que tu n'es pas sur que ta machine n'est pas compromise ; ni que ton réseau ne l'est pas


---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. |  Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
Reply

Marsh Posté le 07-11-2003 à 11:53:50    

ça veut dire quoi "compromise" ? :)


---------------
"Par moment j'me d'mande si chui pas con" G. de Suresnes
Reply

Marsh Posté le 07-11-2003 à 11:57:10    

que quelqu'un (sens une entité, ça peut-être un virus ou un troyen) est installé sur ta machine/réseau.
 
si tu ne drop pas tout par défaut, il est possible qu'il essaye de contacter l'extérieur > risque de dissémination des virus ou de prise de contrôle à distance de ta machine. Enfin, c'est quand même pas super fréquent chez les particuliers (du moins pour la passerelle, parce qu'un ordinateur sous windows derrière...)


---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. |  Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
Reply

Marsh Posté le 07-11-2003 à 12:09:32    

c'est d'ailleurs le principe d'un certain nombre de virus outlook : ils installent un miniserveur mail chez toi pour faire des envois depuis ta machine.
 
en droppant tout, tu bloques ces sorties non désirées et tu empeches la propagation meme si un de tes postes a été infecté ;)

Reply

Marsh Posté le    

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed