[IPTABLES] Plus d'accès au réseau local une fois le POSTROUTING enlevé

Plus d'accès au réseau local une fois le POSTROUTING enlevé [IPTABLES] - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 01-09-2011 à 21:35:47    

Bonsoir,
 
Sur mon serveur je possède deux interfaces, ETH0 pour l'internet et ETH1 pour le local.
Je fais du PREROUTING afin de pouvoir accéder à des serveurs WEB, SSH, etc.. de l'internet vers mon réseau local, la directive de POSTROUTING MASQUERADE est en place.
 
Dans cette configuration, depuis le routeur je peux faire un SSH vers les serveurs de mon réseau local, jusque là tout va bien.
 
Le problème que je rencontre actuellement est que je souhaites faire en sorte que mon serveur de messagerie par exemple sorte avec sa propre IP publique et non celle du routeur. Pour se faire je supprime donc l'option MASQUERADE, le serveur sort bien avec sa propre IP mais je ne peux plus faire de SSH (par exemple) sur les serveurs présents dans mon réseau local.
 
Voici mon script :

Code :
  1. #!/bin/bash -x
  3. WAN="eth0"
  4. LAN="eth1"
  6. IPTABLES=$(which iptables)
  8. echo "1" > /proc/sys/net/ipv4/tcp_syncookies
  9. echo "1024" > /proc/sys/net/ipv4/tcp_max_syn_backlog
  10. echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter
  11. echo "1" > /proc/sys/net/ipv4/ip_forward
  13. modprobe ip_nat_ftp
  14. modprobe ip_conntrack_ftp
  16. # Filtre la table FILTER.
  17. /sbin/iptables -F
  18. /sbin/iptables -F -t nat
  19. /sbin/iptables -F -t mangle
  21. # Supprime toutes les regles.
  22. /sbin/iptables -X
  23. /sbin/iptables -Z
  24. /sbin/iptables -P INPUT DROP
  25. /sbin/iptables -P OUTPUT DROP
  26. /sbin/iptables -P FORWARD DROP
  28. # Accepte toutes les connexions sur l'interface loopback.
  29. /sbin/iptables -A INPUT -i lo -j ACCEPT
  30. /sbin/iptables -A OUTPUT -o lo -j ACCEPT
  32. # Accepte tout le trafic entrant et sortant sur ETH1 (reseau local).
  33. /sbin/iptables -A INPUT -i ${LAN} -j ACCEPT
  34. /sbin/iptables -A OUTPUT -o ${LAN} -j ACCEPT
  36. # Autorise les paquets a sortir vers l'internet.
  37. /sbin/iptables -A OUTPUT -o ${WAN} -j ACCEPT
  39. # Autorise les nouvelles connexions etablies par la passerelle a passer le pare-feu.
  40. /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
  41. /sbin/iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
  42. /sbin/iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
  44. # Active le routage des paquets.
  45. /sbin/iptables -A FORWARD -i ${LAN} -j ACCEPT
  46. /sbin/iptables -A FORWARD -o ${LAN} -j ACCEPT
  48. # Active l'option de masquage des adresses IP locales vers l'internet.
  49. /sbin/iptables -t nat -A POSTROUTING -o ${WAN} -j MASQUERADE
  51. # Ouverture des ports 22,80,443 et 1311.
  52. /sbin/iptables -A INPUT -i ${WAN} -p tcp -m state --state NEW -m multiport --destination-port 22,80,443,1311 -j ACCEPT
  53. /sbin/iptables -A INPUT -i ${WAN} -p udp -m state --state NEW -m multiport --destination-port 623 -j ACCEPT
  55. # Accepte le ping.
  56. /sbin/iptables -A INPUT -p icmp -j ACCEPT
  58. NAT_DIRECTORY="/etc/firewall/nat"
  60. # Redirige les requetes venant de l'adresse IP public vers un serveur en local.
  61. for I in $(ls ${NAT_DIRECTORY}/*.conf); do
  62.         . ${I}
  63.         /sbin/iptables -t nat -A PREROUTING -p ${PROTOCOL} -i ${DEVICE} -m multiport --dport ${PORTS} \
  64.                 -d ${SOURCEIP} -j DNAT --to-destination ${DESTINATIONIP}
  66.         iptables -t nat -A POSTROUTING -s ${DESTINATIONIP} -o ${DEVICE} -j SNAT --to-source ${SOURCEIP}
  67. done


 
Qu'ai-je oublié ?
 
Merci.


Message édité par goldyfruit le 01-09-2011 à 21:37:11

---------------
http://wiki.incloudus.com/display/DOC | http://blog.incloudus.com | http://wiki.goldzoneweb.info | http://www.stendhalclub.fr
Reply

Marsh Posté le 01-09-2011 à 21:35:47   

Reply

Marsh Posté le 01-09-2011 à 22:46:20    

Si j'ai bien compris ton histoire, dans ta chaine POSTROUTING il te faut :
    - filter / restreindre ton SNAT uniuqmenent sur le flux que tu veux (en l'occurence, le flux de messagerie / @serveur de messagerie). ça a priori tu le fais déjà (-s $(DESTINATION)
    -  faire ton masquerade sur le reste des flux, par contre du coup ça tu ne le fais plus, le trafic sort avec une adresse source non natée, inconnue des tables de routage => route par défaut, bye bye le paquet sur le net


Message édité par o'gure le 01-09-2011 à 22:49:20
Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed