[IPtables] Problème de restriction de ports

Problème de restriction de ports [IPtables] - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 06-03-2003 à 23:46:54    


   J'habite dans une résidence étudiante et nous sommes une douzaine en reseau. Un routeur sous debian s'occupe de faire le partage de connexion.
Cet apres-midi g commence a m'occupper du script firewall car depuis la mise en place du routeur on ne faisait que de du partage basique qui il faut le dire n'est pas trop sécurisé. De plus l'interet est de limiter le dl par P2P pdt al journée.
 
  tout marche bien a part la restriction de ports, en effet j'ai essaye pas mal de chose mais c du tout ou rien à chake fois.
  Donc jaimerais autoriser a passer du lan au net seulement les ports les plus utilisés comme WWW, pop, smtp ,irc et autres IM
   G essayer de faire ces restrictions sur toutes les tables mais ca en marche pas
 
 
voila mon script firewall:

Code :
  1. #!/bin/sh
  3. # Nous vidons les chaînes :
  4. iptables -F
  5. # Nous supprimons d'éventuelles chaînes personnelles :
  6. iptables -X
  8. # Nous les faisons pointer par défaut sur DROP
  10. iptables -P INPUT DROP
  11. iptables -P OUTPUT DROP
  12. iptables -P FORWARD DROP
  14. # Nous faisons de même avec toutes les autres tables,
  15. # mais en les faisant pointer
  16. # par défaut sur ACCEPT. Ca ne pose pas de problèmes
  17. # puisque tout est bloqué au niveau "filter"
  19. iptables -t nat -F
  20. iptables -t nat -X
  21. iptables -t nat -P PREROUTING ACCEPT
  22. iptables -t nat -P POSTROUTING ACCEPT
  23. iptables -t nat -P OUTPUT ACCEPT
  26. # Nous considérons que la machine elle même est sûre
  27. # et que les processus locaux peuvent communiquer entre eux
  28. # via l'interface locale :
  30. iptables -A INPUT -i lo -j ACCEPT
  31. iptables -A OUTPUT -o lo -j ACCEPT
  33. # On drop le telnet depuis le lan et le net
  34. iptables -I INPUT -i ppp0 -p tcp --dport 23 -j DROP
  35. iptables -I INPUT -i eth0 -p tcp --dport 23 -j DROP
  37. # On coupe SWAT
  38. iptables -I INPUT -i eth0 -p tcp --dport 901 -j DROP
  39. iptables -I INPUT -i ppp0 -p tcp --dport 901 -j DROP
  41. # On coupe le SSH en lan et depuis le net
  42. iptables -I INPUT -i ppp0 -p tcp --dport 22 -j DROP
  43. iptables -I INPUT -i eth0 -p tcp --dport 22 -j DROP
  45. # On autorise 2 ip pour le ssh local
  46. iptables -I INPUT -i eth0 -s 192.168.0.3 -p tcp --dport 22 -j ACCEPT
  47. iptables -I INPUT -i eth0 -s 192.168.0.4 -p tcp --dport 22 -j ACCEPT
  49. # Nous considérons que notre réseau local est sûr
  51. iptables -A INPUT -i eth0 -j ACCEPT
  52. iptables -A OUTPUT -o eth0 -j ACCEPT
  56. # Translation d'adresses pour tout ce qui traverse la passerelle
  57. # en sortant par ppp0
  58. iptables -t nat -A POSTROUTING -s 192.168.0.1 -o ppp0 -j MASQUERADE
  59. iptables -t nat -A POSTROUTING -s 192.168.0.2 -o ppp0 -j MASQUERADE
  60. iptables -t nat -A POSTROUTING -s 192.168.0.3 -o ppp0 -j MASQUERADE
  61. iptables -t nat -A POSTROUTING -s 192.168.0.4 -o ppp0 -j MASQUERADE
  62. iptables -t nat -A POSTROUTING -s 192.168.0.5 -o ppp0 -j MASQUERADE
  63. iptables -t nat -A POSTROUTING -s 192.168.0.6 -o ppp0 -j MASQUERADE
  64. iptables -t nat -A POSTROUTING -s 192.168.0.7 -o ppp0 -j MASQUERADE
  65. iptables -t nat -A POSTROUTING -s 192.168.0.8 -o ppp0 -j MASQUERADE
  66. iptables -t nat -A POSTROUTING -s 192.168.0.9 -o ppp0 -j MASQUERADE
  67. iptables -t nat -A POSTROUTING -s 192.168.0.10 -o ppp0 -j MASQUERADE
  68. iptables -t nat -A POSTROUTING -s 192.168.0.11 -o ppp0 -j MASQUERADE
  69. iptables -t nat -A POSTROUTING -s 192.168.0.12 -o ppp0 -j MASQUERADE
  71. # Toutes les connexions qui sortent du LAN vers le Net
  72. # sont acceptées
  75. iptables -A FORWARD -i eth0 -o ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  78. # Seules les connexions déjà établies ou en relation avec
  79. # des connexions établies sont acceptées venant du Net vers le LAN
  80. iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
  82. # Autorisation des requêtes DNS locales
  83. iptables -A OUTPUT -o ppp0 -p udp --sport 1024: --dport 53 -m state --state ! INVALID -j ACCEPT
  84. iptables -A INPUT -i ppp0 -p udp --sport 53 --dport 1024: -m state --state RELATED,ESTABLISHED -j ACCEPT


 
et voici le résultat d'un iptables-save:

Code :
  1. # Generated by iptables-save v1.2.6a on Thu Mar  6 23:15:26 2003
  2. *filter
  3. :INPUT DROP [247:15185]
  4. :FORWARD DROP [0:0]
  5. :OUTPUT DROP [1:40]
  6. -A INPUT -s 192.168.0.4 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
  7. -A INPUT -s 192.168.0.3 -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
  8. -A INPUT -i eth0 -p tcp -m tcp --dport 22 -j DROP
  9. -A INPUT -i ppp0 -p tcp -m tcp --dport 22 -j DROP
  10. -A INPUT -i ppp0 -p tcp -m tcp --dport 901 -j DROP
  11. -A INPUT -i eth0 -p tcp -m tcp --dport 901 -j DROP
  12. -A INPUT -i eth0 -p tcp -m tcp --dport 23 -j DROP
  13. -A INPUT -i ppp0 -p tcp -m tcp --dport 23 -j DROP
  14. -A INPUT -i lo -j ACCEPT
  15. -A INPUT -i eth0 -j ACCEPT
  16. -A INPUT -i ppp0 -p udp -m udp --sport 53 --dport 1024:65535 -m state --state RELATED,ESTABLISHED -j ACCEPT
  17. -A FORWARD -i eth0 -o ppp0 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
  18. -A FORWARD -i ppp0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
  19. -A OUTPUT -o lo -j ACCEPT
  20. -A OUTPUT -o eth0 -j ACCEPT
  21. -A OUTPUT -o ppp0 -p udp -m udp --sport 1024:65535 --dport 53 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
  22. COMMIT
  23. # Completed on Thu Mar  6 23:15:26 2003
  24. # Generated by iptables-save v1.2.6a on Thu Mar  6 23:15:26 2003
  25. *nat
  26. :PREROUTING ACCEPT [2946:146939]
  27. :POSTROUTING ACCEPT [6:400]
  28. :OUTPUT ACCEPT [6:400]
  29. -A POSTROUTING -s 192.168.0.1 -o ppp0 -j MASQUERADE
  30. -A POSTROUTING -s 192.168.0.2 -o ppp0 -j MASQUERADE
  31. -A POSTROUTING -s 192.168.0.3 -o ppp0 -j MASQUERADE
  32. -A POSTROUTING -s 192.168.0.4 -o ppp0 -j MASQUERADE
  33. -A POSTROUTING -s 192.168.0.5 -o ppp0 -j MASQUERADE
  34. -A POSTROUTING -s 192.168.0.6 -o ppp0 -j MASQUERADE
  35. -A POSTROUTING -s 192.168.0.7 -o ppp0 -j MASQUERADE
  36. -A POSTROUTING -s 192.168.0.8 -o ppp0 -j MASQUERADE
  37. -A POSTROUTING -s 192.168.0.9 -o ppp0 -j MASQUERADE
  38. -A POSTROUTING -s 192.168.0.10 -o ppp0 -j MASQUERADE
  39. -A POSTROUTING -s 192.168.0.11 -o ppp0 -j MASQUERADE
  40. -A POSTROUTING -s 192.168.0.12 -o ppp0 -j MASQUERADE
  41. COMMIT
  42. # Completed on Thu Mar  6 23:15:26 2003


 
voila si vous pouviez m'eclairer un peu ca serait sympa

Reply

Marsh Posté le 06-03-2003 à 23:46:54   

Reply

Marsh Posté le 07-03-2003 à 11:06:17    

ben si tu veux autoriser seulement certains ports en sortie lan -> internet, tu rajoute un --dport <port_que_tu_autorise> à ta règles :iptables -A FORWARD -i eth0 -o ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
 
par exemple pour autoriser que le web port 80 :
iptables -A FORWARD -i eth0 -o ppp0 --dport 80 -m state --state ! INVALID -j ACCEPT
 

Reply

Marsh Posté le 07-03-2003 à 11:12:57    

euh, elles servent strictement à rien tes règles de limitation du réseau local... puisque tu finis par tout accepter depuis et à destination du réseau local.
 
pour filtrer des ports depuis le LAN et vers internet, il va falloir appliquer tes règles sur la chaine FORWARD ; au lieu d'accepter tout ce qui sort du réseau, il ne faut accepter que les connexions à destinations de ports spécifiques : 80 pour Web, 21 pour FTP...


---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. |  Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.
Reply

Marsh Posté le 07-03-2003 à 12:43:26    

Mjules a écrit :

euh, elles servent strictement à rien tes règles de limitation du réseau local... puisque tu finis par tout accepter depuis et à destination du réseau local.
 
pour filtrer des ports depuis le LAN et vers internet, il va falloir appliquer tes règles sur la chaine FORWARD ; au lieu d'accepter tout ce qui sort du réseau, il ne faut accepter que les connexions à destinations de ports spécifiques : 80 pour Web, 21 pour FTP...


 
oui je sais les règles que jai poste sont celles qu'il faut changer pour faire ce que je veux
 
 si je fais cce que tu me proposes (accepter ke les ports que j'autorise puis ke je droppe tout à la fin), ben g des problemes
par exemple si apr cette methode jautorise le port 80 et le port 6666 pour l'irc, l'irc marche mais pas le web  
 

Reply

Marsh Posté le 07-03-2003 à 12:44:45    

nikosaka a écrit :

ben si tu veux autoriser seulement certains ports en sortie lan -> internet, tu rajoute un --dport <port_que_tu_autorise> à ta règles :iptables -A FORWARD -i eth0 -o ppp0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
 
par exemple pour autoriser que le web port 80 :
iptables -A FORWARD -i eth0 -o ppp0 --dport 80 -m state --state ! INVALID -j ACCEPT
 
 


 
ben ca aussi g teste mais ca a pas l'air de marcher
enfin je retenterais ca ce soir  
Merci pour vos reponses

Reply

Marsh Posté le 07-03-2003 à 19:47:44    


     UPeuhh

Reply

Marsh Posté le 07-03-2003 à 20:17:27    

commence par réécrire proprement ton script.
Utilise plutôt des iptables -A ....(ajout à la fin) que iptables -I ... (insertion)
c'est plus facile à lire et à comprendre car l'ordre de tes commandes est important.
Avec -A un paquet entrant parcours tes règles iptables de haut en bas et sort du script (la cible : -j ) lorsqu'il trouve la  1ère règle auquel il correspond (protocol, port , etc...)

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed