iptables sur un proxy squid transparent

iptables sur un proxy squid transparent - Sécurité - Systèmes & Réseaux Pro

Marsh Posté le 03-05-2012 à 14:14:56    

Bonjour,
 
je cherche à bloquer tous les ports en entrée sur l'interface du réseau connecté à squid. J'ai fait un tour dans la section recherche, et je suis tombé sur ce topic:
http://forum.hardware.fr/hfr/syste [...] 6458_1.htm
 
Le problème est que je ne comprends pas le script final qui en ressort.
Mon archi: 2 cartes réseaux, une dans le réseau de la free** et l'autre dans le réseau squid.
 
Le routage entre les deux cartes en passant par la redirection http/s vers le squid fonctionne bien.
Mais si un pc est connecté dans le réseau squid et qu'il tente une connexion ssh sur l'ip de sa passerelle (donc le serveur squid),
sa tentative est un succès même s'il n'a pas les identifiant de connexion.
 
Ce que je voudrai, c'est bloquer tous les ports en entrée de la carte réseau squid sauf le http/s et le dns.
 
Si je modifie la règle

Code :
  1. iptables -A INPUT -i $RISKS_IFACE -j ACCEPT


par

Code :
  1. iptables -A INPUT -i $RISKS_IFACE -p tcp --dport 53 -j ACCEPT
  2. iptables -A INPUT -i $RISKS_IFACE -p udp --dport 53 -j ACCEPT
  3. iptables -A INPUT -i $RISKS_IFACE -p tcp --dport 80 -j ACCEPT
  4. iptables -A INPUT -i $RISKS_IFACE -p tcp --dport 443 -j ACCEPT


 
Et bien plus de net sur les machines clientes.
 
Détails:
SECURE_IFACE => interface dans lan connecté à internet
RISKS_IFACE => interface dans le lan derrière le squid
SQUID_SECURE_SERVER => ip du squid dans le lan connecté à internet
SQUID_RISKS_SERVER => ip du squid dans le lan derrière le squid
 
Voilà mon iptables:

Code :
  1. #!/bin/sh
  3. # Variables
  4. SQUID_SECURE_SERVER="192.168.2.43"      # serveur Squid connecté au réseau sécurisé
  5. SQUID_RISKS_SERVER="192.168.1.2"        # serveur Squid au réseau à risques
  6. SQUID_PORT="3128"                       # port du serveur squid
  7. SECURE_LAN="192.168.2.0/24"             # LAN sécurisé
  8. RISKS_LAN="192.168.1.0/24"              # LAN à risques
  9. SECURE_IFACE="eth0"                     # interface connecté à internet
  10. RISKS_IFACE="eth1"                      # interface connecté au réseau à risques
  12. # Modules
  13. /sbin/modprobe ip_conntrack
  15. # Sysctl
  16. echo 1 > /proc/sys/net/ipv4/ip_forward
  18. #################################################
  19. # Vider les tables actuelles
  20. #################################################
  21. iptables -F
  22. iptables -X
  23. iptables -t nat -F
  24. iptables -t nat -X
  25. iptables -t mangle -F
  26. iptables -t mangle -X
  28. #################################################
  29. # default policy : DROP
  30. #################################################
  31. iptables -P INPUT DROP
  32. iptables -P OUTPUT DROP
  33. #iptables -N LOGDROP
  34. #iptables -A LOGDROP -j LOG
  35. #iptables -A LOGDROP -j DROP
  37. #################################################
  38. # accepte tout ce qui concerne l'interface loopback
  39. #################################################
  40. iptables -A INPUT -i lo -j ACCEPT
  41. iptables -A OUTPUT -o lo -j ACCEPT
  43. #################################################
  44. # on accepte les paquets relatifs aux connexions deja ouvertes
  45. #################################################
  46. # eth0
  47. iptables -A INPUT -i $SECURE_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT
  48. iptables -A OUTPUT -o $SECURE_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT
  49. # eth1
  50. iptables -A INPUT -i $RISKS_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT
  51. iptables -A OUTPUT -o $RISKS_IFACE -m state --state ESTABLISHED,RELATED -j ACCEPT
  53. #################################################
  54. # on accepte les requetes icmp
  55. #################################################
  56. # eth0
  57. iptables -A INPUT -i $SECURE_IFACE -p icmp -s $SECURE_LAN -d $SQUID_SECURE_SERVER --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
  58. iptables -A INPUT -i $SECURE_IFACE -p icmp -s $SECURE_LAN -d $SQUID_SECURE_SERVER --icmp-type echo-request -j ACCEPT
  59. # eth1
  60. iptables -A INPUT -i $RISKS_IFACE -p icmp -s $RISKS_LAN -d $SQUID_RISKS_SERVER --icmp-type echo-request -j DROP
  62. #################################################
  63. # SSH
  64. #################################################
  65. # eth0
  66. iptables -A INPUT -i $SECURE_IFACE -p tcp -s $SECURE_LAN -d $SQUID_SECURE_SERVER --dport 22 -j ACCEPT
  69. #################################################
  70. # DNS
  71. #################################################
  72. # iptables -A INPUT -i $RISKS_IFACE -p udp -s $RISKS_LAN --dport 53 -j ACCEPT
  74. #################################################
  75. # Routage
  76. #################################################
  77. iptables --table nat --append POSTROUTING -o $SECURE_IFACE -j MASQUERADE
  78. #iptables -A FORWARD -i $RISKS_IFACE -j ACCEPT
  79. iptables -A FORWARD --in-interface $RISKS_IFACE -j ACCEPT
  80. iptables -A INPUT -i $RISKS_IFACE -j ACCEPT # <<<<<<<-------------------------------------- TOUT EST OUVERT !!!!!
  81. iptables -t nat -A PREROUTING -i $RISKS_IFACE -p tcp --dport 80 -j DNAT --to $SQUID_SECURE_SERVER:$SQUID_PORT
  82. iptables -t nat -A PREROUTING -i $SECURE_IFACE -p tcp --dport 80 -j REDIRECT --to-port $SQUID_PORT
  84. #################################################
  85. # on accepte ce qui sort vers l'exterieur
  86. #################################################
  87. # eth0
  88. iptables -A OUTPUT -o $SECURE_IFACE -j ACCEPT
  89. # eth1
  90. iptables -A OUTPUT -o $RISKS_IFACE -j ACCEPT
  92. #################################################
  93. # LOG et DROP tout le reste
  94. #################################################
  95. iptables -A INPUT -j LOG
  96. iptables -A INPUT -j DROP


 
Vous auriez une super idée ?

Reply

Marsh Posté le 03-05-2012 à 14:14:56   

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed