[résolu]help problème iptables

bubu8941 · Le 22/05/2007, à 16:18

voila j'utilise un serveur debian avec xen d'installé dessus...
lorsque je met mon script de firewall au démarrage de la machine virtuelle, plus rien ne semble fonctionner.. alors que je pense que mon script est correct ... le voici :

#!/bin/bash

#nettoyage iptable
/sbin/iptables -t filter -F
/sbin/iptables -t nat -F
/sbin/iptables -t mangle -F
/sbin/iptables -t raw -F
/sbin/iptables -t filter -P INPUT ACCEPT
/sbin/iptables -t filter -P OUTPUT ACCEPT
/sbin/iptables -t filter -P FORWARD ACCEPT
/sbin/iptables -t nat -P PREROUTING ACCEPT
/sbin/iptables -t nat -P POSTROUTING ACCEPT
/sbin/iptables -t nat -P OUTPUT ACCEPT
/sbin/iptables -t mangle -P PREROUTING ACCEPT
/sbin/iptables -t mangle -P OUTPUT ACCEPT
/sbin/iptables -t mangle -P POSTROUTING ACCEPT
/sbin/iptables -t mangle -P FORWARD ACCEPT
/sbin/iptables -t mangle -P INPUT ACCEPT
/sbin/iptables -t raw -P OUTPUT ACCEPT
/sbin/iptables -t raw -P PREROUTING ACCEPT
#autorisation ssh et/ou ldap port entrant
/sbin/iptables -A INPUT -p tcp -i eth0 --dport ssh -j ACCEPT
/sbin/iptables -A INPUT -p tcp -i eth0 --dport ldap -j ACCEPT
/sbin/iptables -A INPUT -p tcp -i eth0 --dport ftp -j ACCEPT
/sbin/iptables -A INPUT -p tcp -i eth0 --dport nfs -j ACCEPT

#bloquer reste du trafic entrant
/sbin/iptables -P INPUT DROP
#autoriser le trafic en local
/sbin/iptables -I INPUT 2 -i lo -j ACCEPT

Dernière modification par bubu8941 (Le 24/05/2007, à 11:46)

bubu8941 · Le 22/05/2007, à 16:55

euh au secours

Santa · Le 22/05/2007, à 17:02

Plus rien ne semble fonctionner... C'est à dire ?
Plus de connection ssh par exemple ?
Est ce que lorsque tu flush les rêgles ssh remarche ?

bubu8941 · Le 22/05/2007, à 17:11

en effet, plus de connexion ssh :./
oui tout refonctionne quand je remet une politique ACCEPT pour INPUT....
je ne comprend pas ce qui bloque dans le sens où une fois que j'ai autorisé les services qui me sont nécessaires, cela devrait fonctionner.....

Santa · Le 22/05/2007, à 17:20

Est-tu sur qu'avec xen c'est bien eth0 qui est utilisé ??
Si ça se trouve en virtuel ça n'est pas routé par eth mais directement en lo.

bubu8941 · Le 22/05/2007, à 17:35

non il s'agit bien de l'interface eth0
en fait il y a un brdige entre l'interface virtuelle de la machine virtuelle et l'interface réelle
au fait merci Santa de m'aider

Dernière modification par bubu8941 (Le 22/05/2007, à 17:37)

Santa · Le 23/05/2007, à 09:41

Question bête: tu n'as pas changer le port d'écoute de ton serveur ssh ??
Il écoute bien sur le port 22 ?

Essaye de mettre 22 au lieu de ssh dans ton script. Peut-être que le fichier /etc/services est mal renseigné... J'y crois pas trop mais bon.

bubu8941 · Le 23/05/2007, à 10:13

ok je vais vérifier ça mais je ne me souviens pas avoir changé le port d'écoute de ssh

bubu8941 · Le 23/05/2007, à 10:38

ouais avec 22 c'est pas trop ça même si je peux me loger, je m'explique :
il faut deux bonnes minutes pour que le serveur me demande mon mot de passe et encore 5 bonnes minutes pour être dans ma session ....

Santa · Le 23/05/2007, à 10:42

Ca ressemble à un pb de résolution DNS. SSH fait une résolution DNS sur l'IP du client pour les logs, vérifie que ta machine virtuelle résout facilement des requêtes dns lorsque le script iptables est actif.

bubu8941 · Le 23/05/2007, à 10:51

ouais mais quand on a pas de dns comment on fait pour contourner ce souci??

Santa · Le 23/05/2007, à 10:57

Que se passe-t-il si tu change la policy INPUT en REJECT au lieu de DROP ?

bubu8941 · Le 23/05/2007, à 11:12

le REJECT me met comme erreur "Bad policy name", et remplace le DROP par un ACCEPt

Santa · Le 23/05/2007, à 11:17

Et pour les autres services tu as le même comportement ?? Un lag de 2 mn avant de fonctionner ?
ftp par ex.

Santa · Le 23/05/2007, à 11:26

Dans le fichier /etc/hosts de la machine virtuelle, ajoute les noms de tes deux machines. Genre:

192.168.0.2 madebian
192.168.0.3 debianxen

Ca aidera la resol dns si c'est ça le pb.

bubu8941 · Le 23/05/2007, à 11:46

j'ai fait cette modification mais cela ne change rien à mon problème de délai..

Santa · Le 23/05/2007, à 14:30

Je cale. Surtout si ton ftp fait pareil...
Essaye de sniffer avec wireshark si tu te le sens...

bubu8941 · Le 23/05/2007, à 14:50

ouais n'empêche je me demande si les problèmes viennent du fait que cette machine soit une vm xen (que j'ai d'ailleurs eu toutes les peines du monde à faire tourner) enfin merci quand même du coup de main ^^

fredr · Le 23/05/2007, à 18:33

Essayes d'ajouter:

iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

FredR

fredr · Le 23/05/2007, à 18:36

Mon script iptables ci dessous: il ne me pose aucun problème.

#!/bin/sh
##
## iptables.sh
##
## Made by Frederic
## Login <fredremy@fredremy-laptop>

##

iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -I INPUT -i vmnet8 -j ACCEPT
iptables -I OUTPUT -o vmnet8 -j ACCEPT

iptables -I INPUT -s 127.0.0.1 -j ACCEPT

iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -I INPUT -p TCP --dport 20 -m state --state NEW -j ACCEPT
iptables -I INPUT -p TCP --dport 21 -m state --state NEW -j ACCEPT
iptables -I INPUT -p TCP --dport 80 -m state --state NEW -j ACCEPT
iptables -I INPUT -p TCP --dport 443 -m state --state NEW -j ACCEPT
iptables -I INPUT -p TCP --dport 23 -m state --state NEW -j ACCEPT

rj · Le 23/05/2007, à 19:53

Bonjour,

En suivant le tutoriel "Comment configurer son réseau local" j'essai de mettre en place la fonction "ICS" sur un poste Ubunu 6.06 dapper et je coince au chapitre "Activer le partage de connexions.

Le poste qui recoit ICS a une l'adresse: 10.0.0.2 - masque: 255.0.0.0 - passerelle - 10.0.0.138 et est connecté au reseau via une carte eth0

J'ai un portable qui a une l'adresse: 10.0.0.3 - masque: 255.0.0.0 - passerelle - 10.0.0.138

Mon modem/routeur est un speedtouch 530 est connecé au poste qui recoit le ICS via eth1 avec dhcp

j'ai activer le partage réseau par:

iptables -t nat -A POSTROUTING -s 10.0.0.0/32 -o eth1 -j MASQUERADE

Daprès le tutoriel à ce stade je doit pouvoir me connecter sur internet.

Je peus me connecter avec la poste ICS mais pas avec le portable

Je pense avoir fait une erreur avec le paramtrage des postes

Quelqu'un a t-il une idée à me donner

Santa · Le 23/05/2007, à 20:17

=> rj crée un nouveau poste pour ta question

=> fredr, ça se tente mais si ça marche je comprends pas: avec
/sbin/iptables -A INPUT -p tcp -i eth0 --dport ssh -j ACCEPT
il couvre déjà les established. Et en ssh il n'y a pas de RELATED.

Mais qui ne tente rien...

bubu8941 · Le 24/05/2007, à 10:58

merci fredr merci merci merci tout fonctionne correctement maintenant
encore merci à tout le monde

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 22/05/2007, à 16:18

[résolu]help problème iptables

#2 Le 22/05/2007, à 16:55

Re : [résolu]help problème iptables

#3 Le 22/05/2007, à 17:02

Re : [résolu]help problème iptables

#4 Le 22/05/2007, à 17:11

Re : [résolu]help problème iptables

#5 Le 22/05/2007, à 17:20

Re : [résolu]help problème iptables

#6 Le 22/05/2007, à 17:35

Re : [résolu]help problème iptables

#7 Le 23/05/2007, à 09:41

Re : [résolu]help problème iptables

#8 Le 23/05/2007, à 10:13

Re : [résolu]help problème iptables

#9 Le 23/05/2007, à 10:38

Re : [résolu]help problème iptables

#10 Le 23/05/2007, à 10:42

Re : [résolu]help problème iptables

#11 Le 23/05/2007, à 10:51

Re : [résolu]help problème iptables

#12 Le 23/05/2007, à 10:57

Re : [résolu]help problème iptables

#13 Le 23/05/2007, à 11:12

Re : [résolu]help problème iptables

#14 Le 23/05/2007, à 11:17

Re : [résolu]help problème iptables

#15 Le 23/05/2007, à 11:26

Re : [résolu]help problème iptables

#16 Le 23/05/2007, à 11:46

Re : [résolu]help problème iptables

#17 Le 23/05/2007, à 14:30

Re : [résolu]help problème iptables

#18 Le 23/05/2007, à 14:50

Re : [résolu]help problème iptables

#19 Le 23/05/2007, à 18:33

Re : [résolu]help problème iptables

#20 Le 23/05/2007, à 18:36

Re : [résolu]help problème iptables

#21 Le 23/05/2007, à 19:53

Re : [résolu]help problème iptables

#22 Le 23/05/2007, à 20:17

Re : [résolu]help problème iptables

#23 Le 24/05/2007, à 10:58

Re : [résolu]help problème iptables

Pied de page des forums