Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11

[HS] iptables et ip aliasing

20 réponses
Avatar
steve
Bonjour,

Ayant eu le besoin pour une ip de plus, j'en ai cr=E9=E9 une, eth1:0, sur l=
aquelle=20
=E9coute un apache. Maintenant j'aimerai pourvoir acc=E9der =E0 ce serveur =
depuis=20
n'importe o=F9 dans mon r=E9seau local.=20
J'ai donc =E9crit quelque r=E8gle iptables pour le permettre. Le probl=E8me=
se=20
pr=E9sente au moment o=F9 je relance mon script :

Warning: weird character in interface `eth1:0' (No aliases, :, ! or *)
=20
Dans le script, je l'ai d=E9finie ainsi : var=3D"eth1:0". (j'ai essay=E9 sa=
ns=20
les "", et =E7a ne change rien).

Donc je suis all=E9 demander =E0 google ce qu'il en pensait, et il en pense=
=20
beaucoup mais pas forc=E9ment toujours de la m=EAme mani=E8re. Certains dis=
ent=20
qu'on ne peut pas faire de l'ip aliasing avec iptables, d'autres que c'est=
=20
possible. Je m'en remets donc =E0 vous.

Merci

=2D-=20
steve
jabber : sdl@jabber.org

10 réponses

1 2
Avatar
Sylvain Sauvage
Lundi 8 mai 2006, 12:22:26 CEST, steve a écrit :

Bonjour,



'jour,

Ayant eu le besoin pour une ip de plus, j'en ai créé une, eth1:0, sur
laquelle écoute un apache. Maintenant j'aimerai pourvoir accéder à ce
serveur depuis n'importe où dans mon réseau local.
J'ai donc écrit quelque règle iptables pour le permettre. Le problème
se présente au moment où je relance mon script :

Warning: weird character in interface `eth1:0' (No aliases, :, ! or *)

Dans le script, je l'ai définie ainsi : var="eth1:0". (j'ai essayé sans
les "", et ça ne change rien).

Donc je suis allé demander à google ce qu'il en pensait, et il en pense
beaucoup mais pas forcément toujours de la même manière. Certains
disent qu'on ne peut pas faire de l'ip aliasing avec iptables, d'autres
que c'est possible. Je m'en remets donc à vous.



Google a raison : on peut avoir plusieurs réseaux sur la même interface
(donc des alias), mais iptables ne peut pas filtrer avec/par rapport à
une interface alias (eth1:0 est, pour iptables, eth1) : les alias ne
peuvent pas apparaître dans les options -i et -o.
Il faut que tu filtres sur l'IP.

--
Sylvain Sauvage


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
Pascal Hambourg
Salut,

steve a écrit :

Ayant eu le besoin pour une ip de plus, j'en ai créé une, eth1:0, sur laquelle
écoute un apache. Maintenant j'aimerai pourvoir accéder à ce serveur depuis
n'importe où dans mon réseau local.
J'ai donc écrit quelque règle iptables pour le permettre. Le problème se
présente au moment où je relance mon script :

Warning: weird character in interface `eth1:0' (No aliases, :, ! or *)



Ce message n'est qu'un warning, et tu peux vérifier que la règle est
quand même créée. Contrairement à ce qu'écrit Sylvain, on peut mettre à
peu près ce qu'on veut comme nom d'interface dans les options -i et -o
d'une règle iptables, même des interfaces qui n'existent pas | pas
encore | plus. Mais il a raison dans le sens où elle ne se déclenchera
pas, car l'interface eth1:0 n'existe pas.

Les alias IP sont une imposture, tout comme ce qu'affiche ifconfig. En
réalité ifconfig n'affiche pas des interfaces mais des "labels". Un
label est un identificateur optionnel associé à une adresse IPv4
attribuée à une interface. Par défaut le label est le nom de
l'interface. Un alias IP est juste un autre label, pas une interface.
Les labels ne servent guère qu'à ifconfig, et sont ignorés par le
routage ou iptables pour qui seules les "véritables" interfaces et les
adresses comptent.


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
steve
Le Lundi 8 Mai 2006 21:59, Pascal Hambourg a écrit :
Salut,



Salut,


steve a écrit :
> Ayant eu le besoin pour une ip de plus, j'en ai créé une, eth1:0, s ur
> laquelle écoute un apache. Maintenant j'aimerai pourvoir accéder à ce
> serveur depuis n'importe où dans mon réseau local.
> J'ai donc écrit quelque règle iptables pour le permettre. Le probl ème se
> présente au moment où je relance mon script :
>
> Warning: weird character in interface `eth1:0' (No aliases, :, ! or *)

Ce message n'est qu'un warning, et tu peux vérifier que la règle est
quand même créée. Contrairement à ce qu'écrit Sylvain, on peut mettre à
peu près ce qu'on veut comme nom d'interface dans les options -i et -o
d'une règle iptables, même des interfaces qui n'existent pas | pas
encore | plus. Mais il a raison dans le sens où elle ne se déclenchera
pas, car l'interface eth1:0 n'existe pas.

Les alias IP sont une imposture, tout comme ce qu'affiche ifconfig. En
réalité ifconfig n'affiche pas des interfaces mais des "labels". Un
label est un identificateur optionnel associé à une adresse IPv4
attribuée à une interface. Par défaut le label est le nom de
l'interface. Un alias IP est juste un autre label, pas une interface.
Les labels ne servent guère qu'à ifconfig, et sont ignorés par le
routage ou iptables pour qui seules les "véritables" interfaces et les
adresses comptent.




Merci pour cette présentation !

Toutefois, ça ne résout pas mon problème. Ce que j'essaie de faire, c 'est
d'avoir 2 sites web sur la même machine et accessible depuis mon réseau
interne (en 192.168.20.0/24). J'ai trois interfaces sur le serveur : eth0 s ur
internet, eth1 (192.168.2.2) et ath0 (192.168.20.1).

J'ai un serveur web auquel j'accède via www.maison.mrs et un autre sous
dolibarr.maison.mrs. J'arrive accéder aux 2 sites depuis le serveur, au
www.maison.mrs depuis le réseau local (wifi), mais pas au 2e site. D'aill eurs
je n'arrive pas à pinger depuis 192.168.20.2 sur 192.168.2.2. J'ai essay é
plusieurs règles iptables (un peu au bol il y est vrai...), mais je n'y
parviens pas. J'ai pensé faire du port forwarding depuis 192.168.20.1:80 sur
192.168.2.2:80, ... pas marché ;-(

Comment je fais pour faire passer les paquets de ath0 sur eth1 (ip_forward
déjà est à 1) ?


Merci !

--
steve
jabber :
Avatar
Pascal Hambourg
steve a écrit :

Ce que j'essaie de faire, c'est
d'avoir 2 sites web sur la même machine et accessible depuis mon réseau
interne (en 192.168.20.0/24). J'ai trois interfaces sur le serveur : eth0 sur
internet, eth1 (192.168.2.2) et ath0 (192.168.20.1).

J'ai un serveur web auquel j'accède via www.maison.mrs et un autre sous
dolibarr.maison.mrs.



A quelle(s) adresse(s) IP correspondent ces noms ?

J'arrive accéder aux 2 sites depuis le serveur, au
www.maison.mrs depuis le réseau local (wifi),



Qui correspond à quelle interface ?

mais pas au 2e site. D'ailleurs
je n'arrive pas à pinger depuis 192.168.20.2 sur 192.168.2.2.



Ça veut dire quoi exactement "je n'arrive pas" ? Il y a un message
d'erreur ?
La machine ayant l'adresse 192.168.20.2 a-t-elle une route explicite ou
par défaut pour joindre 192.168.2.2 ? Y a-t-il du filtrage IP sur les
machines ?

J'ai essayé
plusieurs règles iptables (un peu au bol il y est vrai...), mais je n'y
parviens pas.



Tu veux parvenir à *quoi* exactement ?

J'ai pensé faire du port forwarding depuis 192.168.20.1:80 sur
192.168.2.2:80, ... pas marché ;-(



Tu n'as pas besoin de faire du port forwarding (NAT destination). En
fait tu n'as pas besoin d'iptables, sauf si tu bloques du trafic par
défaut et que tu dois autoriser du trafic explicitement.

Comment je fais pour faire passer les paquets de ath0 sur eth1 (ip_forward
déjà est à 1) ?



Tu n'as pas besoin de "forwarder" des paquets d'une interface à une
autre. Les paquets "forwardés" sont uniquement ceux reçus et destinés à
une autre machine. Les paquets reçus avec une adresse destination
appartenant à la machine sont dirigés vers les processus locaux même si
l'adresse ne correspond pas à l'interface d'arrivée. Les sockets TCP/UDP
ne sont pas spécialement concernés par les interfaces.

En fait le réseau c'est simple :
- un paquet arrive sur n'importe quelle interface avec n'importe quelle
adresse destination appartenant à la machine -> je prends ;
- un paquet arrive avec une adresse de destination n'appartenant pas à
la machine -> je forwarde (si forwarding activé).


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
on4hu
comme ce sont 2 réseau différent ton masque est t'il prévu pour, par exemple:
255.255.0.0 et non 255.255.255.0 ?
André ON4HU

Le Mardi 9 Mai 2006 13:36, Pascal Hambourg a écrit :
steve a écrit :
> Ce que j'essaie de faire, c'est
> d'avoir 2 sites web sur la même machine et accessible depuis mon ré seau
> interne (en 192.168.20.0/24). J'ai trois interfaces sur le serveur : et h0
> sur internet, eth1 (192.168.2.2) et ath0 (192.168.20.1).
>
> J'ai un serveur web auquel j'accède via www.maison.mrs et un autre so us
> dolibarr.maison.mrs.

A quelle(s) adresse(s) IP correspondent ces noms ?

> J'arrive accéder aux 2 sites depuis le serveur, au
> www.maison.mrs depuis le réseau local (wifi),

Qui correspond à quelle interface ?

> mais pas au 2e site. D'ailleurs
> je n'arrive pas à pinger depuis 192.168.20.2 sur 192.168.2.2.

Ça veut dire quoi exactement "je n'arrive pas" ? Il y a un message
d'erreur ?
La machine ayant l'adresse 192.168.20.2 a-t-elle une route explicite ou
par défaut pour joindre 192.168.2.2 ? Y a-t-il du filtrage IP sur les
machines ?

> J'ai essayé
> plusieurs règles iptables (un peu au bol il y est vrai...), mais je n 'y
> parviens pas.

Tu veux parvenir à *quoi* exactement ?

> J'ai pensé faire du port forwarding depuis 192.168.20.1:80 sur
> 192.168.2.2:80, ... pas marché ;-(

Tu n'as pas besoin de faire du port forwarding (NAT destination). En
fait tu n'as pas besoin d'iptables, sauf si tu bloques du trafic par
défaut et que tu dois autoriser du trafic explicitement.

> Comment je fais pour faire passer les paquets de ath0 sur eth1
> (ip_forward déjà est à 1) ?

Tu n'as pas besoin de "forwarder" des paquets d'une interface à une
autre. Les paquets "forwardés" sont uniquement ceux reçus et destin és à
une autre machine. Les paquets reçus avec une adresse destination
appartenant à la machine sont dirigés vers les processus locaux mêm e si
l'adresse ne correspond pas à l'interface d'arrivée. Les sockets TCP/ UDP
ne sont pas spécialement concernés par les interfaces.

En fait le réseau c'est simple :
- un paquet arrive sur n'importe quelle interface avec n'importe quelle
adresse destination appartenant à la machine -> je prends ;
- un paquet arrive avec une adresse de destination n'appartenant pas à
la machine -> je forwarde (si forwarding activé).



--
WEB server: http://www.on4hu.be/
FTP server: ftp://ftp.on4hu.be/
COMPUTERS ARE LIKE AIR-CONDITIONERS THEY STOP WORKING
PROPERLY AS SOON AS YOU OPEN WINDOWS
Avatar
steve
Le Mardi 9 Mai 2006 13:36, Pascal Hambourg a écrit :
steve a écrit :
> Ce que j'essaie de faire, c'est
> d'avoir 2 sites web sur la même machine et accessible depuis mon ré seau
> interne (en 192.168.20.0/24). J'ai trois interfaces sur le serveur : et h0
> sur internet, eth1 (192.168.2.2) et ath0 (192.168.20.1).
>
> J'ai un serveur web auquel j'accède via www.maison.mrs et un autre so us
> dolibarr.maison.mrs.

A quelle(s) adresse(s) IP correspondent ces noms ?



www.maison.mrs : 192.168.20.1
dolibarr.maison.mrs : 192.168.2.2

J'ai défini deux VirtualHost dans httpd.conf .

De plus, j'ai mis une entrée A pour chacun dans ma zone maison.mrs (bind).


> J'arrive accéder aux 2 sites depuis le serveur, au
> www.maison.mrs depuis le réseau local (wifi),

Qui correspond à quelle interface ?



192.168.20.1.

Ce que j'appelle le réseau local (en wifi) est en 192.168.20.0/24


> mais pas au 2e site. D'ailleurs
> je n'arrive pas à pinger depuis 192.168.20.2 sur 192.168.2.2.

Ça veut dire quoi exactement "je n'arrive pas" ? Il y a un message
d'erreur ?



non. je pingue et il ne se passe rien, à part que si je pingue sur
dolibarr.maison.mrs, il me trouve la bonne IP:

ping dolibarr.maison.mrs
PING dolibarr.maison.mrs (192.168.2.2) 56(84) bytes of data.

et nada. ça ne passe pas.

La machine ayant l'adresse 192.168.20.2 a-t-elle une route explicite ou
par défaut pour joindre 192.168.2.2 ?



non. la route par défaut passe par 192.168.20.1 puis par eth0 (192.168.1. 34)
puis vers le net via le modem en 192.168.1.1, mais rien vers le réseau
192.168.2.0.

Y a-t-il du filtrage IP sur les machines ?



Il y a des règles iptables pour bloquer l'accès depuis le net, que j'ou vre au
cas par cas si besoin est.


> J'ai essayé
> plusieurs règles iptables (un peu au bol il y est vrai...), mais je n 'y
> parviens pas.

Tu veux parvenir à *quoi* exactement ?



je veux que les postes de mon réseau wifi soient capables d'aller sur les deux
sites; pour le moment seul le www.maison.mrs est accessible.



> J'ai pensé faire du port forwarding depuis 192.168.20.1:80 sur
> 192.168.2.2:80, ... pas marché ;-(

Tu n'as pas besoin de faire du port forwarding (NAT destination). En
fait tu n'as pas besoin d'iptables, sauf si tu bloques du trafic par
défaut et que tu dois autoriser du trafic explicitement.



ce que je fais pour le net.

> Comment je fais pour faire passer les paquets de ath0 sur eth1
> (ip_forward déjà est à 1) ?

Tu n'as pas besoin de "forwarder" des paquets d'une interface à une
autre.



c'est bien ce qui se passe quand on fait

echo 1 > /proc/sys/net/ipv4/ip_forward

n'est-ce pas ?

Les paquets "forwardés" sont uniquement ceux reçus et destinés à
une autre machine. Les paquets reçus avec une adresse destination
appartenant à la machine sont dirigés vers les processus locaux mêm e si
l'adresse ne correspond pas à l'interface d'arrivée. Les sockets TCP/ UDP
ne sont pas spécialement concernés par les interfaces.

En fait le réseau c'est simple :



c'est toujours ce qu'on dit quand ça marche ;-)

- un paquet arrive sur n'importe quelle interface avec n'importe quelle
adresse destination appartenant à la machine -> je prends ;
- un paquet arrive avec une adresse de destination n'appartenant pas à
la machine -> je forwarde (si forwarding activé).



alors pourquoi ça ne marche pas dans mon cas ? est-ce dû au virtualhost ing par
IP de Apache ? des règles iptables mal foutues ? le crachin qu'il fait
aujourd'hui ?


En tous cas merci Pascal pour ces très claires explications. Je vais de c e pas
essayer de les mettre en applications.

@ plouff



--
steve
jabber :
Avatar
steve
Le Mardi 9 Mai 2006 14:33, on4hu a écrit :
bonjours



salut


je suis nouveau sur cette liste, ceçi est mon 1er poste...



mais 2e message ..
d'ailleurs ce serait bien d'ouvrir un fil et non pas me pirater le mien ;-)

a plusieurs reprise j'ai tenté d'installer la Debian 3.1r1 sur plusieur s PC
et je me retrouve chaque fois avec une définition écran de 600x480 al ors
que toutes les autres distributions j'ai le choix a un peu plus de qualit é!

y a t' il un moyen simple pour installer directement avec que définition
meilleure que celle digne d'un PC de 1980 ?
ou un moyen simple pour rectifier ce tir

mes carte video sont soit Nvidia.. soit ATI.. mais je suppose que c'est un
fait connu chez Debian mais pour un démarrage je n'ai trouver aucune
explication

André ON4HU



pour reconfigurer le serveur X

dpkg-reconfigure xserver-xfree86 (pour sarge)

ou

dpkg-reconfigure xserver-xorg (pour etch)


--
steve
jabber :
Avatar
Klaus Becker
Le Dienstag 09 Mai 2006 14:33, on4hu a écrit :
bonjours

je suis nouveau sur cette liste, ceçi est mon 1er poste...

a plusieurs reprise j'ai tenté d'installer la Debian 3.1r1 sur plusieur s PC
et je me retrouve chaque fois avec une définition écran de 600x480 al ors
que toutes les autres distributions j'ai le choix a un peu plus de qualit é!

y a t' il un moyen simple pour installer directement avec que définition
meilleure que celle digne d'un PC de 1980 ?
ou un moyen simple pour rectifier ce tir

mes carte video sont soit Nvidia.. soit ATI.. mais je suppose que c'est un
fait connu chez Debian mais pour un démarrage je n'ai trouver aucune
explication

André ON4HU



un moyen simple est aussi de prendre une knoppix et de copier le
fichier /etc/X11/XF86Config-4 sur ton système. Fais une sauvegarde de ton
fichier avant.

Klaus
Avatar
on4hu
bonjours

je suis nouveau sur cette liste, ceçi est mon 1er poste...

a plusieurs reprise j'ai tenté d'installer la Debian 3.1r1 sur plusieurs PC
et je me retrouve chaque fois avec une définition écran de 600x480 alors
que toutes les autres distributions j'ai le choix a un peu plus de qualit é!

y a t' il un moyen simple pour installer directement avec que définition
meilleure que celle digne d'un PC de 1980 ?
ou un moyen simple pour rectifier ce tir

mes carte video sont soit Nvidia.. soit ATI.. mais je suppose que c'est un
fait connu chez Debian mais pour un démarrage je n'ai trouver aucune
explication

André ON4HU

--
WEB server: http://www.on4hu.be/
FTP server: ftp://ftp.on4hu.be/
COMPUTERS ARE LIKE AIR-CONDITIONERS THEY STOP WORKING
PROPERLY AS SOON AS YOU OPEN WINDOWS
Avatar
on4hu
merci a tout les deux... je vais encore tenter une dernière fois
l'installation de la Debian
pas N° 2 mais numéro 4.. car 2 me sont revenu avec unknow user
c'est la raison de mon piratage car c'étais bien 2 X un nouveau post
que j'avais écris précédament , par contre les réponses au post exi stants
fonctionnent mais je crois que c'est réglé maintenant
André ON4HU

Le Mardi 9 Mai 2006 14:36, steve a écrit :
Le Mardi 9 Mai 2006 14:33, on4hu a écrit :
> bonjours

salut

> je suis nouveau sur cette liste, ceçi est mon 1er poste...

mais 2e message ..
d'ailleurs ce serait bien d'ouvrir un fil et non pas me pirater le mien ; -)

> a plusieurs reprise j'ai tenté d'installer la Debian 3.1r1 sur plusie urs
> PC et je me retrouve chaque fois avec une définition écran de 600x4 80
> alors que toutes les autres distributions j'ai le choix a un peu plus de
> qualité!
>
> y a t' il un moyen simple pour installer directement avec que définit ion
> meilleure que celle digne d'un PC de 1980 ?
> ou un moyen simple pour rectifier ce tir
>
> mes carte video sont soit Nvidia.. soit ATI.. mais je suppose que c'est
> un fait connu chez Debian mais pour un démarrage je n'ai trouver aucu ne
> explication
>
> André ON4HU

pour reconfigurer le serveur X

dpkg-reconfigure xserver-xfree86 (pour sarge)

ou

dpkg-reconfigure xserver-xorg (pour etch)



--
WEB server: http://www.on4hu.be/
FTP server: ftp://ftp.on4hu.be/
COMPUTERS ARE LIKE AIR-CONDITIONERS THEY STOP WORKING
PROPERLY AS SOON AS YOU OPEN WINDOWS
1 2