Je travaille actuellement mon script iptables.
Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop de ce
que je ne voulais pas.
J'ai décidé d'etre plus propre et de mettre DROP par defaut, et d'autorisé
ce que je souhaite.
Mon serveur fait passerelle de mon rezo local:
WEB <--> eth0 <-->debian<--> eth1 <--> rezo local
Je travaille pour l'instant uniquement sur le ping.
Ce que j'aimerais, c'est que n'importe qui puisse me pinguer depuis
n'importe où (WAN et LAN).
Mais que losrsqu'une IP me ping, je reponde aux 4 premieres requettes, puis
plus rien pendant 10 minutes.
J'ai donc essayé le systeme de limit et limit-burst, mais c'est
relativement trop philosophique pour moi.
pour mes test, je suis donc en DROP par defaut, et je mets ca:
iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply -m
limit --limit 3/minute --limit-burst 5 -j DROP
Probleme: je suis incapable de pinguer.
Si je me mets en ACCEPT par defaut toujours avec la meme ligne, là je ping,
mais autant que je veux.
Donc si une bonne ame arrive à m'expliquer comme à un gros debutant le
fonctionnement de limit, et de limit-burst, j'en serais tres reconnaissant.
Je travaille actuellement mon script iptables.
Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop de ce
que je ne voulais pas.
J'ai décidé d'etre plus propre et de mettre DROP par defaut, et d'autorisé
ce que je souhaite.
Mon serveur fait passerelle de mon rezo local:
WEB <--> eth0 <-->debian<--> eth1 <--> rezo local
Je travaille pour l'instant uniquement sur le ping.
Ce que j'aimerais, c'est que n'importe qui puisse me pinguer depuis
n'importe où (WAN et LAN).
Mais que losrsqu'une IP me ping, je reponde aux 4 premieres requettes, puis
plus rien pendant 10 minutes.
J'ai donc essayé le systeme de limit et limit-burst, mais c'est
relativement trop philosophique pour moi.
pour mes test, je suis donc en DROP par defaut, et je mets ca:
iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply -m
limit --limit 3/minute --limit-burst 5 -j DROP
Probleme: je suis incapable de pinguer.
Si je me mets en ACCEPT par defaut toujours avec la meme ligne, là je ping,
mais autant que je veux.
Donc si une bonne ame arrive à m'expliquer comme à un gros debutant le
fonctionnement de limit, et de limit-burst, j'en serais tres reconnaissant.
Je travaille actuellement mon script iptables.
Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop de ce
que je ne voulais pas.
J'ai décidé d'etre plus propre et de mettre DROP par defaut, et d'autorisé
ce que je souhaite.
Mon serveur fait passerelle de mon rezo local:
WEB <--> eth0 <-->debian<--> eth1 <--> rezo local
Je travaille pour l'instant uniquement sur le ping.
Ce que j'aimerais, c'est que n'importe qui puisse me pinguer depuis
n'importe où (WAN et LAN).
Mais que losrsqu'une IP me ping, je reponde aux 4 premieres requettes, puis
plus rien pendant 10 minutes.
J'ai donc essayé le systeme de limit et limit-burst, mais c'est
relativement trop philosophique pour moi.
pour mes test, je suis donc en DROP par defaut, et je mets ca:
iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply -m
limit --limit 3/minute --limit-burst 5 -j DROP
Probleme: je suis incapable de pinguer.
Si je me mets en ACCEPT par defaut toujours avec la meme ligne, là je ping,
mais autant que je veux.
Donc si une bonne ame arrive à m'expliquer comme à un gros debutant le
fonctionnement de limit, et de limit-burst, j'en serais tres reconnaissant.
Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop de
ce que je ne voulais pas.
C'est mal. :-p
J'ai décidé d'etre plus propre et de mettre DROP par defaut, et
d'autorisé ce que je souhaite.
C'est bien. :-)
pour mes test, je suis donc en DROP par defaut, et je mets ca:
iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply -m
limit --limit 3/minute --limit-burst 5 -j DROP
Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop de
ce que je ne voulais pas.
C'est mal. :-p
J'ai décidé d'etre plus propre et de mettre DROP par defaut, et
d'autorisé ce que je souhaite.
C'est bien. :-)
pour mes test, je suis donc en DROP par defaut, et je mets ca:
iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply -m
limit --limit 3/minute --limit-burst 5 -j DROP
Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop de
ce que je ne voulais pas.
C'est mal. :-p
J'ai décidé d'etre plus propre et de mettre DROP par defaut, et
d'autorisé ce que je souhaite.
C'est bien. :-)
pour mes test, je suis donc en DROP par defaut, et je mets ca:
iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply -m
limit --limit 3/minute --limit-burst 5 -j DROP
Pascal Hambourg a écrit :
>
>> Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop d e
>> ce que je ne voulais pas.
>
> C'est mal. :-p
Raison : si on oublie d'interdire quelque chose, ça ne se verra pas
forcément et il y aura un trou.
>> J'ai décidé d'etre plus propre et de mettre DROP par defaut, et
>> d'autorisé ce que je souhaite.
>
> C'est bien. :-)
Raison : si on oublie d'accepter quelque chose, ça va finir par se voir
à l'usage.
>> pour mes test, je suis donc en DROP par defaut, et je mets ca:
>> iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply
-m
>> limit --limit 3/minute --limit-burst 5 -j DROP
Détail qui m'avait échappé, le type ICMP echo-reply est la répons e au
ping, donc cette règle s'applique aux paquets de réponse au ping et n on
de requête. Je ne pense pas que ce soit ce que tu souhaites.
Un dernier complément : il peut être souhaitable de limiter aussi la
taille des paquets de ping (correspondance "length"). Pour un simple
test de connectivité IP, pas besoin d'envoyer un ping de 1500 octets.
Cependant ça peut être utile dans certains cas particuliers pour
débugger des problèmes vicieux de MTU.
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"
To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Pascal Hambourg a écrit :
>
>> Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop d e
>> ce que je ne voulais pas.
>
> C'est mal. :-p
Raison : si on oublie d'interdire quelque chose, ça ne se verra pas
forcément et il y aura un trou.
>> J'ai décidé d'etre plus propre et de mettre DROP par defaut, et
>> d'autorisé ce que je souhaite.
>
> C'est bien. :-)
Raison : si on oublie d'accepter quelque chose, ça va finir par se voir
à l'usage.
>> pour mes test, je suis donc en DROP par defaut, et je mets ca:
>> iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply
-m
>> limit --limit 3/minute --limit-burst 5 -j DROP
Détail qui m'avait échappé, le type ICMP echo-reply est la répons e au
ping, donc cette règle s'applique aux paquets de réponse au ping et n on
de requête. Je ne pense pas que ce soit ce que tu souhaites.
Un dernier complément : il peut être souhaitable de limiter aussi la
taille des paquets de ping (correspondance "length"). Pour un simple
test de connectivité IP, pas besoin d'envoyer un ping de 1500 octets.
Cependant ça peut être utile dans certains cas particuliers pour
débugger des problèmes vicieux de MTU.
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"
To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact
listmaster@lists.debian.org
Pascal Hambourg a écrit :
>
>> Jusqu'a présent, j'etais en ACCEPT partout, et je forcais les drop d e
>> ce que je ne voulais pas.
>
> C'est mal. :-p
Raison : si on oublie d'interdire quelque chose, ça ne se verra pas
forcément et il y aura un trou.
>> J'ai décidé d'etre plus propre et de mettre DROP par defaut, et
>> d'autorisé ce que je souhaite.
>
> C'est bien. :-)
Raison : si on oublie d'accepter quelque chose, ça va finir par se voir
à l'usage.
>> pour mes test, je suis donc en DROP par defaut, et je mets ca:
>> iptables -t filter -A INPUT -i $IF_LAN -p icmp --icmp-type echo-reply
-m
>> limit --limit 3/minute --limit-burst 5 -j DROP
Détail qui m'avait échappé, le type ICMP echo-reply est la répons e au
ping, donc cette règle s'applique aux paquets de réponse au ping et n on
de requête. Je ne pense pas que ce soit ce que tu souhaites.
Un dernier complément : il peut être souhaitable de limiter aussi la
taille des paquets de ping (correspondance "length"). Pour un simple
test de connectivité IP, pas besoin d'envoyer un ping de 1500 octets.
Cependant ça peut être utile dans certains cas particuliers pour
débugger des problèmes vicieux de MTU.
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"
To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Je sais que le type echorequest et reply ne concernent que le ping.
Mais c'est à titre d'entrainement sur les regles avec limit.
Car je lis partout que le type de protocole peut etre dangeureux sur
internet, et malheureusement, je n'ai pas encore trouvé quels sont
exactement les types à autoriser, c'est en cours de recherche avec les rfc.
Je sais que le type echorequest et reply ne concernent que le ping.
Mais c'est à titre d'entrainement sur les regles avec limit.
Car je lis partout que le type de protocole peut etre dangeureux sur
internet, et malheureusement, je n'ai pas encore trouvé quels sont
exactement les types à autoriser, c'est en cours de recherche avec les rfc.
Je sais que le type echorequest et reply ne concernent que le ping.
Mais c'est à titre d'entrainement sur les regles avec limit.
Car je lis partout que le type de protocole peut etre dangeureux sur
internet, et malheureusement, je n'ai pas encore trouvé quels sont
exactement les types à autoriser, c'est en cours de recherche avec les rfc.
Le poulpe qui bloppe ! a écrit :
>
> Je sais que le type echorequest et reply ne concernent que le ping.
> Mais c'est à titre d'entrainement sur les regles avec limit.
C'est quand même une très bonne idée d'accepter le ping avec une li mite
(forcément, puisque je le fais ;-) ).
> Car je lis partout que le type de protocole peut etre dangeureux sur
> internet, et malheureusement, je n'ai pas encore trouvé quels sont
> exactement les types à autoriser, c'est en cours de recherche avec le s
rfc.
Hors quelques cas particuliers de vulnérabilités ("ping of death" de
Windows), le ping n'est pas dangereux en lui-même. Le risque, si on ne
limite pas, est surtout lié à l'envoi des réponses au ping : celles -ci
pourraient saturer la voie d'upload dans le cas d'une connexion ADSL, ou
flooder un innocent en cas d'usurpation de l'adresse IP source. C'est
pourquoi on peut souhaiter en limiter la fréquence et la taille.
Les types ICMP que j'autorise sur l'interface internet sont, en plus du
ping, les messages d'erreur indispensables :
- Echo Request, dans l'état NEW avec des limites
- Echo Reply, dans l'état ESTABLISHED
- Destination Unreachable, dans l'état RELATED
- Time Exceeded, dans l'état RELATED
- Parameter Problem, dans l'état RELATED.
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"
To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Le poulpe qui bloppe ! a écrit :
>
> Je sais que le type echorequest et reply ne concernent que le ping.
> Mais c'est à titre d'entrainement sur les regles avec limit.
C'est quand même une très bonne idée d'accepter le ping avec une li mite
(forcément, puisque je le fais ;-) ).
> Car je lis partout que le type de protocole peut etre dangeureux sur
> internet, et malheureusement, je n'ai pas encore trouvé quels sont
> exactement les types à autoriser, c'est en cours de recherche avec le s
rfc.
Hors quelques cas particuliers de vulnérabilités ("ping of death" de
Windows), le ping n'est pas dangereux en lui-même. Le risque, si on ne
limite pas, est surtout lié à l'envoi des réponses au ping : celles -ci
pourraient saturer la voie d'upload dans le cas d'une connexion ADSL, ou
flooder un innocent en cas d'usurpation de l'adresse IP source. C'est
pourquoi on peut souhaiter en limiter la fréquence et la taille.
Les types ICMP que j'autorise sur l'interface internet sont, en plus du
ping, les messages d'erreur indispensables :
- Echo Request, dans l'état NEW avec des limites
- Echo Reply, dans l'état ESTABLISHED
- Destination Unreachable, dans l'état RELATED
- Time Exceeded, dans l'état RELATED
- Parameter Problem, dans l'état RELATED.
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"
To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact
listmaster@lists.debian.org
Le poulpe qui bloppe ! a écrit :
>
> Je sais que le type echorequest et reply ne concernent que le ping.
> Mais c'est à titre d'entrainement sur les regles avec limit.
C'est quand même une très bonne idée d'accepter le ping avec une li mite
(forcément, puisque je le fais ;-) ).
> Car je lis partout que le type de protocole peut etre dangeureux sur
> internet, et malheureusement, je n'ai pas encore trouvé quels sont
> exactement les types à autoriser, c'est en cours de recherche avec le s
rfc.
Hors quelques cas particuliers de vulnérabilités ("ping of death" de
Windows), le ping n'est pas dangereux en lui-même. Le risque, si on ne
limite pas, est surtout lié à l'envoi des réponses au ping : celles -ci
pourraient saturer la voie d'upload dans le cas d'une connexion ADSL, ou
flooder un innocent en cas d'usurpation de l'adresse IP source. C'est
pourquoi on peut souhaiter en limiter la fréquence et la taille.
Les types ICMP que j'autorise sur l'interface internet sont, en plus du
ping, les messages d'erreur indispensables :
- Echo Request, dans l'état NEW avec des limites
- Echo Reply, dans l'état ESTABLISHED
- Destination Unreachable, dans l'état RELATED
- Time Exceeded, dans l'état RELATED
- Parameter Problem, dans l'état RELATED.
--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"
To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
