OVH Cloud OVH Cloud

installation d'un firewall

13 réponses
Avatar
chmod 777
Bonjour à tous,

Je suis en train de configurer un réseau à la maison comprenant 2 PC sous
windows, mon Pc sous linux (MDK9.2) et un PC relié au net (modem ADSL
SAGEM908 en ethernet, IP dynamique) faisant office de passerelle-firewall.

Histoire d'éviter les problèmes de sécurité, la passerelle est bâtie sur un
linux from scratch (et aussi parce que c'est trop fun!!!). J'ai essayé de
ne mettre sur ce PC que le minimum et finalement, ça tourne...

En revanche, j'ai de gros problèmes avec iptables. J'ai utilisé le tutorial
d'Olivier Allard-Jacquin qui figure à
http://olivieraj.free.fr/fr/linux/information/firewall/ et si tout c'est
bien passé avec les interfaces lo et eth0 (réseau local), je n'arrive pas à
configurer correctement mon accès vers l'extérieur: je n'arrive pas à
déterminer quelles règles fixer pour laisser passer le trafic du net vers
ma passerelle initialement. Pour le reste du réseau, on verra ensuite...

J'ai installé lynx pour faire mes tests mais pas moyen de me connecter


voici ma table de routage:

Destination Passerelle Genmask Indic Metric Ref Use
Iface
192.168.254.254 * 255.255.255.255 UH 0 0 0 ppp0
10.0.0.0 * 255.255.255.0 U 0 0 0 eth1
192.168.76.0 * 255.255.255.0 U 0 0 0 eth0
127.0.0.0 * 255.0.0.0 U 0 0 0 lo
default 192.168.254.254 0.0.0.0 UG 0 0 0 ppp0


voici ma conf réseau:
eth0 Lien encap:Ethernet HWaddr 00:C0:26:EE:37:8A
inet adr:192.168.76.1 Bcast:192.168.76.1 Masque:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:4 errors:0 dropped:0 overruns:0 frame:0
TX packets:12 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 lg file transmission:100
RX bytes:240 (240.0 b) TX bytes:1336 (1.3 Kb)
Interruption:10 Adresse de base:0xdc00

eth1 Lien encap:Ethernet HWaddr 00:40:F4:85:09:78
inet adr:10.0.0.10 Bcast:10.0.0.255 Masque:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:91 errors:0 dropped:0 overruns:0 frame:0
TX packets:49 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 lg file transmission:100
RX bytes:6486 (6.3 Kb) TX bytes:3295 (3.2 Kb)
Interruption:11 Adresse de base:0xf000

lo Lien encap:Boucle locale
inet adr:127.0.0.1 Masque:255.0.0.0
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:42 errors:0 dropped:0 overruns:0 frame:0
TX packets:42 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 lg file transmission:0
RX bytes:2144 (2.0 Kb) TX bytes:2144 (2.0 Kb)

ppp0 Lien encap:Protocole Point-à-Point
inet adr:82.64.189.65 P-t-P:192.168.254.254
Masque:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1492 Metric:1
RX packets:74 errors:0 dropped:0 overruns:0 frame:0
TX packets:28 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 lg file transmission:3
RX bytes:3775 (3.6 Kb) TX bytes:1357 (1.3 Kb)


et voici finalement le début de mes règles iptables:

iptables -X
iptables -F

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A OUTPUT -o lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT
iptables -A INPUT -o lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT

iptables -A OUTPUT -o eth0 -s 192.168.76.1 -d 192.168.76.0/24 -j ACCEPT
iptables -A INPUT -i eth0 -s 192.168.76.0/24 -d 192.168.76.1 -j ACCEPT

ensuite, le problème c'est quelle interface utiliser, eth1 ou ppp0? Je pense
que ça doit être ppp0 car mes tests avec eth1 ne donnent rien, Mais dans ce
cas, comment inscrire une règle avec une adresse IP qu'on ne connait pas,
et qui en plus change chaque jour?

Merci de votre coup de pouce, Lionel

10 réponses

1 2
Avatar
Luc Martineau
Bonjour à tous,

Bonjour


En revanche, j'ai de gros problèmes avec iptables. J'ai utilisé le tutorial
d'Olivier Allard-Jacquin qui figure à
http://olivieraj.free.fr/fr/linux/information/firewall/ et si tout c'est


À visiter. Absolument!!


bien passé avec les interfaces lo et eth0 (réseau local), je n'arrive pas à
configurer correctement mon accès vers l'extérieur: je n'arrive pas à
déterminer quelles règles fixer pour laisser passer le trafic du net vers
ma passerelle initialement. Pour le reste du réseau, on verra ensuite...

J'ai installé lynx pour faire mes tests mais pas moyen de me connecter


J'ai utilisé le même tutoriel pour me faire un firewall.
Sur mon réseau local, j'ai deux serveurs web accessibles de l'extérieur.

Si vous voulez, je peux vous envoyer par courriel mon script. Il comporte un peu
plus de 250 lignes. J'ai pas osé le posté. M'aurait-on taper les doigts?

Je me suis FORTEMENT inspiré du script iptables-final-1.sh disponible sur le
site de Monsieur Olivier.

Noter que pour tester le traffic du net vers votre réseau local à partir de
votre réseau local, vous devez utilisez un proxy.
Voir
http://openproxies.com./
pour des proxy publics.


Merci de votre coup de pouce, Lionel


Ça me fait plaisir


Luc

Avatar
Bruce
Noter que pour tester le traffic du net vers votre réseau local à partir
de votre réseau local, vous devez utilisez un proxy.
Voir
http://openproxies.com./
pour des proxy publics.


Perso, je n'utilise pas de proxy et je masquerade, et tout fonctionne
parfaitement. Je peux aussi redonner mon script de firewall, il contient
entre autres :
* autorisation de tout traffic sortant
* interdiction de tout traffic entrant sauf qqes servers, éventuellement
situé sur le lan (règles de nat)
* possibilité d'utiliser le ftp/les dcc depuis le lan
Bon courage,

--
Bruce

Avatar
Luc Martineau

Noter que pour tester le traffic du net vers votre réseau local à
partir de votre réseau local, vous devez utilisez un proxy.
Voir
http://openproxies.com./
pour des proxy publics.



Perso, je n'utilise pas de proxy et je masquerade, et tout fonctionne
parfaitement. Je peux aussi redonner mon script de firewall, il contient
entre autres :
* autorisation de tout traffic sortant
* interdiction de tout traffic entrant sauf qqes servers, éventuellement
situé sur le lan (règles de nat)
* possibilité d'utiliser le ftp/les dcc depuis le lan



Tout fonctionne aussi de mon côté.

Supposons que mon serveur web est 10.69.1, ma passerelle est 10.69.1.1 et mon ip
public est 1.2.3.4.

si je fais http://1.2.3.4:80 dans un fureteur sans proxy à partir de mon lan, ça
ne fonctionne pas.
Par contre http://10.69.1.3:80 sur mon lan sans proxy, aucun problème.

Donc, pour faire les tests, j'ai besoin d'un proxy...

Monsieur Olivier Allard-Jacquin sur son site,
http://olivieraj.free.fr/fr/linux/information/firewall/
explique pourquoi on a besoin d'un proxy pour accéder aux ressources publiques
sur le lan à partir du lan en utilisant l'adresse publique.

Anyway, la réseautique est ma bête noire...


Avatar
Luc Martineau
Bruce wrote:

Noter que pour tester le traffic du net vers votre réseau local à
partir de votre réseau local, vous devez utilisez un proxy.
Voir
http://openproxies.com./
pour des proxy publics.



Perso, je n'utilise pas de proxy et je masquerade, et tout fonctionne
parfaitement. Je peux aussi redonner mon script de firewall, il contient
entre autres :
* autorisation de tout traffic sortant
* interdiction de tout traffic entrant sauf qqes servers, éventuellement
situé sur le lan (règles de nat)
* possibilité d'utiliser le ftp/les dcc depuis le lan
Bon courage,



[Correction d'une adresse, désolé]

Tout fonctionne aussi de mon côté.

Supposons que mon serveur web est 10.69.1.3, ma passerelle est 10.69.1.1
et mon ip public est 1.2.3.4.

si je fais http://1.2.3.4:80 dans un fureteur sans proxy à partir de mon
lan, ça ne fonctionne pas.
Par contre http://10.69.1.3:80 sur mon lan sans proxy, aucun problème.

Donc, pour faire les tests, j'ai besoin d'un proxy...

Monsieur Olivier Allard-Jacquin sur son site,
http://olivieraj.free.fr/fr/linux/information/firewall/
explique pourquoi on a besoin d'un proxy pour accéder aux ressources
publiques sur le lan à partir du lan en utilisant l'adresse publique.

Anyway, la réseautique est ma bête noire.


Avatar
Noctronet
Bonjour Lionel,

Vois mon post du 16/02/2004 à 23h20
Je pense qu'il pourra t'aider.

Si tu n'y arrive pas, n'hésite pas à m'écrire SANS FAUTE

Jean-Luc
Avatar
Bernard Déléchamp
Bonjour à tous,

Je suis en train de configurer un réseau à la maison comprenant 2 PC sous
windows, mon Pc sous linux (MDK9.2) et un PC relié au net (modem ADSL
SAGEM908 en ethernet, IP dynamique) faisant office de passerelle-firewall.

Histoire d'éviter les problèmes de sécurité, la passerelle est bâtie sur un
linux from scratch (et aussi parce que c'est trop fun!!!). J'ai essayé de
ne mettre sur ce PC que le minimum et finalement, ça tourne...


Si j'ai bien compris tu as une machine dédiée qui remplit ce rôle ?
Pourquoi alors ne pas y installer smoothwall (www.smoothwall.org) qui
est fait pour ça ?

Il suffit de télécharger l'ISO (~40MO) ou de la graver à partir du cd du
dernier Linux Planète. La doc' est très bien faite. Un seul point
important : l'installation efface tout ce qu'il y a sur le disque dur
avant de la partitionner.

Selon config', tu peux mettre en place sur la même machine (un P90 avec
64MO et 1GO sur disque suffit), un serveur DHCP, DNS et NTP. Une fois
installé, tout peut s'administrer par une autre machine du réseau par
http ou https.

Hopant avoir helpé ;-)

--
Les cons n'ont pas d'espoir.
D'ailleurs, ils n'en ont pas besoin.
Du fait qu'ils sont cons, tout leur paraît simple.
Georges Brassens

Avatar
El NiKo
Noctronet a exposé le 18/02/2004 :
Bonjour Lionel,

Vois mon post du 16/02/2004 à 23h20
Je pense qu'il pourra t'aider.


ben ca alors j'ai pas de message a 23h20 :?

--
El NiKo (--: // :--)


supprimer "EnleveR" et " SpaM" pour répondre dans ma BAL

Avatar
Noctronet
Salut,


ben ca alors j'ai pas de message a 23h20 :?



Et le 16/02 non plus? :-)

Alors un simple mail SANS FAUTE suffit pour recevoir le script. ;-)

Avatar
TiChou
Dans l'article news:e5BYb.6380$,
Luc Martineau écrivait :

Supposons que mon serveur web est 10.69.1.3, ma passerelle est 10.69.1.1
et mon ip public est 1.2.3.4.

si je fais http://1.2.3.4:80 dans un fureteur sans proxy à partir de mon
lan, ça ne fonctionne pas.
Par contre http://10.69.1.3:80 sur mon lan sans proxy, aucun problème.


En supposant que, sur votre passerelle, votre interface permettant d'accéder
au LAN est eth0 et votre interface Internet est ppp0, en plus des règles
suivantes que vous avez certainement déjà pour forwarder les connexions vers
votre serveur web,

iptables -A FORWARD -i ppp0 -o eth0 -p tcp -d 10.69.1.3 --dport 80
-m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -d 1.2.3.4 --dport 80
-j DNAT --to 10.69.1.3:80

si alors vous souhaitez que http://1.2.3.4:80 fonctionne aussi depuis votre
LAN y compris depuis la passerelle, il faut rajouter les règles suivantes :

iptables -A FORWARD -i eth0 -o eth0 -p tcp -d 10.69.1.3 --dport 80
-s 10.0.0.0/8 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -o eth0 -p tcp -d 10.0.0.0/8
-s 10.69.1.3 --sport 80 -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -t nat -A OUTPUT -p tcp -d 1.2.3.4 --dport 80
-j DNAT --to 10.69.1.3:80
iptables -t nat -A POSTROUTING -p tcp -d 10.69.1.3 --dport 80
-s 10.0.0.0/8 -j SNAT --to 10.69.1.1

Par contre le serveur web verra les connexions initiées par les machines du
LAN venant de l'IP 10.69.1.1 (ou alors il faudrait aussi placer une règle de
source NAT sur le serveur web).

--
TiChou

Avatar
El NiKo
Salut,


ben ca alors j'ai pas de message a 23h20 :?



Et le 16/02 non plus? :-)

Alors un simple mail SANS FAUTE suffit pour recevoir le script. ;-)


nan c'est que je voulais voir le thread ...

non non le 16/02 a 23h20, j'ai pas de message , et il n'y a pas de
message sous google non plus !!

tu est sur d'avoir posté ??

quel est le titre du thread ??


merci

--
El NiKo (--: // :--)


supprimer "EnleveR" et " SpaM" pour répondre dans ma BAL


1 2