Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Linux Autres OS Linux Debian iptables

iptables

20 réponses
Avatar
arnaud
Bonjour,

J'aurais besoin de vos lumieres sur iptables

voici ma commande:
iptables -t nat -A OUTPUT -d 192.168.1.35 -p tcp --dport 110 -j
DNAT --to-destination 127.0.0.1:110

celle ci permet de faire fonctionner un telnet 192.168.1.35 110 sur la
machine locale
mais pas sur d'autres machines

pourquoi ?

merci
ARNO


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2
Avatar
fra-duf-no-spam
Le 12706ième jour après Epoch,
Bertrand D. écrivait:

On 14/10/04 à 17:56, Joachim Habib wrote :
La ligne en question dit : ce qui sort de chez moi pour aller chez
192.168.0.35:110, en fait je gruge et je l'envoie sur 127.0.0.1:110.

Mais ceci n'est valable que pour la machine sur laquelle tu as écrit
cette ligne.
Est-ce que cette machine sert de routeur ?

Jo




iptables -t nat -A OUTPUT -d 192.168.1.35 -p tcp
--dport 110 -j
DNAT --to-destination 127.0.0.1:110

Bonjour

Le problème est très clair. Cette règle ne peut être active _uniquement_
sur la machine locale, car l'adresse 127.0.0.1 n'est présente que sur la
machine locale. Ca désigne l'interface de loopback, présente sur chaque
machine.



Euh.. *Toutes* les règles ne sont valables que sur les machines
locales, où elles sont écrites ;)

En fait, la question majeure est: Les "autres" machines passent-elles
par là pour accéder à 192.168.1.35 ou pas? Ou autre question, qu'est
censée faire cette règle, dans la tête de celui qui l'a écrite.


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
arnaud
je re-explique mon prob.
j'ai 1 serveur exchange dans un lan.
j'ai un relais postfix dans une dmz

je voudrais que mes utilisateurs interrogent leurs compte pop depuis le net.
exchange n'est pas accessible depuis le net mais le relais oui.
donc j'ai un tunnel ssh qui redirige 127.0.0.1:110 du relais vers ip:110 du
exchange.
maintenant mon souci est permettre à eth0 de faire le lien avec lo.

soit ouvrir ssh à eth0
soit faire un redirection avec iptables.

voila vous savez tout !!!!

"François TOURDE" a écrit dans le message de
news:
Le 12706ième jour après Epoch,
Bertrand D. écrivait:

> On 14/10/04 à 17:56, Joachim Habib wrote :
>> La ligne en question dit : ce qui sort de chez moi pour aller chez
>> 192.168.0.35:110, en fait je gruge et je l'envoie sur 127.0.0.1:110.
>>
>> Mais ceci n'est valable que pour la machine sur laquelle tu as écrit
>> cette ligne.
>> Est-ce que cette machine sert de routeur ?
>>
>> Jo
>>
>>
> iptables -t nat -A OUTPUT -d 192.168.1.35 -p tcp
> --dport 110 -j
> DNAT --to-destination 127.0.0.1:110
>
> Bonjour
>
> Le problème est très clair. Cette règle ne peut être active _uniquement_
> sur la machine locale, car l'adresse 127.0.0.1 n'est présente que sur la
> machine locale. Ca désigne l'interface de loopback, présente sur chaque
> machine.

Euh.. *Toutes* les règles ne sont valables que sur les machines
locales, où elles sont écrites ;)

En fait, la question majeure est: Les "autres" machines passent-elles
par là pour accéder à 192.168.1.35 ou pas? Ou autre question, qu'est
censée faire cette règle, dans la tête de celui qui l'a écrite.


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact





--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
fra-duf-no-spam
Le 12709ième jour après Epoch,
écrivait:

je re-explique mon prob.
j'ai 1 serveur exchange dans un lan.
j'ai un relais postfix dans une dmz

je voudrais que mes utilisateurs interrogent leurs compte pop depuis le net.
exchange n'est pas accessible depuis le net mais le relais oui.
donc j'ai un tunnel ssh qui redirige 127.0.0.1:110 du relais vers ip:110 du
exchange.



A mon avis, c'est pas une bonne idée, car ça ne redirige que les accès
sur localhost. Il vaudrait mieux un tunnel entre relais:110 et
exchange:110, avec "relais" l'adresse IP externe du relais.

voila vous savez tout !!!!



Surtout on en sait un peu plus. Mettre juste la règle iptables sans
expliquer à quoi elle doit servir effectivement et dans quel schéma
réseau elle s'intègre n'est pas très utile :)

--
I'm proud of my humility.


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
arnaud
>
A mon avis, c'est pas une bonne idée, car ça ne redirige que les accès
sur localhost. Il vaudrait mieux un tunnel entre relais:110 et
exchange:110, avec "relais" l'adresse IP externe du relais.



comment fait -on svp?


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
Abred
Bonjour,

Je pense que tu ne dois pas utiliser une adresse de loopback (127.0.0.1)
mais attribuer une @IP routable à l'interface réseau de la machine
(loopback = interface réseau "virtuelle").
Ainsi tu pourras faire un tunnel ou un bridge entre 2 machines.


Le lun 18/10/2004 à 11:45, arnaud a écrit :
je re-explique mon prob.
j'ai 1 serveur exchange dans un lan.
j'ai un relais postfix dans une dmz

je voudrais que mes utilisateurs interrogent leurs compte pop depuis le net.
exchange n'est pas accessible depuis le net mais le relais oui.
donc j'ai un tunnel ssh qui redirige 127.0.0.1:110 du relais vers ip:110 du
exchange.
maintenant mon souci est permettre à eth0 de faire le lien avec lo.

soit ouvrir ssh à eth0
soit faire un redirection avec iptables.

voila vous savez tout !!!!

"François TOURDE" a écrit dans le message de
news:
> Le 12706ième jour après Epoch,
> Bertrand D. écrivait:
>
> > On 14/10/04 à 17:56, Joachim Habib wrote :
> >> La ligne en question dit : ce qui sort de chez moi pour aller chez
> >> 192.168.0.35:110, en fait je gruge et je l'envoie sur 127.0.0.1:110.
> >>
> >> Mais ceci n'est valable que pour la machine sur laquelle tu as écrit
> >> cette ligne.
> >> Est-ce que cette machine sert de routeur ?
> >>
> >> Jo
> >>
> >>
> > iptables -t nat -A OUTPUT -d 192.168.1.35 -p tcp
> > --dport 110 -j
> > DNAT --to-destination 127.0.0.1:110
> >
> > Bonjour
> >
> > Le problème est très clair. Cette règle ne peut être active _uniquement_
> > sur la machine locale, car l'adresse 127.0.0.1 n'est présente que sur la
> > machine locale. Ca désigne l'interface de loopback, présente sur chaque
> > machine.
>
> Euh.. *Toutes* les règles ne sont valables que sur les machines
> locales, où elles sont écrites ;)
>
> En fait, la question majeure est: Les "autres" machines passent-elles
> par là pour accéder à 192.168.1.35 ou pas? Ou autre question, qu'est
> censée faire cette règle, dans la tête de celui qui l'a écrite.
>
>
> --
> Pensez à lire la FAQ de la liste avant de poser une question :
> http://wiki.debian.net/?DebianFrench
>
> Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"
>
> To UNSUBSCRIBE, email to
> with a subject of "unsubscribe". Trouble? Contact






--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
fra-duf-no-spam
Le 12709ième jour après Epoch,
écrivait:


A mon avis, c'est pas une bonne idée, car ça ne redirige que les accès
sur localhost. Il vaudrait mieux un tunnel entre relais:110 et
exchange:110, avec "relais" l'adresse IP externe du relais.



comment fait -on svp?



Ben... pareil qu'avec 127.0.0.1 mais en remplaçant par l'ip externe...

Mais il se peut que d'autres choses soient à prendre en compte. Par
exemple si le "relai" est derrière un FW qui fait du NAT.

--
We are MicroSoft. You will be assimilated. Resistance is futile.
(Attributed to B.G., Gill Bates)


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
arnaud
voila ma commande :
plink.exe -R 110:192.168.1.250:110 192.168.1.35 -l root_login -pw root_mdp

plink = putty en ligne de commande.
je ne vois quoi changer !!!!



"François TOURDE" a écrit dans le message de
news:
Le 12709ième jour après Epoch,
écrivait:

>>
>> A mon avis, c'est pas une bonne idée, car ça ne redirige que les accès
>> sur localhost. Il vaudrait mieux un tunnel entre relais:110 et
>> exchange:110, avec "relais" l'adresse IP externe du relais.
>
> comment fait -on svp?

Ben... pareil qu'avec 127.0.0.1 mais en remplaçant par l'ip externe...

Mais il se peut que d'autres choses soient à prendre en compte. Par
exemple si le "relai" est derrière un FW qui fait du NAT.

--
We are MicroSoft. You will be assimilated. Resistance is futile.
(Attributed to B.G., Gill Bates)


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact





--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
fra-duf-no-spam
Le 12709ième jour après Epoch,
écrivait:

voila ma commande :
plink.exe -R 110:192.168.1.250:110 192.168.1.35 -l root_login -pw root_mdp

plink = putty en ligne de commande.
je ne vois quoi changer !!!!



J'ai pas dû tout capter là. C'est toi-même qui parle d'un reroutage
de localhost vers autre chose.

1) Je ne connais pas plink.exe, mais j'imagine que ça tourne pas sur
une debian, hein?

2) Tu veux pas plutôt essayer de décrire avec précision ce que tu veux
faire et comment est structuré le réseau (avec un peu de précision
sur les OS associés)

3) man plink.exe ?


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
Jean-Luc Coulon (f5ibh)
--=-ysiujNBkqMWASpeHGhTE
Content-Type: text/plain; charset=ISO-8859-1; DelSp=Yes; Format=Flowed
Content-Disposition: inline
Content-Transfer-Encoding: quoted-printable

Le 18.10.2004 18:03:11, François TOURDE a écrit :
Le 12709ième jour après Epoch,
écrivait:

voila ma commande :
plink.exe -R 110:192.168.1.250:110 192.168.1.35 -l root_login -pw


root_mdp

plink = putty en ligne de commande.
je ne vois quoi changer !!!!



J'ai pas dû tout capter là. C'est toi-même qui parle d'un reroutage
de localhost vers autre chose.

1) Je ne connais pas plink.exe, mais j'imagine que ça tourne pas sur
une debian, hein?



plink fait partie du paquet putty-tools.
Je pense que plink.exe est son pendant pour « l'autre monde »...

plink(1) PuTTY tool suite plink(1)

NAME
plink - PuTTY link, command line network connection tool

SYNOPSIS
plink [options] [user@]host [command]

DESCRIPTION
plink is a network connection tool supporting several protocols.

[ ... ]

MORE INFORMATION
For more information on plink, it's probably best to go and look
at the manual on the PuTTY web page:

http://www.chiark.greenend.org.uk/~sgtatham/putty/


je ne k'ai jamais utilisé mais je pense qu'aller jeter un oeil sur le
site en question ne peut être que bénéfique

J-L
[ ... ]


--=-ysiujNBkqMWASpeHGhTE
Content-Type: application/pgp-signature

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.5 (GNU/Linux)

iD8DBQBBc/MUUdGGXzzGnNARAozHAJwOwPZ8yYmDtylA5fHDDjAMdWT75ACfYgfQ
kZpVPNYdAD8MPrPeQxHUkik =+J4p
-----END PGP SIGNATURE-----

--=-ysiujNBkqMWASpeHGhTE--


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
David Dumortier
Bonsoir,

je prends le fil en cours.

Le Mon Oct 18 2004 à 11:45:40AM +0200, arnaud dit :
je re-explique mon prob.
j'ai 1 serveur exchange dans un lan.
j'ai un relais postfix dans une dmz

je voudrais que mes utilisateurs interrogent leurs compte pop depuis le net.
exchange n'est pas accessible depuis le net mais le relais oui.
donc j'ai un tunnel ssh qui redirige 127.0.0.1:110 du relais vers ip:110 du
exchange.



Tu peux faire du NAT depuis localhost avec un module spécifique du noyau (je
sais plus lequel). Mais comme précisé par d'autres :
iptables -t nat -I PREROUTING -s tonipquivientdunet
-p tcp --sport 110 -j DNAT ip_exchange:110
devrait faire ce que tu veux. Les clients interrogent le postfix en 110 et
hop !
Notes que si tu as un firewall entre postfix et le net tu dois appliquer la
même règle sur le firewall vers le postfix.
De plus il faudra surement mettre une règle en FORWARD dans l'autre sens (à
confirmer je suis un peu trop fatigué pour y réfléchi ;-)

Pour le pourquoi :
les règles de contrôle iptables s'effectuent dans l'ordre suivant
mangle -> nat:PREROUTING -> filter -> nat -> mangle

Donc avec un DNAT tu interceptes ton paquet, tu lui changes son adresse de
destination (Destination NAT) et il va voir ailleurs si il y est.
Tu vois mangle avant, si tu travailles avec gaffe aux effets de bord.

maintenant mon souci est permettre à eth0 de faire le lien avec lo.



abandonnes localhost, c'est pas fait pour communiquer avec l'extérieur de la
machine.

soit ouvrir ssh à eth0



???

soit faire un redirection avec iptables.



cf plus haut

voila vous savez tout !!!!



hum ...

[...]

Je ne peux que te conseiller de bosser iptables avant de faire des trucs
tricky avec. LinuxMag HS le firewall, votre meilleur ennemi 1/2 est pas mal.
Sinon la page de netfilter est très bien.
--
David Dumortier


PS : on est pas vendredi pourtant ;-)


--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
1 2