iptables NAT pour VPN

Dans le message <news:c8dov5$ess$1@news.tiscali.fr>,
*pascal* tapota sur f.c.o.l.configuration :

Bonsoir,

Bonsoir,

J'ai un serveur SAMBA (192.168.0.1), une passerelle (192.168.0.30), avec
iptables comme firewall.
J'utilise pptp pour le VPN sur les postes distant.
Comment passer de la passerelle au serveur SAMBA ?

J'ai utiliser ces régles sans succés sur la passerelle :
iptables -t nat -A PREROUTING -i ppp1 -p udp --dport 137 -j DNAT
--to-destination 192.168.0.1:137
pour les ports 137 et 138 en UDP,139 et 445 en TCP

J'autorise les ports sur ppp1 en entrée/sortie (cette config marchait
quand le serveur SAMBA était seul).

S'il s'agit de rediriger le trafic SMB arrivant sur la passerelle vers le
serveur Samba, alors, en plus de faire du NAT, il faut autoriser non pas les
connexions en entrée et en sortie sur l'interface ppp1, mais autoriser à les
forwarder entre l'interface ppp1 et l'interface qui permet d'accéder au
réseau sur lequel se trouve le serveur Samba.

La connection au VPN se fait bien, mais je ne voie pas le serveur.

J'ai oublié quoi ?

Sûrement les règles de forwarding comme précédement expliqué.
D'ailleurs, votre firewall logge-t-il les connexions qu'il bloque ? Si c'est
le cas, vous devriez y jeter un coup d'oeuil.

--
TiChou

On Tue, 18 May 2004 22:07:23 +0200, TiChou wrote:

La connection au VPN se fait bien, mais je ne voie pas le serveur.

J'ai oublié quoi ?

Sûrement les règles de forwarding comme précédement expliqué.
D'ailleurs, votre firewall logge-t-il les connexions qu'il bloque ? Si c'est
le cas, vous devriez y jeter un coup d'oeuil.
Non, je n'ai pas de log (je sais, c'est pratique pour debugger).

Aprés ajout de ces régles :
iptables -A FORWARD -i ppp1 -p tcp --source-port 137 -o eth0 -j ACCEPT
....
Même probléme.

J'ai lu que pptp peut se trouver sur le serveur SAMBA, et on forward les
port 1727 et gre vers ce serveur. A tester si je ne réussi pas.

Pour TiChou: j'ai régler mon Pb de mail en faisant un emerge de popa3d
avec USE="maildir".

Dans le message <news:c8dsdm$81t$1@news.tiscali.fr>,
*pascal* tapota sur f.c.o.l.configuration :

La connection au VPN se fait bien, mais je ne voie pas le serveur.

J'ai oublié quoi ?

Sûrement les règles de forwarding comme précédement expliqué.
D'ailleurs, votre firewall logge-t-il les connexions qu'il bloque ? Si
c'est le cas, vous devriez y jeter un coup d'oeuil.
Non, je n'ai pas de log (je sais, c'est pratique pour debugger).

Aprés ajout de ces régles :
iptables -A FORWARD -i ppp1 -p tcp
^^^

C'est UDP qu'il faut autoriser ici.

--source-port 137 -o eth0 -j ACCEPT
^^^^^^

C'est en destination qu'il faut autoriser.

....
Même probléme.

Pouriez-vous nous donner la liste de toutes vos règles iptables ? Soit en
nous donnant votre script soit nous donner la sortie de la commande
'iptables-save'.

J'ai lu que pptp peut se trouver sur le serveur SAMBA, et on forward les
port 1727 et gre vers ce serveur. A tester si je ne réussi pas.

Oui, on peut toujours installer un tunnel entre le serveur Samba et les
machines distantes.
Une question qui me vient à l'esprit. Comment vos machines distantes
tentent-elles de se connecter à votre serveur Samba ?

Pour TiChou: j'ai régler mon Pb de mail en faisant un emerge de popa3d
avec USE="maildir".

A très bien. :) Mais surtout mettez bien définitivement le flag maildir dans
votre variable USE dans le fichier /etc/make.conf.

--
TiChou

Dans le message <news:gniii.20040518225302@florizarre.tichou.org>,
*TiChou* tapota sur f.c.o.l.configuration :

Une question qui me vient à l'esprit. Comment vos machines distantes
tentent-elles de se connecter à votre serveur Samba ?

Quelques précisions. Les machines distantes qui tentent de se connecter à
votre serveur Samba via le vpn, ont-elles des adresses IP d'un réseau
différent que celui du serveur Samba ? Et est-ce que le serveur Samba
accèpte et autorise comme il faut les connexions des machines distantes
(options 'hosts allow' de Samba et éventuel firewall sur ce serveur) ? A
vérifier dans vos logs Samba.

--
TiChou

On Tue, 18 May 2004 23:08:39 +0200, TiChou wrote:

Pouriez-vous nous donner la liste de toutes vos règles iptables ? Soit
en nous donnant votre script soit nous donner la sortie de la commande
'iptables-save'.
hou là. Voir plus bas. Il faut que je regarde aussi, il y a beaucoup de

FORWARD !

Une question qui me vient à l'esprit. Comment vos machines distantes
tentent-elles de se connecter à votre serveur Samba ?
Win2000, connection vers VPN, puis recherche de l'ordinateur.

HS: tient, j'ai perdu la répétition des touches cette nuit !

# Generated by iptables-save v1.2.9 on Wed May 19 06:34:28 2004 *nat
:PREROUTING ACCEPT [2066:189458]
:POSTROUTING ACCEPT [266:21879]
:OUTPUT ACCEPT [0:0]
-A PREROUTING -p tcp -m tcp --dport 1720 -j REDIRECT -A PREROUTING -i eth0
-p tcp -m tcp --dport 80 -j DNAT --to-destination 127.0.0.1:3128 -A
PREROUTING -i ppp1 -p udp -m udp --dport 137 -j DNAT --to-destination
192.168.203.1:137 -A PREROUTING -i ppp1 -p udp -m udp --dport 138 -j DNAT
--to-destination 192.168.203.1:138 -A PREROUTING -i ppp1 -p tcp -m tcp
--dport 139 -j DNAT --to-destination 192.168.203.1:139 -A PREROUTING -i
ppp1 -p tcp -m tcp --dport 44 -j DNAT --to-destination 192.168.203.1:445
-A PREROUTING -i ppp1 -p udp -m udp --dport 137 -j DNAT --to-destination
192.168.203.1:137 -A PREROUTING -i ppp1 -p udp -m udp --dport 138 -j DNAT
--to-destination 192.168.203.1:138 -A PREROUTING -i ppp1 -p tcp -m tcp
--dport 139 -j DNAT --to-destination 192.168.203.1:139 -A PREROUTING -i
ppp1 -p tcp -m tcp --dport 44 -j DNAT --to-destination 192.168.203.1:445
-A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
# Completed on Wed May 19 06:34:28 2004 # Generated by iptables-save
v1.2.9 on Wed May 19 06:34:28 2004 *filter
:INPUT DROP [802:49652]
:FORWARD ACCEPT [0:0]
:OUTPUT DROP [132:13992]
-A INPUT -p tcp -m tcp ! --tcp-flags SYN,RST,ACK SYN -j ACCEPT -A INPUT -p
udp -m udp --dport 10200:10259 -j ACCEPT -A INPUT -p tcp -m tcp --dport
10200:10209 -j ACCEPT -A INPUT -p tcp -m tcp --dport 1720 -j ACCEPT -A
INPUT -i eth0 -p udp -m udp --sport 67:68 --dport 67:68 -j ACCEPT -A INPUT
-i lo -j ACCEPT
-A INPUT -s 192.168.203.0/255.255.255.0 -i eth0 -j ACCEPT -A INPUT -s
239.0.0.0/255.0.0.0 -i eth0 -j ACCEPT -A INPUT -i ppp0 -p tcp -m tcp
--sport 80 -m state --state ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p tcp
-m tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT -A INPUT -i ppp0
-p tcp -m tcp --sport 53 -j ACCEPT -A INPUT -i ppp0 -p udp -m udp --sport
53 -j ACCEPT -A INPUT -i ppp0 -p tcp -m tcp --sport 25 -m state --state
ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p tcp -m tcp --sport 110 -m state
--state ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p tcp -m tcp --sport 119
-m state --state ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p tcp -m tcp
--sport 22 -m state --state NEW,ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p
tcp -m tcp --dport 22 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --sport 123 -m state --state
NEW,ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p udp -m udp --sport 123 -m
state --state NEW,ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p tcp -m tcp
--sport 21 -m state --state ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p tcp
-m tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT -A INPUT -i
ppp0 -p tcp -m tcp --sport 20 -m state --state RELATED,ESTABLISHED -j
ACCEPT -A INPUT -i ppp0 -p tcp -m tcp --dport 20 -m state --state
NEW,RELATED,ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p tcp -m tcp --sport
1024:65535 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT -A
INPUT -i ppp0 -p tcp -m tcp --sport 1024:65535 --dport 1024:65535 -m state
--state RELATED,ESTABLISHED -j ACCEPT -A INPUT -i ppp0 -p 47 -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --sport 1723 -j ACCEPT -A INPUT -i ppp0 -p
tcp -m tcp --dport 1723 -j ACCEPT -A INPUT -i ppp0 -p udp -m udp --sport
500 -j ACCEPT -A INPUT -i ppp0 -p udp -m udp --dport 500 -j ACCEPT -A
FORWARD -s 192.168.203.0/255.255.255.0 -i eth0 -j ACCEPT -A FORWARD -s
239.0.0.0/255.0.0.0 -i eth0 -j ACCEPT -A FORWARD -i ppp0 -p tcp -m tcp
--sport 119 -m state --state ESTABLISHED -j ACCEPT -A FORWARD -i ppp0 -p
tcp -m tcp --sport 123 -m state --state NEW,ESTABLISHED -j ACCEPT -A
FORWARD -i ppp0 -p udp -m udp --sport 123 -m state --state NEW,ESTABLISHED
-j ACCEPT -A FORWARD -i ppp0 -p 47 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --sport 1723 -j ACCEPT -A FORWARD -i ppp1
-p tcp -m tcp --sport 137 -j ACCEPT -A FORWARD -i ppp1 -p udp -m udp
--sport 137 -j ACCEPT -A FORWARD -i ppp1 -p udp -m udp --sport 138 -j
ACCEPT -A FORWARD -i ppp1 -p tcp -m tcp --sport 139 -j ACCEPT -A FORWARD
-i ppp1 -p tcp -m tcp --sport 445 -j ACCEPT -A FORWARD -i ppp1 -o eth0 -p
tcp -m tcp --sport 137 -j ACCEPT -A FORWARD -i ppp1 -o eth0 -p udp -m udp
--sport 137 -j ACCEPT -A FORWARD -i ppp1 -o eth0 -p udp -m udp --sport 138
-j ACCEPT -A FORWARD -i ppp1 -o eth0 -p tcp -m tcp --sport 139 -j ACCEPT
-A FORWARD -i ppp1 -o eth0 -p tcp -m tcp --sport 445 -j ACCEPT -A FORWARD
-i ppp1 -o eth0 -p udp -m udp --dport 137 -j ACCEPT -A FORWARD -i ppp1 -o
eth0 -p udp -m udp --dport 138 -j ACCEPT -A FORWARD -i ppp1 -o eth0 -p tcp
-m tcp --dport 139 -j ACCEPT -A FORWARD -i ppp1 -o eth0 -p tcp -m tcp
--dport 445 -j ACCEPT -A OUTPUT -o lo -j ACCEPT
-A OUTPUT -s 192.168.203.0/255.255.255.0 -o eth0 -j ACCEPT -A OUTPUT -s
239.0.0.0/255.0.0.0 -o eth0 -j ACCEPT -A OUTPUT -o ppp0 -p tcp -j ACCEPT
-A OUTPUT -o ppp0 -p udp -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --dport 80 -m state --state
NEW,ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p tcp -m tcp --dport 443 -m
state --state NEW,ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p tcp -m tcp
--dport 53 -j ACCEPT -A OUTPUT -o ppp0 -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --dport 25 -m state --state
NEW,ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p tcp -m tcp --dport 110 -m
state --state NEW,ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p tcp -m tcp
--dport 119 -m state --state NEW,ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0
-p tcp -m tcp --dport 22 -m state --state ESTABLISHED -j ACCEPT -A OUTPUT
-o ppp0 -p tcp -m tcp --sport 22 -m state --state RELATED,ESTABLISHED -j
ACCEPT -A OUTPUT -o ppp0 -p tcp -m tcp --dport 123 -m state --state
ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p udp -m udp --dport 123 -m state
--state ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p tcp -m tcp --dport 21
-m state --state NEW,ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p tcp -m tcp
--sport 21 -m state --state ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p tcp
-m tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0
-p tcp -m tcp --sport 20 -m state --state ESTABLISHED -j ACCEPT -A OUTPUT
-o ppp0 -p tcp -m tcp --sport 1024:65535 --dport 1024:65535 -m state
--state RELATED,ESTABLISHED -j ACCEPT -A OUTPUT -o ppp0 -p 47 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --dport 1723 -j ACCEPT -A OUTPUT -o ppp0
-p tcp -m tcp --sport 1723 -j ACCEPT -A OUTPUT -o ppp0 -p udp -m udp
--dport 500 -j ACCEPT -A OUTPUT -o ppp0 -p udp -m udp --sport 500 -j
ACCEPT COMMIT
# Completed on Wed May 19 06:34:28 2004

Dans le message <news:c8eofk$92p$1@news.tiscali.fr>,
*pascal* tapota sur f.c.o.l.configuration :

Pouriez-vous nous donner la liste de toutes vos règles iptables ? Soit
en nous donnant votre script soit nous donner la sortie de la commande
'iptables-save'.
hou là. Voir plus bas. Il faut que je regarde aussi, il y a beaucoup de

FORWARD !

Une question qui me vient à l'esprit. Comment vos machines distantes
tentent-elles de se connecter à votre serveur Samba ?
Win2000, connection vers VPN, puis recherche de l'ordinateur.

Voir questions dans mon autre post.

[snip le iptables-save]

C'est illisible, il n'y a aucun retour à la ligne là où il y en a à
l'origine.

--
TiChou

Dans le message <news:c8eofk$92p$1@news.tiscali.fr>,
*pascal* tapota sur f.c.o.l.configuration :

Pouriez-vous nous donner la liste de toutes vos règles iptables ? Soit
en nous donnant votre script soit nous donner la sortie de la commande
'iptables-save'.

hou là. Voir plus bas. Il faut que je regarde aussi, il y a beaucoup de
FORWARD !

Une question qui me vient à l'esprit. Comment vos machines distantes
tentent-elles de se connecter à votre serveur Samba ?

Win2000, connection vers VPN, puis recherche de l'ordinateur.

Voir questions dans mon autre post.
comprend pas.

[snip le iptables-save]

C'est illisible, il n'y a aucun retour à la ligne là où il y en a à
l'origine.

Ok, c'est pas terrible: Visible sur http://pconrad.dyndns.org/fw.txt

Pan coupe mal les lignes lors de la recoupe.

Dans le message <news:c8flh8$suu$1@news.tiscali.fr>,
*pascal* tapota sur f.c.o.l.configuration :

Une question qui me vient à l'esprit. Comment vos machines distantes
tentent-elles de se connecter à votre serveur Samba ?

Win2000, connection vers VPN, puis recherche de l'ordinateur.

Voir questions dans mon autre post.
comprend pas.

Je vous ai demandé des précisions dans mon autre post auxquelles vous n'avez
pas répondu.

Le post en question : <news:gniii.20040518231647@florizarre.tichou.org>

[snip le iptables-save]

C'est illisible, il n'y a aucun retour à la ligne là où il y en a à
l'origine.

Ok, c'est pas terrible: Visible sur http://pconrad.dyndns.org/fw.txt

Pan coupe mal les lignes lors de la recoupe.

Je regarde et étudie ça demain dans la journée.

--
TiChou

On Thu, 20 May 2004 01:49:36 +0200, TiChou wrote:

Dans le message <news:c8flh8$suu$1@news.tiscali.fr>,
*pascal* tapota sur f.c.o.l.configuration :

Une question qui me vient à l'esprit. Comment vos machines distantes
tentent-elles de se connecter à votre serveur Samba ?

Win2000, connection vers VPN, puis recherche de l'ordinateur.

Voir questions dans mon autre post.
comprend pas.

Je vous ai demandé des précisions dans mon autre post auxquelles vous n'avez
pas répondu.

Le post en question : <news:gniii.20040518231647@florizarre.tichou.org>
Vous voulez savoir comment mes poste win2000 externe se connecte...

Le serveur ADSL 1024/128 (maigre comme débit pour un VPN :< ).
Poste client 512 et 1024/128.
Le serveur est connecté 24/24. Les poste client font leur connection à
leur FAI. Pour ma part, vu que je m'héberge pour l'instant
(www.lincompta.org) c'est 24/24 et connection via vmware sur une emulation
win2000, qui utilise ma machine en passerelle.
Je créer un nouvelle connection à distance, mais via un VPN (3eme
options).
Je change une option par defaut (requiert cryptage...) suite à
probléme de config introuvable sur pptpd (a voir sur la passerelle
maintenant).
Puis je me connecte en utilisateur user/password configurer dans
chat-secrets.
Une fois fait, bouton-gauche sur voisinnage réseau, recherche d'un
ordinateur, et je donne le nom du serveur. LA je retrouve mes partages, ou
il me demande mon login/password du domaine.
Cette manip fonctionnait trés bien sans passerelle.

[snip le iptables-save]

C'est illisible, il n'y a aucun retour à la ligne là où il y en a à
l'origine.

Ok, c'est pas terrible: Visible sur http://pconrad.dyndns.org/fw.txt

Pan coupe mal les lignes lors de la recoupe.

Je regarde et étudie ça demain dans la journée.
Ok.

Dans le message <news:c8hm30$jsg$1@news.tiscali.fr>,
*pascal* tapota sur f.c.o.l.configuration :

Voir questions dans mon autre post.
comprend pas.

Je vous ai demandé des précisions dans mon autre post auxquelles vous
n'avez pas répondu. Le post en question :
<news:gniii.20040518231647@florizarre.tichou.org>
Vous voulez savoir comment mes poste win2000 externe se connecte...

Le serveur ADSL 1024/128 (maigre comme débit pour un VPN :< ).
Poste client 512 et 1024/128.
Le serveur est connecté 24/24. Les poste client font leur connection à
leur FAI. Pour ma part, vu que je m'héberge pour l'instant
(www.lincompta.org) c'est 24/24 et connection via vmware sur une emulation
win2000, qui utilise ma machine en passerelle.
Je créer un nouvelle connection à distance, mais via un VPN (3eme
options).
Je change une option par defaut (requiert cryptage...) suite à
probléme de config introuvable sur pptpd (a voir sur la passerelle
maintenant).
Puis je me connecte en utilisateur user/password configurer dans
chat-secrets.
Une fois fait, bouton-gauche sur voisinnage réseau, recherche d'un
ordinateur, et je donne le nom du serveur. LA je retrouve mes partages, ou
il me demande mon login/password du domaine.
Cette manip fonctionnait trés bien sans passerelle.

Vous n'avez toujours pas répondu aux autres questions... Vous ne le voyez
pas mon post ?!

--
TiChou