Mon reseau 192.168.2.0/24 est-il inclu dans le 192.168.0.0/16 ?
22 réponses
User Sarge
Bonjour les IPistes :)
Voilà je suis en train de vérifier un script sur un firewall qui
contient la ligne suivante :
iptables -A -s 192.168.0.0/16 -i ppp0 -j DROP # class C reserved
Ce qui se traduis par :
Rajouter la règle qui dit que : tous les paquets du reseau 192.168 en
provenance de l'interface ppp0 ( ce qui est grave louche puisque c'est
internet ), sont "droppés".
Mon 1er LAN est en 192.168.1.0/24 le deuxième en 192.168.2.0/24 ils ne
semblent pas concernés par cette règle, puisqu'ils représentent des
réseaux IP différents.
Oui, bien sûr. Si cette interface ne débouche pas sur internet mais sur un réseau connu ou des machines qu'on connaît, on peut agir sur leur responsable pour faire cesser le "trouble".
Pas un repaire de pirates, hein ?
Je ne suis pas le nombril du monde et il existe d'autres situations que la mienne.
Donc en gros, tu ne logues que ce que tu peux identifier.
Pas exactement. Je ne logge que si je trouve une utilité à le faire, que ce soit pour identification ou autre.
Les machines ont la bonne passerelle :) mais pas de route directe déclarée vers l'autre sous-réseau. Elles utilisent donc la passerelle de leur route par défaut. Sans redirect, tout le trafic entre les deux sous-réseaux passe inutilement par la passerelle. Si par contre le premier paquet émis par une machine d'un sous-réseau à une machine de l'autre via la passerelle par défaut déclenche l'envoi par la passerelle d'un ICMP redirect à la machine émettrice et que celle-ci en tient compte, les paquets suivants seront envoyés directement à la machine destinataire.
Un jour, il faudra que tu penses à revoir ton plan d'adressage, et tout passer en DHCP...
C'est déjà le cas :) En temps normal, il n'y a qu'un seul sous-réseau IP avec DHCP, mais de temps en temps j'ai besoin d'en rajouter un second temporairement pour divers bricolages et essais.
Cedric Blancher wrote:
Oui, bien sûr. Si cette interface ne débouche pas sur internet mais sur
un réseau connu ou des machines qu'on connaît, on peut agir sur leur
responsable pour faire cesser le "trouble".
Pas un repaire de pirates, hein ?
Je ne suis pas le nombril du monde et il existe d'autres situations que
la mienne.
Donc en gros, tu ne logues que ce que tu peux identifier.
Pas exactement. Je ne logge que si je trouve une utilité à le faire, que
ce soit pour identification ou autre.
Les machines ont la bonne passerelle :) mais pas de route directe
déclarée vers l'autre sous-réseau. Elles utilisent donc la passerelle
de leur route par défaut. Sans redirect, tout le trafic entre les deux
sous-réseaux passe inutilement par la passerelle. Si par contre le
premier paquet émis par une machine d'un sous-réseau à une machine de
l'autre via la passerelle par défaut déclenche l'envoi par la
passerelle d'un ICMP redirect à la machine émettrice et que celle-ci
en tient compte, les paquets suivants seront envoyés directement à la
machine destinataire.
Un jour, il faudra que tu penses à revoir ton plan d'adressage, et tout
passer en DHCP...
C'est déjà le cas :) En temps normal, il n'y a qu'un seul sous-réseau IP
avec DHCP, mais de temps en temps j'ai besoin d'en rajouter un second
temporairement pour divers bricolages et essais.
Oui, bien sûr. Si cette interface ne débouche pas sur internet mais sur un réseau connu ou des machines qu'on connaît, on peut agir sur leur responsable pour faire cesser le "trouble".
Pas un repaire de pirates, hein ?
Je ne suis pas le nombril du monde et il existe d'autres situations que la mienne.
Donc en gros, tu ne logues que ce que tu peux identifier.
Pas exactement. Je ne logge que si je trouve une utilité à le faire, que ce soit pour identification ou autre.
Les machines ont la bonne passerelle :) mais pas de route directe déclarée vers l'autre sous-réseau. Elles utilisent donc la passerelle de leur route par défaut. Sans redirect, tout le trafic entre les deux sous-réseaux passe inutilement par la passerelle. Si par contre le premier paquet émis par une machine d'un sous-réseau à une machine de l'autre via la passerelle par défaut déclenche l'envoi par la passerelle d'un ICMP redirect à la machine émettrice et que celle-ci en tient compte, les paquets suivants seront envoyés directement à la machine destinataire.
Un jour, il faudra que tu penses à revoir ton plan d'adressage, et tout passer en DHCP...
C'est déjà le cas :) En temps normal, il n'y a qu'un seul sous-réseau IP avec DHCP, mais de temps en temps j'ai besoin d'en rajouter un second temporairement pour divers bricolages et essais.
Pierre LALET
wrote:
Parce que tu considères l'adresse MAC comme un identifiant fiable ?
Dans certains cas, oui.
Je suppose que c'est rare alors. En tout cas je l'espère pour toi.
-- Pierre LALET http://pierre.droids-corp.org/ Droids Corporation & Team rstack French Honeynet Project
Pascal@plouf wrote:
Parce que tu considères l'adresse MAC comme un identifiant fiable ?
Dans certains cas, oui.
Je suppose que c'est rare alors. En tout cas je l'espère pour toi.
--
Pierre LALET
http://pierre.droids-corp.org/
Droids Corporation & Team rstack
French Honeynet Project
