Logo GNT
Actualités Tests & Guides Bons Plans
Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11
Entraide Linux Autres OS Linux Debian [SID] 2.6.20, iptables et firestarter

[SID] 2.6.20, iptables et firestarter

4 réponses
Avatar
GIGGz
Bonjour la liste,

La sortie du 2.6.20 d'hier m'a donné une bonne raison de recompiler le
noyau (je ne m'en lasse pas...). après un "make oldconfig", la lecture
de l'aide à chaque nouvelle option, la lecture du résumé sur
kernelnewbies j'ai recompilé et redémaré. Bon pas de soucis
apparent...bon je fais qd même un petit lsmod pour voir si tout est bien
lo...et lo ben tous les modules de netfilter non chargés! bon pourtant
ils sont bien présents (modprobe + tab). Bon je me dis ensuite qu'en
lançait le gui de firestarter, il va ss doute râler...et ben même po.
tout se passe bien et il charge les modules ss broncher. donc maintenant
pour avoir mon firewall il faut qu eje lance le gui de firestarter à
chaque fois. c'est plutot énervant (je suis fainéant moi!!!). Avez vous
des explications pour m'expliquer ce phénomène ?

J'ai aussi vérifié les règles iptables avec iptable -L. Qd le gui de
firestater n'est po lancé, c'est "tout le monde est le bienvenue chez
moi"...et inversement qd le gui est lancé. Evidemment je n'observe pas
ce comportement avec un noyau antérieur (avec la même config) : le
firewall se lance correctement ss le gui.

Il y a eu apparemment un remodelage de netfilter dans le noyau. Donc
iptables de sid n'est pas assez à jour ? dois je faire un rapport de bug ?

Merci de vos lumières
Guillaume


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org
Signaler un problème avec ce contenu

4 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Avatar
GIGGz
Oups dsl...
je l'ai lu pourtant...

Bon ben ça n'explique tjs po pourquoi le firewall fonctionne qd on lance
le gui de firestater, non ?

BOnne journée
Guillaume


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
giggz
En fait je viens de vérifier avec mes "vieux" noyaux 2.6.18 et 2.6.19.2
et le comportement est identique...dc en gros po de firewall tt que je
n'ai po lancé manuellement le firestater graphique. après plus de pb
tous les modules se chargent et j'ai bien mes bonnes règles...

Je copie colle ci dessous la partie de mon .config du 2.6.20
correspondant à netfilter.

si qqn a des idées ? des remarques ou des retours semblables
d'expérience avec firestater...

Guillaume

CONFIG_NETFILTER=y
# CONFIG_NETFILTER_DEBUG is not set

#
# Core Netfilter Configuration
#
CONFIG_NETFILTER_NETLINK=m
CONFIG_NETFILTER_NETLINK_QUEUE=m
CONFIG_NETFILTER_NETLINK_LOG=m
CONFIG_NF_CONNTRACK_ENABLED=m
CONFIG_NF_CONNTRACK_SUPPORT=y
# CONFIG_IP_NF_CONNTRACK_SUPPORT is not set
CONFIG_NF_CONNTRACK=m
# CONFIG_NF_CT_ACCT is not set
CONFIG_NF_CONNTRACK_MARK=y
# CONFIG_NF_CONNTRACK_EVENTS is not set
CONFIG_NF_CT_PROTO_GRE=m
CONFIG_NF_CT_PROTO_SCTP=m
CONFIG_NF_CONNTRACK_AMANDA=m
CONFIG_NF_CONNTRACK_FTP=m
CONFIG_NF_CONNTRACK_H323=m
CONFIG_NF_CONNTRACK_IRC=m
CONFIG_NF_CONNTRACK_NETBIOS_NS=m
CONFIG_NF_CONNTRACK_PPTP=m
CONFIG_NF_CONNTRACK_SIP=m
CONFIG_NF_CONNTRACK_TFTP=m
CONFIG_NF_CT_NETLINK=m
CONFIG_NETFILTER_XTABLES=m
CONFIG_NETFILTER_XT_TARGET_CLASSIFY=m
CONFIG_NETFILTER_XT_TARGET_CONNMARK=m
CONFIG_NETFILTER_XT_TARGET_DSCP=m
CONFIG_NETFILTER_XT_TARGET_MARK=m
CONFIG_NETFILTER_XT_TARGET_NFQUEUE=m
CONFIG_NETFILTER_XT_TARGET_NFLOG=m
CONFIG_NETFILTER_XT_TARGET_NOTRACK=m
CONFIG_NETFILTER_XT_MATCH_COMMENT=m
CONFIG_NETFILTER_XT_MATCH_CONNMARK=m
CONFIG_NETFILTER_XT_MATCH_CONNTRACK=m
CONFIG_NETFILTER_XT_MATCH_DCCP=m
CONFIG_NETFILTER_XT_MATCH_DSCP=m
CONFIG_NETFILTER_XT_MATCH_ESP=m
CONFIG_NETFILTER_XT_MATCH_HELPER=m
CONFIG_NETFILTER_XT_MATCH_LENGTH=m
CONFIG_NETFILTER_XT_MATCH_LIMIT=m
CONFIG_NETFILTER_XT_MATCH_MAC=m
CONFIG_NETFILTER_XT_MATCH_MARK=m
CONFIG_NETFILTER_XT_MATCH_POLICY=m
CONFIG_NETFILTER_XT_MATCH_MULTIPORT=m
CONFIG_NETFILTER_XT_MATCH_PKTTYPE=m
# CONFIG_NETFILTER_XT_MATCH_QUOTA is not set
CONFIG_NETFILTER_XT_MATCH_REALM=m
CONFIG_NETFILTER_XT_MATCH_SCTP=m
CONFIG_NETFILTER_XT_MATCH_STATE=m
CONFIG_NETFILTER_XT_MATCH_STATISTIC=m
CONFIG_NETFILTER_XT_MATCH_STRING=m
CONFIG_NETFILTER_XT_MATCH_TCPMSS=m
CONFIG_NETFILTER_XT_MATCH_HASHLIMIT=m

#
# IP: Netfilter Configuration
#
CONFIG_NF_CONNTRACK_IPV4=m
CONFIG_NF_CONNTRACK_PROC_COMPAT=y
# CONFIG_IP_NF_QUEUE is not set
CONFIG_IP_NF_IPTABLES=m
CONFIG_IP_NF_MATCH_IPRANGE=m
CONFIG_IP_NF_MATCH_TOS=m
CONFIG_IP_NF_MATCH_RECENT=m
CONFIG_IP_NF_MATCH_ECN=m
CONFIG_IP_NF_MATCH_AH=m
CONFIG_IP_NF_MATCH_TTL=m
CONFIG_IP_NF_MATCH_OWNER=m
CONFIG_IP_NF_MATCH_ADDRTYPE=m
CONFIG_IP_NF_FILTER=m
CONFIG_IP_NF_TARGET_REJECT=m
CONFIG_IP_NF_TARGET_LOG=m
# CONFIG_IP_NF_TARGET_ULOG is not set
CONFIG_IP_NF_TARGET_TCPMSS=m
CONFIG_NF_NAT=m
CONFIG_NF_NAT_NEEDED=y
CONFIG_IP_NF_TARGET_MASQUERADE=m
CONFIG_IP_NF_TARGET_REDIRECT=m
CONFIG_IP_NF_TARGET_NETMAP=m
CONFIG_IP_NF_TARGET_SAME=m
CONFIG_NF_NAT_SNMP_BASIC=m
CONFIG_NF_NAT_PROTO_GRE=m
CONFIG_NF_NAT_FTP=m
CONFIG_NF_NAT_IRC=m
CONFIG_NF_NAT_TFTP=m
CONFIG_NF_NAT_AMANDA=m
CONFIG_NF_NAT_PPTP=m
CONFIG_NF_NAT_H323=m
CONFIG_NF_NAT_SIP=m
CONFIG_IP_NF_MANGLE=m
CONFIG_IP_NF_TARGET_TOS=m
CONFIG_IP_NF_TARGET_ECN=m
CONFIG_IP_NF_TARGET_TTL=m
# CONFIG_IP_NF_TARGET_CLUSTERIP is not set
CONFIG_IP_NF_RAW=m
CONFIG_IP_NF_ARPTABLES=m
CONFIG_IP_NF_ARPFILTER=m
CONFIG_IP_NF_ARP_MANGLE=m

#
# IPv6: Netfilter Configuration (EXPERIMENTAL)
#
CONFIG_NF_CONNTRACK_IPV6=m
# CONFIG_IP6_NF_QUEUE is not set
CONFIG_IP6_NF_IPTABLES=m
CONFIG_IP6_NF_MATCH_RT=m
CONFIG_IP6_NF_MATCH_OPTS=m
CONFIG_IP6_NF_MATCH_FRAG=m
CONFIG_IP6_NF_MATCH_HL=m
CONFIG_IP6_NF_MATCH_OWNER=m
CONFIG_IP6_NF_MATCH_IPV6HEADER=m
CONFIG_IP6_NF_MATCH_AH=m
CONFIG_IP6_NF_MATCH_EUI64=m
CONFIG_IP6_NF_FILTER=m
CONFIG_IP6_NF_TARGET_LOG=m
CONFIG_IP6_NF_TARGET_REJECT=m
CONFIG_IP6_NF_MANGLE=m
CONFIG_IP6_NF_TARGET_HL=m
CONFIG_IP6_NF_RAW=m


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
giggz
dsl pour le bruit...en fiat le pb venait d'ailleurs :
du paquet dhcp3-client et de son comparse common...

ayant lu sur un forum que firestarter n'appréciait pas le serveur dhcp3,
je me suis dit qu'il était peut être aussi faché avec le client...et
bien oui. j'ai réinstallé dhcp et désinstallé l'autre et tout est
redevenu normal!


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
Pascal Hambourg
Salut,

Thierry Leurent a écrit :
GIGGz a écrit :

Il y a eu apparemment un remodelage de netfilter dans le noyau. Donc
iptables de sid n'est pas assez à jour ? dois je faire un rapport de bug ?



Il y a eu un post à ce sujet, il y a quelques jours.

Il semble qu'il faut prendre la dernier version d'iptables et la
recompiler, idéalment en faire un paquet.



Histoire de tordre le cou à toutes les rumeurs qui circulent un peu
partout :

Non, il n'est pas nécessaire de prendre la dernière version d'iptables,
de la recompiler ou quoi que ce soit.

Oui, même le paquet binaire iptables 1.2.11 inclus dans Sarge fonctionne
avec le noyau 2.6.20, et a fortiori les versions plus récentes d'Etch ou
Sid (y a pas de raison). J'ai testé.

Forcément, une vieille version d'iptables/ip6tables ne supportera pas
forcément toutes les fonctionnalités des derniers noyaux comme les
intervalles de port avec multiport ou le suivi de connexion IPv6 et les
autres nouvelles cibles et correspondances IPv6. Mais ce qui marchait
avec un noyau précédent doit continuer à marcher.

Qu'est-ce qui a changé dans Netfilter du noyau 2.6.20 ? L'ajout du NAT
et de la prise en charge des protocoles "spéciaux" par la nouvelle
infrastructure de suivi de connection nf_conntrack. nf_conntrack est une
infrastructure de suivi de connexion indépendante de la couche 3,
supportant IPv4 et IPv6, destinée à remplacer l'infrastructure
ip_conntrack héritée du noyau 2.4 qui ne supporte que IPv4. Lors de son
introduction dans le noyau 2.6.15, nf_conntrack ne supportait pas encore
le NAT et très peu de protocoles spéciaux (FTP et SCTP), donc le vieil
ip_conntrack, seul capable de faire du NAT, restait le choix par défaut.
Maintenant, nf_conntrack gère le NAT en IPv4 (il n'y aura probablement
jamais de NAT pour IPv6) et les mêmes protocoles spéciaux que
ip_conntrack (FTP, TFTP, IRC DCC, PPTP, SIP, H.323...) donc il peut
totalement le remplacer. Néanmoins les deux versions du suivi de
connexion et NAT, mutuellement exclusives, cohabitent encore pour un
temps dans les sources du noyau et ont donc des noms d'options
différents. Quand on passe de l'un à l'autre, il faut resélectionner des
options pour les différentes fonctions. Pour ne rien arranger, make
oldconfig semble sélectionner par défaut nf_conntrack et désélectionne
les options associées à ip_conntrack dans l'ancienne configuration.
C'est pourquoi si on ne fait pas attention à balayer les options des
sous-menus Netfilter avec make menuconfig|xconfig|gconfig, on risque de
se retrouver avec des fonctions comme le NAT absentes.

J'ai compilé deux versions du noyau 2.6.20, une avec ip_conntrack et une
avec nf_conntrack, en prenant soin d'activer toutes leurs options, et
les deux fonctionnent avec iptables de Sarge.

Conclusion : vérifiez vos options de compilation de Netfilter.


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact