Comment lancer un script à la fin de la séquence de démarrage ?

Marsh Posté le 15-07-2007 à 17:46:36

Bonjour à tous !

J'ai un problème, j'ai un script qui nécessite d'être lancé en toute fin de séquence de démarrage de la machue (juste avant le prompt du login), j'ai essayé de bidouiller les priorités avec les liens dans /etc/rcX.d mais ça ne fonctionne pas, j'aurais voulu savoir si lil y avait un moyen de retarder l'éxécution du script (en mettant un compte à rebours intégré au code en lui meme peut etre ) ?

Merci d'avance !
RedVivi

Reply

Marsh Posté le 15-07-2007 à 17:46:36

Reply

Marsh Posté le 15-07-2007 à 17:48:52

généralement, si le démarrage est de type SysV, c'est rc.local qui est éxécuté en dernier. le mettre à la fin de ce fichier devrait faire ce que tu cherches.

---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. | Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.

Reply

Marsh Posté le 15-07-2007 à 18:15:45

Bon..après investigation ce n'est pas le timing qui pose problème, en fait quand le système lance le script j'ai des erreurs (could'nt find /lib/iptables...) tandis que si je le lance en root tout fonctionne !! Que faut il faire !?

Reply

Marsh Posté le 15-07-2007 à 18:17:30

sans les erreurs exactes et le contenu du script, il est difficile de te répondre.

---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. | Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.

Reply

Marsh Posté le 15-07-2007 à 18:23:09

Je sens que je vais paraitre idiot mais je n'arrive pas à retrouver les erreurs affichés dans les logs :s

Message édité par redvivi le 15-07-2007 à 18:23:21

Reply

Marsh Posté le 15-07-2007 à 18:38:35

Pardon je veux dire que je n'arrive pas à retrouver les erreurs qui one été affichées sur l'écran...

Reply

Marsh Posté le 15-07-2007 à 19:02:57

Parce qu'il faudrait rediriger les erreurs dans un fichier spécial ?
Parce qu'il faudrait utiliser les trucs prévus pour le logging dans les scripts d'init.
Regarde les autres scripts.
Ou affiche nous ton script pour voir les erreurs.

Reply

Marsh Posté le 15-07-2007 à 19:26:44

[EDIT] Problème d'encodage de fichier résolu

Je vais tacher de trouver un moyen de vous faire parvenir les erreurs.

Message édité par redvivi le 15-07-2007 à 19:28:48

Reply

Marsh Posté le 15-07-2007 à 19:38:15

Voici les erreurs que j'arrive à voir sur l'écran:

Code :

iptables v1.3.6: Couldn't load match 'layer7' : /lib/iptables/libipt_kay.so:Cannot open shared object file: No such file or directory

Et il y en a une floppée comme ça, je me demande si ce n'est pas un problème de chargement de modules, mais il me semble qu'ils sont compilés en dur dans le noyau....enfin toujours est il que après m'être loggé ça fonctionne bien !

Message cité 2 fois

Reply

Marsh Posté le 16-07-2007 à 09:42:10

redvivi a écrit :

Voici les erreurs que j'arrive à voir sur l'écran:

Code :

iptables v1.3.6: Couldn't load match 'layer7' : /lib/iptables/libipt_kay.so:Cannot open shared object file: No such file or directory

Et il y en a une floppée comme ça, je me demande si ce n'est pas un problème de chargement de modules, mais il me semble qu'ils sont compilés en dur dans le noyau....enfin toujours est il que après m'être loggé ça fonctionne bien !

mets aussi la ligne de commande pour voir...

---------------
-_- http://www.scienceshopping.com -_-

Reply

Marsh Posté le 16-07-2007 à 09:42:10

Reply

Marsh Posté le 16-07-2007 à 09:50:15

Voici le script entier:

Code :

#Fichier de configuration permettant de définir les politique de routage,
#de pare-feu, et de gestion de la bande passante (QoS)
echo "Activation du routage..."
echo 1 > /proc/sys/net/ipv4/ip_forward
echo "Activation de l'anti IP-Spoofing..."
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
then
for f in /proc/sys/net/ipv4/conf/*/rp_filter
do
echo 1 > $f
done
fi
# Nous vidons les chaîs :
iptables -F
# Nous supprimons d'éntuelles chaîs personnelles :
iptables -X
# Nous les faisons pointer par déut sur DROP
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
# Nous faisons de mê avec toutes les autres tables,
# àavoir "nat" et "mangle", mais en les faisant pointer
# par déut sur ACCEPT. Ca ne pose pas de problès
# puisque tout est bloquéu niveau "filter"
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
# Nous considéns que la machine elle mê est sû# et que les processus locaux peuvent communiquer entre eux
# via l'interface locale :
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# Nous considéns que notre réau local est
# élement sûe qui n'est pas forcént vrai, d'ailleurs).
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A INPUT -i eth2 -j ACCEPT
iptables -A OUTPUT -o eth2 -j ACCEPT
# Translation d'adresses pour tout ce qui traverse la passerelle
# en sortant par eth1 (AccèInternet)
echo "Application du partage de connexion Internet..."
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
# Toutes les connexions qui sortent du LAN vers le Net
# sont accepté
echo "Mise en place de l'ouverture dynamique de ports..."
iptables -A FORWARD -i eth2 -o eth1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
# Seules les connexions dé éblies ou en relation avec
# des connexions éblies sont accepté venant du Net vers le LAN
iptables -A FORWARD -i eth1 -o eth2 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Autorisation des requês DNS locales
iptables -A OUTPUT -o eth1 -p udp --sport 1024: --dport 53 -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p udp --sport 53 --dport 1024: -m state --state RELATED,ESTABLISHED -j ACCEPT
# Autorisation des requês DNS sur Internet
iptables -A OUTPUT -o eth2 -p udp --sport 1024: --dport 53 -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth2 -p udp --sport 53 --dport 1024: -m state --state RELATED,ESTABLISHED -j ACCEPT
# Autorisation des requês DWeb de la passerelle
iptables -A OUTPUT -o eth1 -p tcp -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
# Autorisation des envois SMTP locaux
iptables -A OUTPUT -o eth1 -p tcp --sport 1024: --dport 25 -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -p tcp --sport 25 --dport 1024: -m state --state RELATED,ESTABLISHED -j ACCEPT
# AccèSSH depuis le Net
iptables -A INPUT -p tcp --dport 2145 -i eth1 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 2145 -o eth1 -j ACCEPT
#On accepte la transmission des erreurs de ping
iptables -A INPUT -p icmp -m state --state RELATED -j ACCEPT
# Options de configuration pour limitation:
# DEV - correspond au péphéque ethX connectéu modem
# RATEUP - àositionner àne valeur inféeure àa bande
# passante montante de la ligne.
# Pour ma ligne ADSL en 1500/128, RATEUP=90 convient au rythme
# montant de 128 kbps.
# RATEDN - àositionner en dessous de la bande passante descendante de
DEV=eth1
RATEUP=4000
RATEDN=2500 # Nettement inféeur àa capacitée la ligne de 1500.
# On n'a donc pas àimiter le trafic entrant jusqu'àe
# qu'une meilleure réisation telle que la modification
# de fenêe TCP soit disponible.
#
# Fin des options de configuration
#
# Remise àé
tc qdisc del dev $DEV root 2> /dev/null > /dev/null
tc qdisc del dev imq0 root 2> /dev/null > /dev/null
iptables -t mangle -D POSTROUTING -o $DEV -j LIMITATION-OUT 2> /dev/null > /dev/null
iptables -t mangle -F LIMITATION-OUT 2> /dev/null > /dev/null
iptables -t mangle -X LIMITATION-OUT 2> /dev/null > /dev/null
iptables -t mangle -D PREROUTING -i $DEV -j LIMITATION-IN 2> /dev/null > /dev/null
iptables -t mangle -F LIMITATION-IN 2> /dev/null > /dev/null
iptables -t mangle -X LIMITATION-IN 2> /dev/null > /dev/null
ip link set imq0 down 2> /dev/null > /dev/null
rmmod imq 2> /dev/null > /dev/null
###########################################################
#
# Limitation de trafic sortant (limite supéeure àATEUP)
# positionnement de la taille de la file d'éssion pour obtenir
# une latence d'environ 2 secondes pour les paquets de la file
# de faible priorité#i
ip link set dev $DEV qlen 30
# modification de MTU du péphéque sortant.
# - Diminuer la MTU abaisse la latence mais déade le dét en raison de
# la surcharge IP et TCP.
#ip link set dev $DEV mtu 1000
# ajout de la stratée HTB
tc qdisc add dev $DEV root handle 1: htb default 25
# ajout de la classe de limitation principale
tc class add dev $DEV parent 1: classid 1:1 htb rate ${RATEUP}kbit
# ajout des classes filles:
# - chaque classe dispose AU MOINS de son quota de bande passante. Aucune
# classe n'est donc éuffépar les autres. Chaque classe peut élement
# consommer toute la bande passante si aucune autre classe ne l'emploie.
tc class add dev $DEV parent 1:1 classid 1:20 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 0
tc class add dev $DEV parent 1:1 classid 1:21 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 1
tc class add dev $DEV parent 1:1 classid 1:22 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 2
tc class add dev $DEV parent 1:1 classid 1:23 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 3
tc class add dev $DEV parent 1:1 classid 1:24 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 4
tc class add dev $DEV parent 1:1 classid 1:25 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 5
tc class add dev $DEV parent 1:1 classid 1:26 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 6
tc class add dev $DEV parent 1:1 classid 1:27 htb rate $[$RATEUP/8]kbit \
ceil ${RATEUP}kbit prio 7
# ajout de la stratée aux classes filles
# - SFQ offre un traitement sensiblement éitable de chaque classe.
tc qdisc add dev $DEV parent 1:20 handle 20: sfq perturb 10
tc qdisc add dev $DEV parent 1:21 handle 21: sfq perturb 10
tc qdisc add dev $DEV parent 1:22 handle 22: sfq perturb 10
tc qdisc add dev $DEV parent 1:23 handle 23: sfq perturb 10
tc qdisc add dev $DEV parent 1:24 handle 24: sfq perturb 10
tc qdisc add dev $DEV parent 1:25 handle 25: sfq perturb 10
tc qdisc add dev $DEV parent 1:26 handle 26: sfq perturb 10
tc qdisc add dev $DEV parent 1:27 handle 27: sfq perturb 10
# rértition du trafic en classe via fwmark
# - le trafic est rérti en classes de prioritéuivant l'indicateur
# fwmark des paquets (ceux-ci sont positionnéavec iptables un peu plus
# loin). La classe de prioritéar déut a é mise à:25 de telle sorte
# que les paquets qui ne sont pas marquése retrouvent dans la classe de
# prioritéa plus faible.
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 20 fw flowid 1:20
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 21 fw flowid 1:21
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 22 fw flowid 1:22
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 23 fw flowid 1:23
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 24 fw flowid 1:24
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 25 fw flowid 1:25
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 26 fw flowid 1:26
tc filter add dev $DEV parent 1:0 prio 0 protocol ip handle 27 fw flowid 1:27
# ajout de LIMITATION-OUT àa table de modification des paquets d'iptables
# - ceci déare la table employépour filtrer et classer les paquets
iptables -t mangle -N LIMITATION-OUT
iptables -t mangle -I POSTROUTING -o $DEV -j LIMITATION-OUT
# ajout de fwmark pour classer les diffénts types de trafic
# - fwmark est positionnée 20 à7 suivant la classe. 20 correspond àa
# prioritéa plus forte.
#ATTENTION A L'ORDRE, SCAN DES PAQUETS DE HAUT EN BAS. RETURN PERMET DE PASSER
#AU PAQUET SUIVANT DES QUE LE BON PATTERN EST TROUVE POUR LE STREAM (EVITE UN SCAN COMPLET)
iptables -t mangle -A LIMITATION-OUT -p tcp -m length --length :64 -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-OUT -p tcp -m length --length :64 -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto dns -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto dns -j RETURN
iptables -t mangle -A LIMITATION-OUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-OUT -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ntp -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ntp -j RETURN
iptables -t mangle -A LIMITATION-OUT -p icmp -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -p icmp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto validcertssl -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto validcertssl -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ssl -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ssl -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto tls -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto tls -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto socks -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto socks -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto aimwebcontent -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto aimwebcontent -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto pop3 -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto pop3 -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto smtp -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto smtp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto msnmessenger -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto msnmessenger -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto aim -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto aim -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto yahoo -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto yahoo -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto irc -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto irc -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto jabber -j MARK --set-mark 23
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto jabber -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto shoutcast -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto shoutcast -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto live365 -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto live365 -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-rtsp -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-rtsp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto rtsp -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto rtsp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto quicktime -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto quicktime -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto httpvideo -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto httpvideo -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto httpaudio -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto httpaudio -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-itunes -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-itunes -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto sip -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto sip -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto skypeout -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto skypeout -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto skypetoskype -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto skypetoskype -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto h323 -j MARK --set-mark 24
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto h323 -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ftp -j MARK --set-mark 26
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto ftp -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-dap -j MARK --set-mark 26
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto http-dap -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto msn-filetransfer -j MARK --set-mark 26
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto msn-filetransfer -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7dir /etc/l7-protocols/ --l7proto bittorrent -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7dir /etc/l7-protocols/ --l7proto bittorrent -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto edonkey -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto edonkey -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto fasttrack -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto fasttrack -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto imesh -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto imesh -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto gnutella -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto gnutella -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto openft -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto openft -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto napster -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto napster -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto mute -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto mute -j RETURN
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto 100bao -j MARK --set-mark 27
iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto 100bao -j RETURN
iptables -t mangle -A LIMITATION-OUT -m mark --mark 0 -j MARK --set-mark 25
# Fin de la limitation sortante
#
####################################################
echo "Limitation de trafic sortant activéur $DEV. Dét: ${RATEUP}kbit/sec."
# Démmenter la ligne suivante pour n'avoir que la limitation de trafic montant.
# exit
# Limitation du trafic entrant (dét maximal de RATEDN)
# on force le chargement du module imq
modprobe imq numdevs=1
ip link set imq0 up
# ajout de la stratée de mise en file d'attente
# - par déut une classe 1:21 àaible priorité
tc qdisc add dev imq0 handle 1: root htb default 21
# ajout de la classe de limitation principale
#
tc class add dev imq0 parent 1: classid 1:1 htb rate ${RATEDN}kbit
# ajout des classes filles
# - trafic TCP en 21, le reste en 20
#
tc class add dev imq0 parent 1:1 classid 1:20 htb rate $[$RATEDN/2]kbit \
ceil ${RATEDN}kbit prio 0
tc class add dev imq0 parent 1:1 classid 1:21 htb rate $[$RATEDN/2]kbit \
ceil ${RATEDN}kbit prio 1
# ajout de la stratée de limitation aux classes filles
# - voir les remarques ci-dessus sur SFQ.
tc qdisc add dev imq0 parent 1:20 handle 20: sfq perturb 10
tc qdisc add dev imq0 parent 1:21 handle 21: red limit 1000000 \
min 5000 max 100000 avpkt 1000 burst 50
# rértition du trafic en classe via fwmark
# - le trafic est rérti en classes de prioritéuivant l'indicateur
# fwmark des paquets (ceux-ci sont positionnéavec iptables un peu plus loin).
tc filter add dev imq0 parent 1:0 prio 0 protocol ip handle 20 fw flowid 1:20
tc filter add dev imq0 parent 1:0 prio 0 protocol ip handle 21 fw flowid 1:21
# ajout de LIMITATION-IN àa table de modification des paquets d'iptables
iptables -t mangle -N LIMITATION-IN
iptables -t mangle -I PREROUTING -i $DEV -j LIMITATION-IN
# ajout de fwmark pour classer les diffénts types de trafic
# - fwmark est positionnée 20 à1 suivant la classe. 20 correspond àa
# prioritéa plus forte.
# Forte prioritéour les paquets non TCP
iptables -t mangle -A LIMITATION-IN -p ! tcp -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-IN -p ! tcp -j RETURN
# Les petits paquets TCP sont probablement des ACK
iptables -t mangle -A LIMITATION-IN -p tcp -m length --length :64 -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-IN -p tcp -m length --length :64 -j RETURN
iptables -t mangle -A LIMITATION-IN -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j MARK --set-mark 20
iptables -t mangle -A LIMITATION-IN -p tcp -m tcp --tcp-flags SYN,RST,ACK SYN -j RETURN
# Rétition - les paquets sans marque sont positionnéà1 (faible priorité
iptables -t mangle -A LIMITATION-IN -m mark --mark 0 -j MARK --set-mark 21
iptables -t mangle -A LIMITATION-IN -m mark --mark 0 -j RETURN
# on envoie les paquets prédents à'interface imq0.
iptables -t mangle -A LIMITATION-IN -j IMQ
# Fin de la limitation de trafic entrant.
#
####################################################
echo "Limitation de trafic entrant activésur $DEV. Dét: ${RATEDN}kbit/sec."

Message cité 1 fois

Reply

Marsh Posté le 16-07-2007 à 10:01:42

redvivi a écrit :

Citation :

iptables -t mangle -A LIMITATION-OUT -m layer7 --l7proto socks -j MARK --set-mark 21

Si layer 7 est compilé en dur, je pense qu'il faut pas préciser à iptables de charger le module...

Message édité par _p1c0_ le 16-07-2007 à 10:57:24

---------------
-_- http://www.scienceshopping.com -_-

Reply

Marsh Posté le 16-07-2007 à 10:43:24

Mais dans ce cas pourquoi celà fonctionne-t-il après le login ?

Message cité 1 fois

Reply

Marsh Posté le 16-07-2007 à 10:57:53

redvivi a écrit :

Mais dans ce cas pourquoi celà fonctionne-t-il après le login ?

bonne question, tu es sur que les messages d'erreurs ne sont pas dans /var/log/messages ?

---------------
-_- http://www.scienceshopping.com -_-

Reply

Marsh Posté le 16-07-2007 à 11:13:25

Non, j'ai déjà regardé...pour moi je pense que c'est un problème de permissions, il y a un moyen pour exécuter ce script en tant que root ? Ou alors créer un autologin au niveau de la machine et qui lance le script ensuite ?

Reply

Marsh Posté le 16-07-2007 à 11:23:19

je suis pas sur à 100% mais je pense qu'il est lancé en root au démarrage...

edit: t'as essayé en retirant les -m layer7 ?

Message édité par _p1c0_ le 16-07-2007 à 11:23:39

---------------
-_- http://www.scienceshopping.com -_-

Reply

Marsh Posté le 16-07-2007 à 11:33:49

non, je ne suis pas sur place actuellement, mais pour moi ce n'est pas un problème de module vu que la syntaxe du script fonctionne après login, à ce que je sache il n'y a pas de déchargement de module, en plus il est compilé en dur.... Mais je pense que le script est lancé en tant que sys mais pas root.

Message édité par redvivi le 16-07-2007 à 11:34:32

Reply

Marsh Posté le 16-07-2007 à 11:38:32

Ou alors seul root peut loader des modules ?

Reply

Marsh Posté le 16-07-2007 à 21:11:52

Up !

Reply

Marsh Posté le 16-07-2007 à 21:18:02

pour etre sur de qui tu es au démarrage rajoutes ca au debut du script
echo `id`> /tmp/whoami
et rebootes

Message cité 1 fois

Reply

Marsh Posté le 16-07-2007 à 21:20:54

sinon /lib/iptables/libipt_kay.so, personne connait... t'es sûr ?

Reply

Marsh Posté le 16-07-2007 à 21:50:07

non j'ai du mal recopier l'erreur, mais c'est ça fait la même chose avec toutes les libs.

Reply

Marsh Posté le 17-07-2007 à 10:16:53

ben j'ai copier/coller le path dans google et rien [:spamafote]

Reply

Marsh Posté le 17-07-2007 à 10:17:13

l0ky a écrit :

pour etre sur de qui tu es au démarrage rajoutes ca au debut du script
echo `id`> /tmp/whoami
et rebootes

Reply

Marsh Posté le 19-07-2007 à 13:51:44

redvivi a écrit :

Voici les erreurs que j'arrive à voir sur l'écran:

Code :

iptables v1.3.6: Couldn't load match 'layer7' : /lib/iptables/libipt_kay.so:Cannot open shared object file: No such file or directory

Et il y en a une floppée comme ça, je me demande si ce n'est pas un problème de chargement de modules, mais il me semble qu'ils sont compilés en dur dans le noyau....enfin toujours est il que après m'être loggé ça fonctionne bien !

J'ai l'impression que iptables essaye de charger la bibliothèque libipt_kay.so pour utiliser le module layer7 (-m layer7).
Vérifie si la bibliothèque n'est pas située à un autre endroit avec par exemple un

find / -name "libipt_kay*"

Reply

Marsh Posté le 20-07-2007 à 22:24:42

Non la librairie est bien dans /lib/iptables/....j'ai regardé le truc du whoami, et le script est bien lancé en ROOT

Reply

Marsh Posté le 20-07-2007 à 22:31:51

J'ai l'erreur exacte:

Code :

iptavles v1.3.6: Couldn't load match `layer7': /lib/iptables/lipipt_layer7.so: cannot open shared object file: No such file or directory
Try 'iptables -h' or 'iptables --help' for more information

C'est ce type d'erreur là que j'ai, maintenant je ne vois que la fin des erreurs, si ça se trouve la toute première erreur donne la solution mais comme les logs n'indiquent rien, à moins de rediriger l'erreur standard (comment on fait ?) je vois mal comment faire.

Message cité 1 fois

Reply

Marsh Posté le 21-07-2007 à 10:29:10

redvivi a écrit :

J'ai l'erreur exacte:

Code :

iptavles v1.3.6: Couldn't load match `layer7': /lib/iptables/lipipt_layer7.so: cannot open shared object file: No such file or directory
Try 'iptables -h' or 'iptables --help' for more information

C'est ce type d'erreur là que j'ai, maintenant je ne vois que la fin des erreurs, si ça se trouve la toute première erreur donne la solution mais comme les logs n'indiquent rien, à moins de rediriger l'erreur standard (comment on fait ?) je vois mal comment faire.

Pour les logs, met ça au début de ton script :

exec 2> /tmp/err.log

L'option -m indique à iptables qu'il doit utiliser le module layer7, il essaye donc de charger la librairie /lib/iptables/lipipt_layer7.so
Vu ton erreur, soit il ne trouve pas le fichier soit il n'arrive pas à le charger.
Rajoute ceci en début et en fin de ton script :

ls -l /lib/iptables/lipipt_layer7.so >> /tmp/verif.log 2>&1
lsmod >> /tmp/verif.log 2>&1

Vérifie si layer7 est un module :

find /lib/modules/`uname -r` -name "*layer7*"

Si c'est un module, il devrait apparaître dans le résultat du lsmod.

Reply

Marsh Posté le 21-07-2007 à 10:52:24

Je voudrais tout d'abord vous remercier pour vos réponses, voici ce que contient le fichier verif.log (j'ai enlevé les lignes non significatives:

Code :

ls: /lib/iptables/lipipt_layer7.so: No such file or directory
Module Size Used by
button 6672 0
ac 5188 0

Code :

uhci_hcd 21164 0
usbcore 112644 3 ehci_hcd,uhci_hcd
thermal 13608 0
processor 28840 1 thermal
fan 4804 0
ls: /lib/iptables/lipipt_layer7.so: No such file or directory

Voici err.log:

Code :

iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: ca
nnot open shared object file: No such file or directory
Try `iptables -h' or 'iptables --help' for more information.

La commande

Code :

find /lib/modules/`uname -r` -name "*layer7*"

ne trouve rien, ni le lsmod pour le fichier concerné, mais ça me semble logique puisque j'ai tout compilé en dur pour tout ce qui concerne iptables.

Reply

Marsh Posté le 21-07-2007 à 11:07:17

A priori, vu le résultat du ls, la lib n'est pas dans /lib/iptables.

Il faut touver où elle se trouve puis faire un lien dans /lib/iptables.

Message édité par crisl01 le 21-07-2007 à 11:07:50

Reply

Marsh Posté le 21-07-2007 à 11:53:54

ton iptables ne supporte donc pas le match layer 7...
Le plus simple étant de récupérer les sources d'iptables le patcher si nécessaire avec et le recompiler

Reply

Marsh Posté le 21-07-2007 à 11:55:34

http://l7-filter.sourceforge.net/HOWTO-kernel#iptables

Reply

Marsh Posté le 21-07-2007 à 11:58:50

Si il le supporte...je te rappelle que tout fonctionne apres le login

Reply

Marsh Posté le 21-07-2007 à 12:03:01

si c'est l'iptables standard de debian, je ne penses pas :

[ root@mano ~ ]
# iptables -m layer7 --help
iptables v1.3.6: Couldn't load match `layer7':/lib/iptables/libipt_layer7.so: cannot open shared object file: No such file or directory

Try `iptables -h' or 'iptables --help' for more information.
zsh: exit 2 iptables -m layer7 --help

[ root@mano ~ ]
# iptables -m foobar --help
iptables v1.3.6: Couldn't load match `foobar':/lib/iptables/libipt_foobar.so: cannot open shared object file: No such file or directory

Try `iptables -h' or 'iptables --help' for more information.
zsh: exit 2 iptables -m foobar --help

[ root@mano ~ ]
# iptables -m state --help
iptables v1.3.6

Usage: iptables -[AD] chain rule-specification [options]
iptables -[RI] chain rulenum rule-specification [options]
iptables -D chain rulenum [options]
iptables -[LFZ] [chain] [options]
iptables -[NX] chain
iptables -E old-chain-name new-chain-name
iptables -P chain target [options]
iptables -h (print this help information)

Commands:
Either long or short options are allowed.
<skip>

[ root@mano ~ ]

Ce type de commande iptables -m 'match' --help te permet d'avoir l'aide associé à cette commande. si iptables retourne ce genre d'erreur c'est que ne supportes pas ce match.

Donc si ca mache apres le login c'est que ce n'est pas le meme iptables.
Ton PATH en root apres le login peut etre différent du PATH dans ton script au démarrage...

Peux tu faire "iptables -m layer7 --help" apres le login et faire which iptables dans ce cas ?
Pour ajouter ce nouveau match il faut le module kernel et que iptables soit compiler avec le support.

Message édité par l0ky le 21-07-2007 à 12:09:12

Reply

Marsh Posté le 21-07-2007 à 12:14:37

Pour résumer et reprendre depuis le début :

1. A partir d'un shell root, tu n'as aucune erreur en exécutant ce script et iptables -L -v -n te rends exactement les règles que tu as installé ?

2. As tu recompilé iptables à un moment donné ?

3. As tu recompilé le kernel à un moment donné ?

4. Peux tu faire un which iptables dans un shell root pour vérifier où il se trouve

5. peux tu faire un iptables -m layer7 --help pour vérifier que ton iptables en shell root supporte ce match ?

Reply

Marsh Posté le 21-07-2007 à 12:49:27

1. Oui

2. Oui

3. Oui

4. ceci me donne

Code :

/usr/local/sbin/iptables

5. Voici ce que me donne la commande:

Code :

iptables v1.3.8
Usage: iptables -[AD] chain rule-specification [options]
iptables -[RI] chain rulenum rule-specification [options]
iptables -D chain rulenum [options]
iptables -[LFZ] [chain] [options]
iptables -[NX] chain
iptables -E old-chain-name new-chain-name
iptables -P chain target [options]
iptables -h (print this help information)
Commands:
Either long or short options are allowed.
--append -A chain Append to chain
--delete -D chain Delete matching rule from chain
--delete -D chain rulenum
Delete rule rulenum (1 = first) from chain
--insert -I chain [rulenum]
Insert in chain as rulenum (default 1=first)
--replace -R chain rulenum
Replace rule rulenum (1 = first) in chain
--list -L [chain] List the rules in a chain or all chains
--flush -F [chain] Delete all rules in chain or all chains
--zero -Z [chain] Zero counters in chain or all chains
--new -N chain Create a new user-defined chain
--delete-chain
-X [chain] Delete a user-defined chain
--policy -P chain target
Change policy on chain to target
--rename-chain
-E old-chain new-chain
Change chain name, (moving any references)
Options:
--proto -p [!] proto protocol: by number or name, eg. `tcp'
--source -s [!] address[/mask]
source specification
--destination -d [!] address[/mask]
destination specification
--in-interface -i [!] input name[+]
network interface name ([+] for wildcard)
--jump -j target
target for rule (may load target extension)
--goto -g chain
jump to chain with no return
--match -m match
extended match (may load extension)
--numeric -n numeric output of addresses and ports
--out-interface -o [!] output name[+]
network interface name ([+] for wildcard)
--table -t table table to manipulate (default: `filter')
--verbose -v verbose mode
--line-numbers print line numbers when listing
--exact -x expand numbers (display exact values)
[!] --fragment -f match second or further fragments only
--modprobe=<command> try to insert modules using this command
--set-counters PKTS BYTES set the counter during insert/append
[!] --version -V print package version.
LAYER7 match v1.3.8 options:
--l7dir <directory> : Look for patterns here instead of /etc/l7-protocols/
(--l7dir must be specified before --l7proto if used!)
--l7proto [!] <name> : Match the protocol defined in /etc/l7-protocols/name.pat

J'ai une information interessante: effectivement les librairies étaient dans /usr/local et pas dans /lib/modules, j'ai fait des liens et maintenant il trouve les librairies MAIS:

- Quand je le lance avec rc.local, voici ce que j'ai dans err.log:

Code :

iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).
iptables: match `layer7' v1.3.8 (I'm v1.3.6).

- Quand je le lance en root, aucune erreur dans err.log

Message cité 1 fois
Message édité par redvivi le 21-07-2007 à 12:49:56

Reply

Marsh Posté le 21-07-2007 à 13:37:04

Dans ton script remplace iptables par /usr/local/sbin/iptables

Reply

Marsh Posté le 21-07-2007 à 14:49:34

redvivi a écrit :

4. ceci me donne

Code :

/usr/local/sbin/iptables

Donc vraissemblablement quand tu es en root ta variable $PATH contient /usr/local/sbin et au boot, ta variable PATH ne le contient pas... De ce fait en root (login) le iptables vient de /usr/local/sbin et pas au boot.

Reply

Marsh Posté le 21-07-2007 à 16:24:10

Est-ce prudent de remplacer l'iptables de bin par celui de usr/local/bin ?

Message cité 1 fois

Reply

Marsh Posté le 21-07-2007 à 16:32:11

redvivi a écrit :

Est-ce prudent de remplacer l'iptables de bin par celui de usr/local/bin ?

ce qui serait plus prudent, c'est de n'avoir qu'un iptables d'installé... Maintenant, si celui qui marche est dans sbin, faut prendre celui là...

---------------
-_- http://www.scienceshopping.com -_-

Reply

Marsh Posté le

Reply

Comment lancer un script à la fin de la séquence de démarrage ?

Sujets relatifs:

Leave a Replay