Cette regle iptables ...

Cette regle iptables ... - Logiciels - Linux et OS Alternatifs

Marsh Posté le 23-04-2003 à 01:11:14    

Salut,  
 
Que pensez-vous de cette regle iptables ?
 
iptables -A INPUT -i ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT  
 
Elle est indiqué sur beaucoup de sites pour faire du ftp. Mais ca pose pas un pb de securite ? Parce que quand cette regle est active je peux faire un telnet xxx.xxx.xxx.xxx 3306 sur un ip publique par ex. Alors que je devrais pas pouvoir vu les regles que j'ai appliqué (iptables -A ... DROP par defaut et ouverture au cas par cas)
 
Je pensais que la regle s'appliquait seulement si celle la etait verifiee :
iptables -A INPUT -i ppp0 -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
 
Je comprends pas tout la ...
 
Ah oui sinon j'ai un serv ftp sur ma machine, le port est bloque (personne peut se connecter) par contre nmap voit le port 21 ouvert :heink:
 
Si quelqu'un peut m'eclairer :)
 
Merci.


Message édité par Cruchot le 23-04-2003 à 01:12:04
Reply

Marsh Posté le 23-04-2003 à 01:11:14   

Reply

Marsh Posté le 23-04-2003 à 09:33:21    

Si tu mets ta regle, autant laissé tombé iptables et le fw, tu ouvres  tout.
Pour le ftp, active le module ip_conntrack_ftp, tu accepte les requetes a destination du port 20, et tu fais un established pour le retour. tout ça avec un serveur ftp en passif.

Reply

Marsh Posté le 23-04-2003 à 09:40:02    

HJ a écrit :

Si tu mets ta regle, autant laissé tombé iptables et le fw, tu ouvres  tout.
Pour le ftp, active le module ip_conntrack_ftp, tu accepte les requetes a destination du port 20, et tu fais un established pour le retour. tout ça avec un serveur ftp en passif.


 
kler tous les ports sont ouverts en sortie !!!

Reply

Marsh Posté le 23-04-2003 à 10:14:58    

HJ a écrit :

Si tu mets ta regle, autant laissé tombé iptables et le fw, tu ouvres  tout.
Pour le ftp, active le module ip_conntrack_ftp, tu accepte les requetes a destination du port 20, et tu fais un established pour le retour. tout ça avec un serveur ftp en passif.


 
Ouais c'est bien ce que je pensais ...
 
Heu et ca donnerait quoi au final comme regles ? J'ai a un peu de mal avec les state ... :/
 
Merci :hello:


Message édité par Cruchot le 23-04-2003 à 10:28:35
Reply

Marsh Posté le 23-04-2003 à 10:29:01    

Bon je v prendre le contre-pieds de tout le monde mais tu n'a aucune crainte a avoir avec cette regle, elle laisse juste passer les connexions qui ont deja etaient etablies.
 
Il faut donc mettre cette regle est ensuite ouvrir les à ports autoriser.
 
Par ex pour le ftp :
$IPTABLES -A INPUT -p tcp --dport 21 -j ACCEPT
 
et tu n'auras plus de pbs de connexions ...
 
A+


Message édité par Aragorn_1er le 23-04-2003 à 10:29:38
Reply

Marsh Posté le 23-04-2003 à 10:30:40    

Aragorn_1er a écrit :

Bon je v prendre le contre-pieds de tout le monde mais tu n'a aucune crainte a avoir avec cette regle, elle laisse juste passer les connexions qui ont deja etaient etablies.
 
Il faut donc mettre cette regle est ensuite ouvrir les à ports autoriser.
 
Par ex pour le ftp :
$IPTABLES -A INPUT -p tcp --dport 21 -j ACCEPT
 
et tu n'auras plus de pbs de connexions ...
 
A+


 
oue c vrai, mais autant utiliser le coontrack pour le ftp, ki est fait pour ;)
 
sinon, ca veut dire aussi k un logiciel malveillant ki se connecte su un port autorise, peut ensuite se connecter sur un port non autorise a la base ;)


Message édité par Tomate le 23-04-2003 à 10:31:38
Reply

Marsh Posté le 23-04-2003 à 10:45:18    

Bon voila mon script tel qu'il est maintenant :
La je ne peux pas faire de ftp, par contre lynx y arrive lui, il est bien ce petit :D
 

Code :
  1. #Chargement des modules ftp
  2. modprobe ip_conntrack_ftp
  3. modprobe ip_nat_ftp
  5. #Vidage de regles existantes
  6. iptables -F
  7. iptables -X -t nat
  8. iptables -F -t nat
  10. #Interdiction de tout le traffic en local/externe sur toutes interfaces
  11. #Police par defaut
  12. iptables -P INPUT DROP
  13. iptables -P OUTPUT DROP
  14. iptables -P FORWARD DROP
  16. #Autorisation de tout le traffic local sur
  17. #les interfaces locales
  18. iptables -A INPUT -i eth0 -j ACCEPT
  19. iptables -A INPUT -i lo -j ACCEPT
  20. iptables -A OUTPUT -o eth0 -j ACCEPT
  21. iptables -A OUTPUT -o lo -j ACCEPT
  23. #On autorise les nouvelles connexions sortantes ou etablies
  24. iptables -A OUTPUT -o ppp0 -m state --state NEW,ESTABLISHED -j ACCEPT
  26. #On autorise l'exterieur a se connecter
  27. #aux serveurs http, https et ftp de la machine passerelle
  29. iptables -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT
  30. iptables -A OUTPUT -o ppp0 -p tcp --sport 80 -j ACCEPT
  32. iptables -A INPUT -i ppp0 -p tcp --dport 443 -j ACCEPT
  33. iptables -A OUTPUT -o ppp0 -p tcp --sport 443 -j ACCEPT
  35. iptables -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
  36. iptables -A OUTPUT -o ppp0 -p tcp --sport 21 -j ACCEPT
  37. iptables -A INPUT -i ppp0 -p tcp --dport 20 -j ACCEPT
  38. iptables -A OUTPUT -o ppp0 -p tcp --sport 20 -j ACCEPT
  40. #Maintenant on autorise la machine passerelle a certaines choses
  41. #---------------------------------------------------------------
  43. #On autorise les requetes DNS (a modifier :D)
  44. iptables -A INPUT -p udp -i ppp0 --sport 53 -m state --state ESTABLISHED -j ACCEPT
  46. #On autorise le surf
  47. iptables -A INPUT -i ppp0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  48. iptables -A INPUT -i ppp0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
  50. #On autorise le ftp
  51. iptables -A INPUT -i ppp0 -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT
  52. iptables -A INPUT -i ppp0 -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
  53. iptables -A OUTPUT -o ppp0 -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
  54. #iptables -A INPUT -i ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT
  55. #iptables -A OUTPUT -o ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
  57. #On autorise le SMTP
  58. iptables -A INPUT -i ppp0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT
  60. #C'est tout pour la passerelle
  61. #La on autorise d'autres trucs pour le LAN
  62. #-----------------------------------------
  64. #Autorisation des connexions sortantes et etablies du lan vers le net
  65. iptables -A FORWARD -o ppp0 -m state --state NEW,ESTABLISHED -j ACCEPT
  67. #On autorise les requetes DNS, le surf et le ftp
  68. iptables -A FORWARD -p udp -i ppp0 --sport 53 -j ACCEPT
  69. iptables -A FORWARD -i ppp0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  70. iptables -A FORWARD -i ppp0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
  72. #On autorise le ftp
  73. iptables -A FORWARD -i ppp0 -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT
  74. iptables -A FORWARD -i ppp0 -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
  75. iptables -A FORWARD -o ppp0 -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
  76. #iptables -A FORWARD -i ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT
  77. #iptables -A FORWARD -o ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
  79. #mIRC c'est bien aussi
  80. iptables -t nat -A PREROUTING -j DNAT -i ppp0 -p tcp --dport 113 --to-destination 192.168.1.4:113
  81. iptables -A FORWARD -p tcp -i ppp0 --dport 113 -j ACCEPT
  82. iptables -A FORWARD -i ppp0 -p tcp --sport 6667:6669 -m state --state ESTABLISHED -j ACCEPT
  84. #Pour envoyer et recevoir du courrier
  85. iptables -A FORWARD -i ppp0 -p tcp --sport 110 -m state --state ESTABLISHED -j ACCEPT
  86. iptables -A FORWARD -i ppp0 -p tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT
  88. #Ici c'est pour All seeing eye
  89. iptables -A FORWARD -i ppp0 -p tcp --sport 27243:27245 -m state --state ESTABLISHED -j ACCEPT
  90. iptables -A FORWARD -i ppp0 -p udp --sport 27243:27245 -m state --state ESTABLISHED -j ACCEPT
  92. #serveurs authentification WON
  93. iptables -A FORWARD -i ppp0 -p tcp --sport 6003 -m state --state ESTABLISHED -j ACCEPT
  94. iptables -A FORWARD -i ppp0 -p tcp --sport 7002 -m state --state ESTABLISHED -j ACCEPT
  95. iptables -A FORWARD -i ppp0 -p tcp --sport 27010:27012 -m state --state ESTABLISHED -j ACCEPT
  96. iptables -A FORWARD -i ppp0 -p udp --sport 27010:27012 -m state --state ESTABLISHED -j ACCEPT
  98. #serveurs CS
  99. iptables -A FORWARD -i ppp0 -p udp --sport 27015:27030 -m state --state ESTABLISHED -j ACCEPT
  101. #Ouverture des ports Dark Age Of Camelot
  102. iptables -A FORWARD -i ppp0 -p tcp --sport 1280 -m state --state ESTABLISHED -j ACCEPT
  103. iptables -A FORWARD -i ppp0 -p tcp --sport 10500:10505 -m state --state ESTABLISHED -j ACCEPT
  104. iptables -A FORWARD -i ppp0 -p tcp --sport 10162 -m state --state ESTABLISHED -j ACCEPT
  106. #Pour virer le spoofing, broadcast et cie
  107. iptables -A INPUT -i ppp0 -s 10.0.0.0/8  -j DROP
  108. iptables -A INPUT -i ppp0 -s 172.16.0.0/12 -j DROP
  109. iptables -A INPUT -i ppp0 -s 192.168.0.0/16 -j DROP
  110. iptables -A INPUT -i ppp0 -s 255.255.255.255 -j DROP
  111. iptables -A INPUT -i ppp0 -d 0.0.0.0 -j DROP
  112. iptables -A INPUT -i ppp0 -s 224.0.0.0/4 -j DROP
  113. iptables -A INPUT -i ppp0 -s 240.0.0.0/5 -j DROP
  114. iptables -A INPUT -i ppp0 -s 127.0.0.0/8 -j DROP
  115. iptables -A INPUT -i ppp0 -s 169.254.0.0/16 -j DROP
  116. iptables -A INPUT -i ppp0 -s 192.0.2.0/24 -j DROP
  117. iptables -A INPUT -i ppp0 -s 224.0.0.0/3 -j DROP
  119. echo 1 > /proc/sys/net/ipv4/tcp_syncookies
  120. echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
  121. echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
  123. #Activation du partage de connexion, réécriture des adresses LAN
  124. echo 1 > /proc/sys/net/ipv4/ip_forward
  125. iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE


 
Voila, vous en pensez quoi ? (question recuurente il est vrai mais bon, google lui ne dit pas si c'est bien ou pas :D)
 
Merci.


Message édité par Cruchot le 23-04-2003 à 10:47:10
Reply

Marsh Posté le 23-04-2003 à 10:58:54    

moi y'a quand meme un truc que je capte pas mais alors pas du tout c que tu ouvres les ports 1024 a 65535 bon je comprends en plus tu ne les ouvre que paquets que t'as demande mais c stupide parce que les servers ftp qui marchent en mode passif peuvent etre configurer pour utiliser que certains ports je m'explique. avec pureftpd tu peux declarer les ports que devra utiliser le serveur si il fonctionne en mode passif et donc ca t'evite d'ouvre 65000 ports lol
 
@++

Reply

Marsh Posté le 23-04-2003 à 11:03:44    

Heu j'ai mis en commentaires certaines lignes :D
 
Mais c'est vrai que ces histoires de ftp j'ai pas tout capté :D

Reply

Marsh Posté le 23-04-2003 à 11:10:38    

tu peux m expliquer ces lignes stp :??: :
 
 

Cruchot a écrit :

Bon voila mon script tel qu'il est maintenant :
La je ne peux pas faire de ftp, par contre lynx y arrive lui, il est bien ce petit :D
 
[cpp]
#Chargement des modules ftp
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
 
#Vidage de regles existantes
iptables -F
iptables -X -t nat
iptables -F -t nat
 
#Interdiction de tout le traffic en local/externe sur toutes interfaces
#Police par defaut
iptables -P INPUT DROP  
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
 
#Autorisation de tout le traffic local sur  
#les interfaces locales
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
 
#On autorise les nouvelles connexions sortantes ou etablies
iptables -A OUTPUT -o ppp0 -m state --state NEW,ESTABLISHED -j ACCEPT  
 
#On autorise l'exterieur a se connecter
#aux serveurs http, https et ftp de la machine passerelle
 
iptables -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 80 -j ACCEPT
 
iptables -A INPUT -i ppp0 -p tcp --dport 443 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 443 -j ACCEPT
 
iptables -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 21 -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --dport 20 -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 20 -j ACCEPT
 
...


 
car tu autorise le traffic entrant sur les port 80 21 20 et 443, et aussi le suivi de connexions deja etablies
donc si tu recois un connexion sur le port 80 elle est acceptee, et donc pas besoin d ouvrir le port 80 en sortie nan ??
 
;)

Reply

Marsh Posté le 23-04-2003 à 11:10:38   

Reply

Marsh Posté le 23-04-2003 à 11:16:12    

Exact, une erreur d'inattention, merci ;)

Reply

Marsh Posté le 23-04-2003 à 11:18:20    

Cruchot a écrit :

Exact, une erreur d'inattention, merci ;)


bon je continue la lecture de ton script alors ;)

Reply

Marsh Posté le 23-04-2003 à 11:21:54    

Cruchot a écrit :

Bon voila mon script tel qu'il est maintenant :
La je ne peux pas faire de ftp, par contre lynx y arrive lui, il est bien ce petit :D
 
.......
 
#Maintenant on autorise la machine passerelle a certaines choses
#---------------------------------------------------------------
 
#On autorise les requetes DNS (a modifier :D)
iptables -A INPUT -p udp -i ppp0 --sport 53 -m state --state ESTABLISHED -j ACCEPT
CETTE REGLE EST TRES DANGEREUSE : SPOOFING DNS ET C ES TERMINE DE TA PASSERELLE
 
#On autorise le surf
iptables -A INPUT -i ppp0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -i ppp0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
deja autorise par la regle qui ouvre tous les ports depuis le LAN
 
.....
 
 
Voila, vous en pensez quoi ? (question recuurente il est vrai mais bon, google lui ne dit pas si c'est bien ou pas :D)
 
Merci.


 
bon je lis petit bout par petit bout car c long :D


Message édité par Tomate le 23-04-2003 à 11:24:11
Reply

Marsh Posté le 23-04-2003 à 11:22:36    

C'est pour ca qu'il faut que je modifie :P
Tu sais si on peut specifier une fichier avec une liste d'ip ??


Message édité par Cruchot le 23-04-2003 à 11:23:00
Reply

Marsh Posté le 23-04-2003 à 11:23:45    

Cruchot a écrit :

C'est pour ca qu'il faut que je modifie :P
Tu sais si on peut specifier une fichier avec une liste d'ip ??


oui on peut ;)
 
tu as lu mes dernieres remarques ??

Reply

Marsh Posté le 23-04-2003 à 11:24:29    

Oui oui mais on m'a menti depuis le debut alors :D

Reply

Marsh Posté le 23-04-2003 à 11:25:53    

Mais si y'a qu'un forward la passerelle peut plus surfer ... :??:

Reply

Marsh Posté le 23-04-2003 à 11:26:47    

Cruchot a écrit :

Mais si y'a qu'un forward la passerelle peut plus surfer ... :??:


de koi tu parles ??

Reply

Marsh Posté le 23-04-2003 à 11:27:45    

iptables -A INPUT -i ppp0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT  
iptables -A INPUT -i ppp0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT  
deja autorise par la regle qui ouvre tous les ports depuis le LAN
 
edit : viens sur irc, irc.quakenet.eu.org #-army- ce sera plus simple :D


Message édité par Cruchot le 23-04-2003 à 11:28:18
Reply

Marsh Posté le 23-04-2003 à 11:31:57    

Cruchot a écrit :

iptables -A INPUT -i ppp0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT  
iptables -A INPUT -i ppp0 -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT  
deja autorise par la regle qui ouvre tous les ports depuis le LAN
 
edit : viens sur irc, irc.quakenet.eu.org #-army- ce sera plus simple :D


 
je vais miam miam, et j essai apres de venir sur irc (c po sur a cause de mon proxy :/) :hello:

Reply

Marsh Posté le 23-04-2003 à 11:40:24    

Apres je suis au boulot donc plus d'irc :D sauf si je remets cgiirc sur ma paserelle :D
 
edit : pour la liste d'ip on fait comment ?


Message édité par Cruchot le 23-04-2003 à 11:45:09
Reply

Marsh Posté le 23-04-2003 à 12:17:34    

Cruchot a écrit :

Apres je suis au boulot donc plus d'irc :D sauf si je remets cgiirc sur ma paserelle :D
 
edit : pour la liste d'ip on fait comment ?


 
bon on va continuer sur le forum alors ;)
 
pour la liste je sais po, fo lire le man :D

Reply

Marsh Posté le 23-04-2003 à 12:47:49    

Citation :


sinon, ca veut dire aussi k un logiciel malveillant ki se connecte su un port autorise, peut ensuite se connecter sur un port non autorise a la base ;)

 
 
Pour se connecter sur un autre port il faudra qu il etablisse une nouvelle connexion ... donc ...
 
A+

Reply

Marsh Posté le 23-04-2003 à 12:53:56    

Aragorn_1er a écrit :

Citation :


sinon, ca veut dire aussi k un logiciel malveillant ki se connecte su un port autorise, peut ensuite se connecter sur un port non autorise a la base ;)

 
 
Pour se connecter sur un autre port il faudra qu il etablisse une nouvelle connexion ... donc ...
 
A+


:non:
les connexions establish permettent de changer de port
 
 
enfin je crois :??:

Reply

Marsh Posté le 23-04-2003 à 13:07:42    

Wow !
tu viens dans ce cas de decouvrir le + gros bug sur tout les firewall de la planete alors ...
 
A+

Reply

Marsh Posté le 23-04-2003 à 13:13:13    

Aragorn_1er a écrit :

Wow !
tu viens dans ce cas de decouvrir le + gros bug sur tout les firewall de la planete alors ...
 
A+

:D

Reply

Marsh Posté le 23-04-2003 à 19:39:13    

Donc au final comment je peux faire pour faire du ftp sans utiliser ces 2 règles ? :/

Reply

Marsh Posté le 23-04-2003 à 20:51:20    

Cruchot a écrit :

Donc au final comment je peux faire pour faire du ftp sans utiliser ces 2 règles ? :/


ip_conntrack pour le ftp ;)

Reply

Marsh Posté le 23-04-2003 à 21:06:26    

Oui mais avec quelle regles avec ? Car j'ai deja charge ce module ...

Reply

Marsh Posté le 23-04-2003 à 21:08:35    

Cruchot a écrit :

Oui mais avec quelle regles avec ? Car j'ai deja charge ce module ...


ca je sais po j ai jamais utilise :/
 
man :whistle:

Reply

Marsh Posté le 23-04-2003 à 21:10:04    

sinon y'a pas une règle d'ordre des règles ?
 
Si tu met celle là en premier, faut mettre tt les règles plus spécifique après..;sinon, tt ce que t'a écris avant sert à rien...


---------------
Jubi Photos : Flickr - 500px
Reply

Marsh Posté le 23-04-2003 à 21:39:46    

tu charges le ip_contrack_ftp
 
et tu mets cet regle:
iptables -A INPUT -i eth0 --protocol tcp --destination-port 20:21 -j ACCEPT
 
 
et il faut qu'il y est un:
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
qui traines qques part
 
et c'est tout

Reply

Marsh Posté le 23-04-2003 à 21:44:22    

[mode lourdingue :D]  
et en sortie ??

Reply

Marsh Posté le 23-04-2003 à 23:43:34    

c fé automatiquement par iptable grace a established

Reply

Marsh Posté le    

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed