[résolu] [iptables] configuration du traffic entrant

configuration du traffic entrant [résolu] [iptables] - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 04-03-2009 à 07:58:06    

Bonjour,  
 
je suis en train de mettre en place une passerelle sous linux (debian 5) pour mon reseau entreprise.  
 
eth0 est l'interface locale sur le reseau 192.168.0.0  
eth1 est l'interface connectée au net via la freebox (en mode routeur) sur le reseau 192.168.1.0 avec renvoi du port 80 sur eth1 (pour des raisons pratiques, la freebox est en rotueur car j'ai deja une passerelle sous windows et le temps de faire celle sous linux les postes doivent encore accéder au net)  
 
J'ai lu une bonne dizaine de tutos et une cinquantaine de post sur divers forums mais j'en suis toujours au même point : tout le traffic sortant passe très bien mais impossible d'atteidre mon serveur web depuis l'extérieur (ip du serveur web : 192.168.0.2)  
 
le forward de port est autorisé,
les deux cartes réseaux ont une configuration fixe
 

Code :
  1. eth0
  2. address : 192.168.0.254
  3. netmask : 255.255.255.0
  4. network : 192.168.0.0
  5. broadcast : 192.168.0.255
  7. eth1
  8. address : 192.168.1.10
  9. netmask : 255.255.255.0
  10. network : 192.168.1.0
  11. broadcast : 192.128.1.255
  12. gateway  : 192.168.1.254 # ip de la freebox en interne


 
voici mon fichier de configuration iptables :  
 

Code :
  1. #!/bin/sh
  3. modprobe ip_tables
  4. modprobe iptable_filter
  5. modprobe iptable_nat
  7. ######################################
  8. # REMISE à ZERO des règles de filtrage
  9. ######################################
  10. iptables -F
  11. iptables -X
  12. iptables -t nat -F
  13. iptables -t nat -X
  15. ################################
  16. #on logue tout ce qui est rejete
  17. ################################
  18. iptables -N LOG_DROP
  19. iptables -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : '
  20. iptables -A LOG_DROP -j DROP
  22. #################################
  23. #on logue tout ce qui est accepte
  24. #################################
  25. iptables -N LOG_ACCEPT
  26. iptables -A LOG_ACCEPT -j LOG --log-prefix '[IPTABLES ACCEPT] : '
  27. iptables -A LOG_ACCEPT -j ACCEPT
  29. #####################################
  30. # Mise en place des régles par défaut
  31. #####################################
  32. iptables -P INPUT DROP
  33. iptables -P OUTPUT DROP
  34. iptables -P FORWARD DROP
  36. #######################################
  37. #on accepte tout ce qui se passe sur lo
  38. #######################################
  39. iptables -A INPUT -i lo -j ACCEPT
  40. iptables -A OUTPUT -o lo -j ACCEPT
  42. ####################################################
  43. #on accepte tout ce qui se passe sur le reseau local
  44. ####################################################
  45. iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT
  46. iptables -A OUTPUT -d 192.168.0.0/24 -j ACCEPT
  47. iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT
  49. ############################
  50. #on accepte les tequetes DNS
  51. ############################
  52. iptables -A INPUT -i eth1 --protocol udp --source-port 53 -j ACCEPT
  53. iptables -A OUTPUT -o eth1 --protocol udp --destination-port 53 -j ACCEPT
  54. iptables -A INPUT -i eth1 --protocol tcp --source-port 53 -j ACCEPT
  55. iptables -A OUTPUT -o eth1 --protocol tcp --destination-port 53 -j ACCEPT
  58. ###########################################
  59. #on accepte tout le traffic LAN -> internet
  60. ###########################################
  61. iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
  62. iptables -A FORWARD -o eth0 -i eth1 -j ACCEPT
  63. iptables -A POSTROUTING -t nat -o eth1 -j MASQUERADE
  65. #######################################################
  66. #on autorise les connexion entrantes sur certains ports
  67. #######################################################
  68. iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.2
  69. #pour la ligne precedennte, j'ai aussi essyé de remplacer -i eth1 par -d IP publique de la freebox
  70. #mais toujours pas de traffic entrant
  71. iptables -A FORWARD -i eth1 -o eth0 -p tcp --destination-port 80 -m state --state NEW,ESTABLISHED -j ACCEPT
  73. iptables -A FORWARD -o eth1 -i eth0 -p tcp --source-port 80 -m state --state ESTABLISHED -j ACCEPT
  74. iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
  76. ###########
  77. #protection
  78. ###########
  79. #scanport
  80. iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
  82. #on accepte le ping max 2/seconde
  83. iptables -A OUTPUT -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  84. iptables -A INPUT  -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  85. iptables -A INPUT  -p icmp -m limit --limit 2/s -j ACCEPT
  87. ##########
  88. #log rejet
  89. ##########
  90. iptables -A FORWARD -j LOG_DROP
  91. iptables -A INPUT -j LOG_DROP
  92. iptables -A OUTPUT -j LOG_DROP


 
 
Je suis presque au bout de ma configuration et la j'avoue que je bloque.  
Votre me sera précieuse.  
 
Julien


Message édité par elchofar le 06-03-2009 à 17:13:09
Reply

Marsh Posté le 04-03-2009 à 07:58:06   

Reply

Marsh Posté le 05-03-2009 à 18:14:18    

Bonjour,
Peux tu poster le résultat des commandes suivantes, plus lisible pour analyser les règles

iptables -L -v -n


iptables -t nat -v -n


systctl net.ipv4.ip_forward


Sinon tes lignes 61 et 62 font que ta chaîne forward accepte tout trafic et ne fait pas ce que tu souhaites réellement.
61 : on accepte tout trafic en transit entrant par eth0 et sortant par eth1
62 : on accepte tout trafic en transit entrant par eth1 et sortant par eth0
vu que tu n'as pas notion de stateful ici, et que ta règle est avant tout le reste, c'est un peu comme si tu avais mis ta politique à ACCEPT sur la chaine FORWARD.

 

En regardant le reste, je ne vois pas pourquoi ça ne marcherait pas si tout le trafic de ta freebox est bien rebalancer vers ton routeur/firewall.
D'où la question : comment as tu configurer ta freebox ?
- en mode routeur simplement ? si oui as tu rediriger des ports vers ton routeur pour que ton routeur recoivent les flux entrant à destination d'un port 80 ?
- en mode modem ? vérifie que c'est bien eth1 l'interface réseau faisant face à internet et non une ppp... je ne me souviens plus comment on configure avec free.
- ton routeur se situe-t-il en zone DMZ de manière à recevoir tous les flux ?


Message édité par o'gure le 05-03-2009 à 18:21:41

---------------
Relax. Take a deep breath !
Reply

Marsh Posté le 05-03-2009 à 18:21:29    

Bonjour,
 
voici le résultat des commandes :  
 

iptables -L -v -n


Code :
  1. Chain INPUT (policy DROP 0 packets, 0 bytes)
  2. pkts bytes target     prot opt in     out     source               destination
  3.     0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
  4.    23  2302 ACCEPT     all  --  *      *       192.168.0.0/24       0.0.0.0/0
  5.     0     0 ACCEPT     udp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           udp spt:53
  6.     0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp spt:53
  7.     0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW,RELATED,ESTABLISHED
  8.     0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           limit: avg 2/sec burst 5
  9.     0     0 LOG_DROP   all  --  *      *       0.0.0.0/0            0.0.0.0/0
  11. Chain FORWARD (policy DROP 0 packets, 0 bytes)
  12. pkts bytes target     prot opt in     out     source               destination
  13.     2   112 ACCEPT     all  --  *      *       192.168.0.0/24       0.0.0.0/0
  14.     0     0 ACCEPT     all  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0
  15.     4   236 ACCEPT     all  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0
  16.     0     0 ACCEPT     tcp  --  eth1   eth0    0.0.0.0/0            0.0.0.0/0           tcp dpt:80 state NEW,ESTABLISHED
  17.     0     0 ACCEPT     tcp  --  eth0   eth1    0.0.0.0/0            0.0.0.0/0           tcp spt:80 state ESTABLISHED
  18.     0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x17/0x04 limit: avg 1/sec burst 5
  19.     0     0 LOG_DROP   all  --  *      *       0.0.0.0/0            0.0.0.0/0
  21. Chain OUTPUT (policy DROP 0 packets, 0 bytes)
  22. pkts bytes target     prot opt in     out     source               destination
  23.     0     0 ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0
  24.    19  1644 ACCEPT     all  --  *      *       0.0.0.0/0            192.168.0.0/24
  25.     0     0 ACCEPT     udp  --  *      eth1    0.0.0.0/0            0.0.0.0/0           udp dpt:53
  26.     0     0 ACCEPT     tcp  --  *      eth1    0.0.0.0/0            0.0.0.0/0           tcp dpt:53
  27.     0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW,RELATED,ESTABLISHED
  28.     0     0 LOG_DROP   all  --  *      *       0.0.0.0/0            0.0.0.0/0
  30. Chain LOG_ACCEPT (0 references)
  31. pkts bytes target     prot opt in     out     source               destination
  32.     0     0 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 4 prefix `[IPTABLES ACCEPT] : '
  33.     0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0
  35. Chain LOG_DROP (3 references)
  36. pkts bytes target     prot opt in     out     source               destination
  37.     0     0 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 4 prefix `[IPTABLES DROP] : '
  38.     0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0


 

iptables -L -t nat -v -n


Code :
  1. Chain PREROUTING (policy ACCEPT 5425 packets, 792K bytes)
  2. pkts bytes target     prot opt in     out     source               destination
  3.     0     0 DNAT       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 to:192.168.0.2
  5. Chain POSTROUTING (policy ACCEPT 1 packets, 60 bytes)
  6. pkts bytes target     prot opt in     out     source               destination
  7.     1    64 MASQUERADE  all  --  *      *       192.168.0.0/24       0.0.0.0/0
  8.     0     0 MASQUERADE  all  --  *      eth1    0.0.0.0/0            0.0.0.0/0
  10. Chain OUTPUT (policy ACCEPT 577 packets, 45609 bytes)
  11. pkts bytes target     prot opt in     out     source               destination


 

sysctl net.ipv4.ip_forward


Code :
  1. net.ipv4.ip_forward = 1


 

Reply

Marsh Posté le 05-03-2009 à 18:22:49    

Arf, je ne pensais pas que t'allais répondre si vite :D
J'ai rajouté des commentaires dans mon post, pourrais-tu y jeter un coup d'oeil et répondre aux questions supplémentaires :jap:


---------------
Relax. Take a deep breath !
Reply

Marsh Posté le 05-03-2009 à 19:15:49    


J'ai modifié mes règles des lignes que tu m'as indiqué (je commence à mieux comprendre la logique iptables)
 
voici donc les nouvelles lignes
 

Code :
  1. #iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
  2. iptables -A FORWARD -o eth0 -i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
pour la config freebox, j'ai essayé en redirigeant juste le 80 sur ma passerelle
mais comme j'ai déjà un serveur qui tourne et que des client s'en servent, je fait mes tests en mettant une machine sur le réseau de eth1 (sortie vers reseau freebox), je ping bien la passerelle mais le forward vers le serveur ne fonctionne pas

Reply

Marsh Posté le 06-03-2009 à 17:12:06    

Bonjour,
 
après quelque déboires sur les syntaxes iptables, j'ai résolu mon probleme, j'ai modifié les règles de routage internet vers le serveur web comme suit :  
 

Code :
  1. iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j MASQUERADE
  2. iptables -A FORWARD -i eth1 -p tcp --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  3. iptables -A FORWARD -o eth1 -p tcp --sport 80 -m state --state RELATED,ESTABLISHED -j ACCEPT
  4. iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.2:80


 
Merci  pour ton aide et pour les commandes d'affichage des règles qui mon permis de décoder les règles.
 
Julien

Reply

Marsh Posté le 03-05-2014 à 12:25:12    

Bonjour,
 
Pourquoi précisez la carte ethernet dans vos instructions (eth1 ou eth0). Les règles ne doivent'elles pas s'appliquer partout ?
 
Merci

Message cité 1 fois
Reply

Marsh Posté le 03-05-2014 à 13:04:28    

ariden a écrit :

Bonjour,

 

Pourquoi précisez la carte ethernet dans vos instructions (eth1 ou eth0). Les règles ne doivent'elles pas s'appliquer partout ?

 

Merci


Simplement pour refléter la topologie de ton réseau et éviter du spoofing. Selon par où entre le paquet dans le firewall, il va être traité différemment. Un paquet entrant par la porte d'entrée, c'est pas pareil qu'un paquet entrant par la porte de la cuisine :o


Message édité par o'gure le 03-05-2014 à 13:28:01

---------------
Relax. Take a deep breath !
Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed