Pb script iptables : forward pop3

Pb script iptables : forward pop3 - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 23-12-2002 à 16:24:10    

Je sais qu'il y a eu maintes sujets, et avant de poster, j'ai recherché sur le net ! Et vu que plusieurs têtes pensantes valent mieux qu'une ...
 
Donc le problème est que je n'arrive a récupérer mes mails par pop a travers ma passerelle !
 
voici le script :
pour infos, $eth = LAN, $ppp = net
 

Code :
  1. $IPT -P INPUT ACCEPT
  2. $IPT -P OUTPUT ACCEPT
  3. $IPT -P FORWARD ACCEPT
  5. # C'est normal puisque tout est bloque au niveau de la table filter
  6. $IPT -F
  7. $IPT -t nat -F
  8. $IPT -X
  9. $IPT -t  nat -X
  10. $IPT -t nat -P PREROUTING ACCEPT
  11. $IPT -t nat -P POSTROUTING ACCEPT
  12. $IPT -t nat -P OUTPUT ACCEPT
  14. echo 1 > /proc/sys/net/ipv4/ip_forward
  16. if [ "$1" = "flush" ]
  17. then
  18.         exit 0
  19. fi
  21. # On drop tout par defaut
  22. $IPT -P INPUT DROP
  23. $IPT -P OUTPUT DROP
  24. $IPT -P FORWARD DROP
  26. # IP Masquering
  27. $IPT -t nat -A POSTROUTING -s $minet    -o $ppp -j MASQUERADE
  28. $IPT -t nat -A POSTROUTING -s $petitgus -o $ppp -j MASQUERADE
  30. # spoofing
  31. if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
  32. then
  33. for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
  34. do
  35.         echo 1 > $filtre
  36. done
  37. fi
  39. # On accepte tous en local et sur le reseau
  40. $IPT -A INPUT  -i lo   -j ACCEPT
  41. $IPT -A OUTPUT -o lo   -j ACCEPT
  42. $IPT -A INPUT  -i $eth -j ACCEPT
  43. $IPT -A OUTPUT -o $eth -j ACCEPT
  45. #net
  46. $IPT -A INPUT  -i $ppp -m state --state ESTABLISHED \
  47.                -p tcp --sport 80 -j ACCEPT
  48. $IPT -A OUTPUT -o $ppp -m state --state NEW,ESTABLISHED \
  49.                -p tcp --dport 80 -j ACCEPT
  51. # Dns
  52. $IPT -A INPUT  -i $ppp -p udp --sport 53 -j ACCEPT
  53. $IPT -A OUTPUT -o $ppp -p udp --dport 53 -j ACCEPT
  54. $IPT -A INPUT  -i $ppp -p tcp --sport 53 -j ACCEPT
  55. $IPT -A OUTPUT -o $ppp -p tcp --dport 53 -j ACCEPT
  57. # Proxy
  58. $IPT -A INPUT  -i $eth -p tcp --sport 3128 -j ACCEPT
  59. $IPT -A OUTPUT -o $eth -p tcp --dport 3128 -j ACCEPT
  61. # Ssh
  62. $IPT -A INPUT  -i $eth -s $minet -m state --state NEW,ESTABLISHED \
  63.                -p tcp --sport 22 -j ACCEPT
  64. $IPT -A OUTPUT -o $eth -d $minet -m state --state ESTABLISHED \
  65.                -p tcp --dport 22 -j ACCEPT
  67. # Pop3
  68. $IPT -A FORWARD -i $eth -o $ppp -p tcp --dport 110 \
  69.                 -m state --state NEW,ESTABLISHED -j ACCEPT
  70. $IPT -A FORWARD -i $ppp -o $eth -p tcp --sport 110 \
  71.                 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Si kekun a une idée ...


Message édité par Profil supprimé le 23-12-2002 à 16:25:16
Reply

Marsh Posté le 23-12-2002 à 16:24:10   

Reply

Marsh Posté le 23-12-2002 à 16:32:43    

Oooooooohh, un fan des Musclés !!!
 
Sinon, pour ton pb, c'est bizarre, pisque normalement, si accepetes toute connexions vers l'exterieur de ton initiative (NEW, ESTABLISHED), ta demande pop doit en faire partie...
Sinon je suis desole mais je lis pas le netfilter couramment...


---------------
Ce n'est point ma façon de penser qui a fait mon malheur, c'est celle des autres.
Reply

Marsh Posté le 25-12-2002 à 19:26:05    

Mais bourdel, y a bien des dieux en iptables ici ! nan ?

Reply

Marsh Posté le 25-12-2002 à 19:32:08    

Kurt Haribo a écrit :

Mais bourdel, y a bien des dieux en iptables ici ! nan ?


 
iptables ca fait mal a la tete. Moi aussi faut que je configure mon firewall et j'arrette pas de repousser :whistle:.
 
Bonne chance  :hello:  

Reply

Marsh Posté le 25-12-2002 à 19:37:29    

Kuei-Saho a écrit :


 
iptables ca fait mal a la tete. Moi aussi faut que je configure mon firewall et j'arrette pas de repousser :whistle:.
 
Bonne chance  :hello:    


 
Merci !  
 
J'arrive pas à comprendre pourquoi il marche pas ce *ù$^*ù de script !

Reply

Marsh Posté le 26-12-2002 à 00:54:24    

Autorise aussi le protocol udp pour le pop3, je crois qu'il l'utilise énormement, donc...
 
Une petite remarque, sinon : je trouve ta gestion du dns un peu maladroite. Si tu n'as que des postes qui doivent accèder au net (comme le fait penser ton script, ou alors c'est encore pire, il te manque une dmz).
 
Ainsi, tu prends le risque de te prendre quelques baffes sur ton dns.
Un petit moyen de le gérer plus "secure" :
 

Code :
  1. for server in $DNS1 $DNS2; do
  2.    iptables -A INPUT -i ppp0 -p udp --sp 53 --dp 1024: -s $server -m state --state ESTABLISHED -j ACCEPT
  3.    iptables -A OUTPUT -o ppp0 -p udp --sp 1024: --dp 53 -d $server -m state --state NEW,ESTABLISHED -j ACCEPT
  4. done


 
DNS 1 et 2 sont ceux de ton FAI.
 
Vali vala.
 
Demain, il sera assez tôt pour d'autres remarques si nécessaire.
 
Le passant.
 
Edit : pas pu attendre demain ;)
Et puis, je comprends pas trop pourquoi tu autorise le port 80 si tu passes par un proxy ???


Message édité par le passant le 26-12-2002 à 00:58:20
Reply

Marsh Posté le 26-12-2002 à 03:43:04    

Pour le DNS : là c'est ouvert de chez ouvert, je ne pense pas que tu souhaites que ton DNS puisse être accessible à toute la planète, il pourrait se viander méchamment, et puis si tout le monde laisse ouvert son DNS comme ça, ça peut faire mal !!!  
Je te laisse imaginer les possibilités pour des petits malins si par exemple tous les abonnés de ton FAI étaient dans le même cas.
 

Le passant a écrit :


 
(...)
 
Et puis, je comprends pas trop pourquoi tu autorise le port 80 si tu passes par un proxy ???
 


 
 

Code :
  1. (...)
  3. #net
  4. $IPT -A INPUT  -i $ppp -m state --state ESTABLISHED \
  5.               -p tcp --sport 80 -j ACCEPT
  6. $IPT -A OUTPUT -o $ppp -m state --state NEW,ESTABLISHED \
  7.               -p tcp --dport 80 -j ACCEPT
  9. (...)
  11. # Proxy
  12. $IPT -A INPUT  -i $eth -p tcp --sport 3128 -j ACCEPT
  13. $IPT -A OUTPUT -o $eth -p tcp --dport 3128 -j ACCEPT 
  15. (...)


 
Visiblement seul le port du proxy est autorisé pour les machines du réseau, c'est seulement du côté d'internet que le port 80 passe.
 
 

Reply

Marsh Posté le 26-12-2002 à 09:46:47    

c_po_ma_faute a écrit :


 
Visiblement seul le port du proxy est autorisé pour les machines du réseau, c'est seulement du côté d'internet que le port 80 passe.
 


 
vi.
 
pour le dns, j'avais pas fait gaffe ! je te remercie je vais corriger cela ! :jap:

Reply

Marsh Posté le 26-12-2002 à 10:04:38    

Le passant a écrit :

Autorise aussi le protocol udp pour le pop3, je crois qu'il l'utilise énormement, donc...
 


 
j'ai autorisé le protocole udp pour le pop3, mais ca change ke dalle ! c'est pas possible, y a bien une erreur quelque part mais où ?

Reply

Marsh Posté le 26-12-2002 à 10:51:46    

Essayes de lancer ton script en mode "débugage" ... rajoutes un -x à la ligne (la première du fichier normalement) où tu indiques quel interpréteur doit être choisi pour executer ton script ...

Reply

Marsh Posté le 26-12-2002 à 10:51:46   

Reply

Marsh Posté le 26-12-2002 à 10:55:41    

Pourquoi tu utilises pas à fond les capacités de fw STATEFUL qu'offre Netfilter  ? Ca te simplifierai la tache, crois moi ...

Reply

Marsh Posté le 26-12-2002 à 11:58:15    

Question conne qui a rien a voir, mais vous faites quoi dans la vie pour connaitre tout ca sur IPTABLE ?
Moi je suis ingenieur et iptable je maitrise que dale (pourtant j'en ai deja fais un peu lors de mes etudes).

Reply

Marsh Posté le 26-12-2002 à 12:16:28    

Ingénieur aussi, mais j'ai du me monter une passerelle à la main pour me rendre compte que c'était bien une incompatibilité modem-fai qui m'empèchait de surfer ;).
 
Et pis, c'est marrant  :D .
 
Et pis j'ai encore plein de lacunes  :lol: .
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 12:32:01    

Pour ton problème de pop3, ne précise que les interfaces d'entrées, il a peut-être du mal la :
 

Code :
  1. $IPT -A FORWARD -i $ppp -p tcp --dport 110 \
  2.                -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Pour ceux qui vient du LAN essaye avec ceci dans un premier temps :
 

Code :
  1. $IPT -A FORWARD -i $eth -p tcp \
  2.                -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT


 
Ne surtout pas oublier le smtp si tu veux envoyer des mails :
 

Code :
  1. $IPT -A FORWARD -i $ppp -p tcp --dport 25 \
  2.                -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Si ça fonctionne, tu pourras durcir par la suite tes règles sur -i $eth.
Essaye toujours ce qui précède.
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 12:43:33    

Le passant a écrit :

Pour ton problème de pop3 ...


 
Ca ne marche toujours pas !

Reply

Marsh Posté le 26-12-2002 à 12:52:04    

Ah !!!
 
J'arrive à la fin des solutions raisonnables à ma connaissance...
 
Essaye simplement comme ceci :
 

Code :
  1. $IPT -A FORWARD -i $eth -j ACCEPT
  2. $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Histoire de voir si ça provient bien de tes règles iptables, ou si c'est autre chose.
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 13:05:07    

Le passant a écrit :

Ah !!!
 
J'arrive à la fin des solutions raisonnables à ma connaissance...
 
Essaye simplement comme ceci :
 

Code :
  1. $IPT -A FORWARD -i $eth -j ACCEPT
  2. $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Histoire de voir si ça provient bien de tes règles iptables, ou si c'est autre chose.
 
Le passant.


 
Oui ca marche ! Par contre le fait de rajouter le port au forward fait que ca marche plus ! pourquoi ?? :cry:

Reply

Marsh Posté le 26-12-2002 à 13:23:40    

Bon, donc, c'est bien les règles qui foirent... Nous avons du mal les écrire (toi dans un premier temps et pis moi aussi our la suite).
 
Reste plus qu'a trouver la bonne solution, et puis si un vrai expert passait dans le coin... son aide serait la bienvenue :).
 
Bon, on va effectuer un petit essai :
 
D'abord ceci :

Code :
  1. $IPT -A FORWARD -i $eth -j ACCEPT


 
Ensuite :

Code :
  1. $IPT -A FORWARD -p tcp --dp 110 -m state --state ESTABLISHED,RELATED -j ACCEPT
  2. $IPT -A FORWARD -p tcp --dp 25 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Inutile de préciser l'interface, l'ordre d'éxécution des règles impliquant que tout ce qui n'est pas local (donc passant par eth et donc en accept) est traité par le reste.
 
Si ça ne marche pas, essaye avec --sp àa la place de --dp, mais bon, j'y crois pas trop.
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 13:41:41    

Le passant a écrit :

Bon, donc, c'est bien les règles qui foirent...  


 
Toujours pareil, ca marche pas ! on dirait qu'il bloque sur le port !

Reply

Marsh Posté le 26-12-2002 à 13:45:49    

Que ce soit --sp ou --dp ??? Rah !!! Pourtant ça devrait passer tranquillou.
 
Est-ce que pop3 et smtp sont bien les services 110 et 25 dans ton /etc/services ???
 
Sinon, je vois pas trop.
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 13:54:29    

Le passant a écrit :

Que ce soit --sp ou --dp ??? Rah !!! Pourtant ça devrait passer tranquillou.
 
Est-ce que pop3 et smtp sont bien les services 110 et 25 dans ton /etc/services ???
 
Sinon, je vois pas trop.
 
Le passant.


 
oui.
Au fait, merci de t'intéresser à mon problème :jap:


Message édité par Profil supprimé le 26-12-2002 à 13:59:00
Reply

Marsh Posté le 26-12-2002 à 14:08:20    

Kurt Haribo a écrit :


oui.
Au fait, merci de t'intéresser à mon problème :jap:


 
De rien, il m'intrigue énormément.
 
Chez moi, j'ai essayé ceci :
 

Code :
  1. $IPTABLES -A allowed -p tcp --syn -j ACCEPT  # Une approche tcp "normale"
  2. $IPTABLES -A allowed -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
  3. $IPTABLES -A allowed -p tcp -j DROP          # Tant pis pour les autres
  5. $IPTABLES -A tcp_packets -p tcp --sport 80 -j allowed  # HTTP
  6. $IPTABLES -A tcp_packets -p tcp --sport 110 -j allowed # POP3
  7. $IPTABLES -A tcp_packets -p tcp --sport 25 -j allowed # SMTP
  9. $IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT                          # LAN --> EXT
  10. $IPTABLES -A FORWARD -p tcp -j tcp_packets                            # LAN <-- EXT


 
Et ça marche très bien, donc, comme c'est la même chose que je t'ai dit de faire plus haut... je vois pas.
 
On peut le traduire dans ton cas par :

Code :
  1. $IPT -A FORWARD -p tcp --sport 110 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Le passant.
 
Edit : en dport, ça ne marche pas du tout !!!!
j'ai essayé, et ça ne passe qu'en sport.


Message édité par le passant le 26-12-2002 à 14:13:08
Reply

Marsh Posté le 26-12-2002 à 14:22:20    

tu peux remettre ton script avec les modifs, stp, je vois plus trop ou on en est   :ange: .
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 14:36:05    

et voila :
 
 

Code :
  1. # On drop tout par defaut
  2. $IPT -P INPUT DROP
  3. $IPT -P OUTPUT DROP
  4. $IPT -P FORWARD DROP
  6. # IP Masquering
  7. $IPT -t nat -A POSTROUTING -s $minet    -o $ppp -j MASQUERADE
  8. $IPT -t nat -A POSTROUTING -s $petitgus -o $ppp -j MASQUERADE
  10. # spoofing
  11. if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
  12. then
  13. for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
  14. do
  15.         echo 1 > $filtre
  16. done
  17. fi
  19. # On accepte tous en local et sur le reseau
  20. $IPT -A INPUT  -i lo   -j ACCEPT
  21. $IPT -A OUTPUT -o lo   -j ACCEPT
  22. $IPT -A INPUT  -i $eth -j ACCEPT
  23. $IPT -A OUTPUT -o $eth -j ACCEPT
  25. # Net
  26. $IPT -A INPUT  -i $ppp -m state --state ESTABLISHED \
  27.                -p tcp --sport 80 -j ACCEPT
  28. $IPT -A OUTPUT -o $ppp -m state --state NEW,ESTABLISHED \
  29.                -p tcp --dport 80 -j ACCEPT
  31. # Dns
  32. for server in $dns1 $dns2; do
  33.         $IPT -A INPUT  -i $ppp -p udp --sport 53 -s $server \
  34.                        -m state --state ESTABLISHED -j ACCEPT
  35.         $IPT -A OUTPUT -o $ppp -p udp --dport 53 -d $server \
  36.                        -m state --state NEW,ESTABLISHED -j ACCEPT
  37.         $IPT -A INPUT  -i $ppp -p tcp --sport 53 -s $server \
  38.                        -m state --state ESTABLISHED -j ACCEPT
  39.         $IPT -A OUTPUT -o $ppp -p tcp --dport 53 -d $server \
  40.                        -m state --state NEW,ESTABLISHED -j ACCEPT
  41. done
  43. # Proxy
  44. $IPT -A INPUT  -i $eth -p tcp --sport 3128 -j ACCEPT
  45. $IPT -A OUTPUT -o $eth -p tcp --dport 3128 -j ACCEPT
  47. # Ssh
  48. $IPT -A INPUT  -i $eth -s $minet -m state --state NEW,ESTABLISHED \
  49.                -p tcp --sport 22 -j ACCEPT
  50. $IPT -A OUTPUT -o $eth -d $minet -m state --state ESTABLISHED \
  51.                -p tcp --dport 22 -j ACCEPT
  53. # Pop3
  54. $IPT -A FORWARD -i $eth -j ACCEPT
  55. $IPT -A FORWARD -p tcp --sport 110 -m state --state ESTABLISHED,RELATED -j ACCEPT

Reply

Marsh Posté le 26-12-2002 à 14:55:56    

$minet et $petitgus sont deux machines dans ton LAN ?
 
Euh, si tu essaye de faire ton nat comme ceci :
 

Code :
  1. $IPT -t nat -A POSTROUTING -o $ppp -j MASQUERADE


 
Ca change quelque chose pour ton soucis de pop3 ?? ou pas ??
 
(je cherche l'invraissemblable :) ).
 
Eh, mais c'est peut-être tout ça, me semble que c'est pas la bonne manière de traduire tout ça... essaye :).
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 14:57:24    

Tiens, je crois que je viens de dire une connerie, mais essaye quand même, on sait jamais.
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 15:05:37    

Bon, je dois m'absenter, donc à plus et bon courage..
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 15:11:13    

ca change rien du tout

Reply

Marsh Posté le 26-12-2002 à 17:34:27    

Tu as activé l'ipforwarding :) ??
 
un truc du genre :

Code :
  1. echo 1 > /proc/sys/net/ipv4/ip_forward


 
J'ai po l'impression (si c'est tout ton script qui est la), le seul truc que je vois, c'est justement l'abscence de cette activation.
 
Sinon, il faut regarder sur ton noyau, pour savoir si il est correctement configuré.
 
Si ce n'est le cas, sélectionne toutes les options du noyau (histoire de n'en oublier aucune, et comme je ne connait pas le tiercé gagnant...).
 
Hormis ces bêtes oublis, je ne vois aucune raison pour que cela ne fonctionnne pas.
 
Le passant.
 
Edit : l'ip_forward semble ok dans ton premier scrip, donc je n'ai rien dit. Ne te reste plus qu'a regarder au niveau du noyau.
 
reEdit : Pour le noyau, c'est ok aussi, parce que si ça fonctionne sans préciser les ports...
Faut que je réfléchisse un peu plus avant d'écrire moi...
 
rereEdit : Je pense à autre chose, pour le DNS, tu peux n'autoriser que l'udp, les requètes dns n'utilisant que ce protocole (bien moins lourd que tcp).


Message édité par le passant le 26-12-2002 à 17:50:08
Reply

Marsh Posté le 26-12-2002 à 18:13:58    

Bon, pour éviter un autre édit :
 
J'ai pris le temps de tester toutes les solutions envisagés (même celle que toi tu proposais au tout début).
 
Et ça marche chez moi.
 
Donc, ça provient surrement de ta config, et la je ne vois pas du tout comment t'aider, je n'arrive plus à imaginer de solution.  
 
Une mauvaise compil de noyau, le non chargement des modules correct avant leur utilisation. Mais dans ce cas, la protestation du système devrait être bien plus virullente, et quand on a allégé la config de iptables, l'erreur aurait du percistée.
 
Bon, dernier recours, je vais copier tes règles et les balancer en entier chez moi, pour voir si rien ne m'aurait échappé.
 
Le passant.

Reply

Marsh Posté le 26-12-2002 à 18:29:34    

Après vérification, et une légère modif pour correspondre à ce que j'ai, ton script fonctionne parfaitement.
 
Donc ça provient de quelque chose d'autre, et la, je sais po...
 
Voici le script que j'ai testé chez moi :

Code :
  1. $IPT -P INPUT ACCEPT
  2. $IPT -P OUTPUT ACCEPT
  3. $IPT -P FORWARD ACCEPT
  5. # C'est normal puisque tout est bloque au niveau de la table filter
  6. $IPT -F
  7. $IPT -t nat -F
  8. $IPT -X
  9. $IPT -t  nat -X
  10. $IPT -t nat -P PREROUTING ACCEPT
  11. $IPT -t nat -P POSTROUTING ACCEPT
  12. $IPT -t nat -P OUTPUT ACCEPT
  14. echo 1 > /proc/sys/net/ipv4/ip_forward
  16. if [ "$1" = "flush" ]
  17.   then
  18.         exit 0
  19. fi
  21. # On drop tout par defaut
  22. $IPT -P INPUT DROP
  23. $IPT -P OUTPUT DROP
  24. $IPT -P FORWARD DROP
  26. # IP Masquering
  27. $IPT -t nat -A POSTROUTING -s $minet    -o $ppp -j MASQUERADE
  28. $IPT -t nat -A POSTROUTING -s $petitgus -o $ppp -j MASQUERADE
  30. # spoofing
  31. if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]
  32.   then
  33. for filtre in /proc/sys/net/ipv4/conf/*/rp_filter
  34. do
  35.         echo 1 > $filtre
  36. done
  37. fi
  39. # On accepte tous en local et sur le reseau
  40. $IPT -A INPUT  -i lo   -j ACCEPT
  41. $IPT -A OUTPUT -o lo   -j ACCEPT
  42. $IPT -A INPUT  -i $eth -j ACCEPT
  43. $IPT -A OUTPUT -o $eth -j ACCEPT
  44. #net
  45. $IPT -A FORWARD -i $ppp -m state --state ESTABLISHED \
  46.                -p tcp --sport 80 -j ACCEPT
  47. $IPT -A FORWARD -o $ppp -m state --state NEW,ESTABLISHED \
  48.                -p tcp --dport 80 -j ACCEPT
  50. # Dns
  51. for server in $dns1 $dns2; do
  52.           $IPT -A INPUT  -i $ppp -p udp --sport 53 -s $server \
  53.                          -m state --state ESTABLISHED -j ACCEPT
  54.           $IPT -A OUTPUT -o $ppp -p udp --dport 53 -d $server \
  55.                          -m state --state NEW,ESTABLISHED -j ACCEPT
  56. done
  58. # Proxy
  59. #$IPT -A INPUT  -i $eth -p tcp --sport 3128 -j ACCEPT
  60. #$IPT -A OUTPUT -o $eth -p tcp --dport 3128 -j ACCEPT
  62. # Ssh
  63. $IPT -A INPUT  -i $eth -s $minet -m state --state NEW,ESTABLISHED \
  64.                -p tcp --sport 22 -j ACCEPT
  65. $IPT -A OUTPUT -o $eth -d $minet -m state --state ESTABLISHED \
  66.                -p tcp --dport 22 -j ACCEPT
  68. # Pop3
  69. $IPT -A FORWARD -i $eth -o $ppp -p tcp --dport 110 \
  70.                 -m state --state NEW,ESTABLISHED -j ACCEPT
  71. $IPT -A FORWARD -i $ppp -o $eth -p tcp --sport 110 \
  72.                 -m state --state ESTABLISHED,RELATED -j ACCEPT


 
Aucun changement fondamental, comme tu le vois. Juste le proxy que je n'ai pas encore installé chez moi :).
 
Ca me désole un peu de te laisser ainsi, mais je ne vois pas la solution.
Mais bon, ce n'est pas ton script, c'est déjà ça ;).
 
Le passant.


Message édité par le passant le 26-12-2002 à 18:31:22
Reply

Marsh Posté le 26-12-2002 à 18:42:17    

Le passant a écrit :


Ca me désole un peu de te laisser ainsi, mais je ne vois pas la solution.
Mais bon, ce n'est pas ton script, c'est déjà ça ;).
 
Le passant.


 
 
Super je te remercie encore de m'avoir aidé ! Je vais essayer de regarder dans le noyau ! je te tien au courant.

Reply

Marsh Posté le 26-12-2002 à 19:01:54    

Pourquoi pas essayer avec ca :


# Pop3
  $IPT -A FORWARD -i $eth -o $ppp -p tcp --dport 110 -m state --state NEW -j ACCEPT


 
et ca (à mettre juste après le masquerading) :


# Règle pour utiliser les capacités de fw STATEFUL que possède Netfilter
  $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT


Message édité par Zzozo le 26-12-2002 à 19:02:55
Reply

Marsh Posté le 26-12-2002 à 19:41:55    

Zzozo a écrit :

Pourquoi pas essayer avec ca :


# Pop3
  $IPT -A FORWARD -i $eth -o $ppp -p tcp --dport 110 -m state --state NEW -j ACCEPT


 
et ca (à mettre juste après le masquerading) :


# Règle pour utiliser les capacités de fw STATEFUL que possède Netfilter
  $IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT




 
j'ai déjà essayer ! apparement c un probleme de config dans le noyau ! c'est pas normal que ca ne marche pas.

Reply

Marsh Posté le 26-12-2002 à 19:45:24    

Kurt Haribo a écrit :


 
j'ai déjà essayer ! apparement c un probleme de config dans le noyau ! c'est pas normal que ca ne marche pas.
 


Tu as des messages d'erreur qui s'affichent ?  ( penses au - x)

Reply

Marsh Posté le 26-12-2002 à 20:15:39    

Zzozo a écrit :


Tu as des messages d'erreur qui s'affichent ?  ( penses au - x)


 
j'ai aucun message d'erreur.

Reply

Marsh Posté le 26-12-2002 à 20:20:43    

Kurt Haribo a écrit :


 
j'ai aucun message d'erreur.


Tu as bien mis le -x comme option pour l'interpréteur en tête du script ? sans ca, ca n'affiche rien ...
Tu penses à charger (forcer le chargement on va dire) les modules correspondants si tu as un noyau modulaire ?

Reply

Marsh Posté le 27-12-2002 à 13:53:02    

Zzozo a écrit :


Tu as bien mis le -x comme option pour l'interpréteur en tête du script ? sans ca, ca n'affiche rien ...
Tu penses à charger (forcer le chargement on va dire) les modules correspondants si tu as un noyau modulaire ?


 
Oui j'ai bien mis -x, mais aucune erreur. Par contre, je viens de recomiler le kernel, et toujours pareil ca veut pas marcher. je comprends pas.

Reply

Marsh Posté le 27-12-2002 à 14:00:32    

Kurt Haribo a écrit :


 
Oui j'ai bien mis -x, mais aucune erreur. Par contre, je viens de recomiler le kernel, et toujours pareil ca veut pas marcher. je comprends pas.


 
Tu as ton fichier de compil, tu peux le mettre ici s'il te plait ?
Et ta distribution, c'est quoi, avec quel kernel, etc ??
 
Le passant.

Reply

Marsh Posté le 27-12-2002 à 14:34:56    

Le passant a écrit :


 
Tu as ton fichier de compil, tu peux le mettre ici s'il te plait ?
Et ta distribution, c'est quoi, avec quel kernel, etc ??
 
Le passant.


 
il s'appelle comment le fichier de compil ?

Reply

Marsh Posté le    

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed