Tunnel SSH avec VNC

Tunnel SSH avec VNC - Réseaux - Systèmes & Réseaux Pro

Marsh Posté le 27-02-2012 à 18:07:32    

Bonjour :)
 
je poste ici parce que j'ai un petit problème de parefeu iptables x)
 
pour exposer la situation, j'ai un routeur/parefeu qui relie une DMZ (172.16.1.0/24) et un LAN (172.16.0.0/24) vers l'extérieur (10.0.0.0/8) . Sur la DMZ, j'ai 3 serveurs dont un serveur Windows 2008 (et 2 debian) et un client ubuntu sur le LAN.
J'aimerais pouvoir me connecter depuis une machine située à l'exterieur vers une machine située dans la DMZ ou dans le LAN.
 
J'ai bien configuré PuTTy vers mon routeur/firewall avec un tunnel ssh ( L8888 172.16.1.4:5900 )
la connexion s'ouvre bien en ssh mais mes règles semblent ne pas suffire pour laisser passer la connexion VNC du PC de l'exterieur vers le serveur Windows
 
Je voudrais bien savoir ce qu'il faut ajouter comme règles à mon script iptables pour laisser passer cette connexion :/
j'ai pensé à plein de choses mais après un après midi complet dessus je fatigue x)
si vous aviez quelques idées ... x)
 
 
PS: C'est pour un projet en IUT donc soyez gentils si j'ai tout fait de travers X)
 
voilà mon script au cas ou :
 

Code :
  1. EXT=eth0
  2. LAN=eth1
  3. DMZ=eth2
  4. IPDMZ=172.16.1.0/255.255.255.0
  5. IPLAN=172.16.0.0/255.255.255.0
  6. IPEXT=10.10.33.200
  8. SERVDNS=172.16.1.4
  9. CLUSTERWEBDAV=172.16.1.3
  10. PORTWEBDAV=4500
  13. echo 1 > /proc/sys/net/ipv4/ip_forward
  15. case $1 in
  16.         start)
  17.                 # Initialisation
  18.                 iptables -t nat -F
  19.                 iptables -t filter -F
  20.                 iptables -t mangle -F
  21.                 iptables -t nat -X
  22.                 iptables -t mangle -X
  23.                 iptables -t filter -X
  24.                 iptables -P INPUT DROP
  25.                 iptables -P OUTPUT DROP
  26.                 iptables -P FORWARD DROP
  28.                 # Autoriser la boucle locale
  29.                 iptables -A INPUT  -i lo -j ACCEPT
  30.                 iptables -A OUTPUT -o lo -j ACCEPT
  32.                 # Autorisation de ssh depuis l'exterieur
  33.                 iptables -A INPUT -i $EXT -p tcp --dport 22 -j ACCEPT
  34.                 iptables -A OUTPUT -o $EXT -p tcp --sport 22 -j ACCEPT
  35.                 # Autorisation de ssh depuis la DMZ
  36.                 iptables -A INPUT -i $DMZ -p tcp --sport 22 -j ACCEPT
  37.                 iptables -A OUTPUT -o $DMZ -p tcp --dport 22 -j ACCEPT
  39.                 # Internet en MASQUERADING (masquage d'IP)
  40.                 iptables -t nat -A POSTROUTING -o $EXT -j MASQUERADE
  42.                 # Autorisation de DNS de LAN vers DMZ
  43.                 iptables -A FORWARD -i $LAN -o $DMZ -p udp -d $SERVDNS --dport 53 -j ACCEPT
  44.                 iptables -A FORWARD -i $DMZ -o $LAN -p udp -s $SERVDNS --sport 53 -j ACCEPT
  45.                 # Autorisation de DNS de Routeur vers DMZ
  46.                 iptables -A OUTPUT -o $DMZ -p udp -d $SERVDNS --dport 53 -j ACCEPT
  47.                 iptables -A INPUT  -i $DMZ -p udp -s $SERVDNS --sport 53 -j ACCEPT
  48.                 # Autorisation de DNS du serveur DNS vers Internet
  49.                 iptables -A FORWARD -i $DMZ -o $EXT -p udp -s $SERVDNS --dport 53 -j ACCEPT
  50.                 iptables -A FORWARD -i $EXT -o $DMZ -p udp -d $SERVDNS --sport 53 -j ACCEPT
  52.                 # Autorisation de http(s)de LAN vers le net
  53.                 iptables -A FORWARD -i $LAN -o $EXT -p tcp --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  54.                 iptables -A FORWARD -i $EXT -o $LAN -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  55.                 iptables -A FORWARD -i $LAN -o $EXT -p tcp --dport 443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  56.                 iptables -A FORWARD -i $EXT -o $LAN -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
  57.                 # Autorisation de http(s)de DMZ vers le net
  58.                 iptables -A FORWARD -i $DMZ -o $EXT -p tcp --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  59.                 iptables -A FORWARD -i $EXT -o $DMZ -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  60.                 iptables -A FORWARD -i $DMZ -o $EXT -p tcp --dport 443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  61.                 iptables -A FORWARD -i $EXT -o $DMZ -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
  62.                 # Autorisation de Internet pour le routeur
  63.                 iptables -A OUTPUT -o $EXT -p tcp --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  64.                 iptables -A INPUT  -i $EXT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  65.                 iptables -A OUTPUT -o $EXT -p tcp --dport 443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
  66.                 iptables -A INPUT  -i $EXT -p tcp --sport 443 -m state --state ESTABLISHED -j ACCEPT
  68.                 # Autoriser le LAN a échanger sur le port 80 avec le cluster WebDAV
  69.                 iptables -A FORWARD -i $LAN -o $DMZ -p tcp -s $IPLAN -d $CLUSTERWEBDAV --dport 80 -j ACCEPT
  70.                 iptables -A FORWARD -i $DMZ -o $LAN -p tcp -s $CLUSTERWEBDAV -d $IPLAN --sport 80 -j ACCEPT
  71.                
  74.                 # Autorisation de VNC par tunelling
  75. #              iptables -t nat -A PREROUTING -p tcp -d $IPEXT --dport 8888 -i $EXT -j DNAT --to-destination 172.16.1.4:5900
  76. #              iptables -t nat -A POSTROUTING -p tcp --sport 5900 -o $EXT -j SNAT --to-source 10.10.33.120:8888
  77. #              iptables -A FORWARD -i $EXT -o $DMZ -p tcp -d 172.16.1.4 --dport 5900 -j ACCEPT
  78. #              iptables -A FORWARD -i $DMZ -o $EXT -p tcp -s 172.16.1.4 --sport 5900 -j ACCEPT
  83. #               iptables -A OUTPUT -o $DMZ -p tcp --dport 5900 -j ACCEPT
  84. #               iptables -A INPUT -i $DMZ -p tcp --sport 5900 -j ACCEPT
  86.                 # Autorisation de WWW par le routeur (tunelling)
  87. #               iptables -A INPUT  -i $LAN -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
  88. #               iptables -A OUTPUT -o $LAN -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
  90.                 # Routage NAT 10.10.33.200:4500 va sur 172.16.1.3:80
  91.                 iptables -t nat -A PREROUTING  -p tcp -d $IPEXT --dport $PORTWEBDAV -i $EXT -j DNAT --to $CLUSTERWEBDAV:80
  92.                 iptables -t nat -A POSTROUTING -p tcp --sport 80 -o $EXT -j SNAT --to $CLUSTERWEBDAVEXT:$PORTWEBDAV
  93.                 iptables -A FORWARD -i $EXT -o $DMZ -p tcp -d $CLUSTERWEBDAV --dport 80 -j ACCEPT
  94.                 iptables -A FORWARD -i $DMZ -o $EXT -p tcp -s $CLUSTERWEBDAV --sport 80 -j ACCEPT
  96.                 # Autorisation de DHCP
  97.                 #HAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAaaaFock :(
  103.         ;;
  104.         stop)
  105.                 iptables -t nat -F
  106.                 iptables -t filter -F
  107.                 iptables -t mangle -F
  108.                 iptables -X
  109.                 iptables -P INPUT ACCEPT
  110.                 iptables -P OUTPUT ACCEPT
  111.                 iptables -P FORWARD ACCEPT
  113.         ;;
  114.         restart)
  115.                 service firewall stop
  116.                 service firewall start
  117.         ;;
  118.         *)
  121.         ;;
  122. esac


 

Reply

Marsh Posté le 27-02-2012 à 18:07:32   

Reply

Marsh Posté le 28-02-2012 à 12:41:54    

C'est bon j'ai trouvé l'erreur ........ x')
 
iptables -A OUTPUT -p tcp -d $SERVDNS --dport 5900 -j ACCEPT
iptables -A INPUT  -p tcp -d $IPEXT --sport 5900 -j ACCEPT
 
suffit !!
il faut juste penser a configurer le parefeu Windows !! X)

Reply

Marsh Posté le 29-02-2012 à 09:45:18    

Et oui comme tout le temps :)

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed