iptables trop fort ???

yoda_81fr · 21/06/2005 22:34:53

Salut a tous!!!

Doncsi vous avez suivi mes aventures, j'ai maintenant un routeur sous notre chère Debian à la maison avec passerelle internet et firewall.
J'ai fais un script qui marche super bien sauf que j'ai pas compris un truc. Certain site sont bloqué!
Du genre les blog de mes potes sur msn sont bloqués why??? Ils utilisent un port particulier???
Le plus bizarre c'est que ca marche sous l'ennemi juré, Ie mais pas sous mon cher Firefox?!?!?

Une idée???

Marci d'avance...

Korova · 21/06/2005 23:22:17

Qu'est-ce que tu entends par "bloqué"? et ne serait-ce pas plutôt le blog de tes potes qui est incompatible avec firefox (un blog msn qui ne marche que sous IE...mmm... ça sent plutôt le sabotage M$....)

Korova qui a passé un super week-end à Creil (et en particulier son vendredi soir...)

ledub · 22/06/2005 00:00:17

Korova qui a passé un super week-end à Creil (et en particulier son vendredi soir...)

Ohhh c'est gentil ma Korova et ta ballade à Amiens ??

LeDub que Korova a fatigué ... par sa sympathique présence chez lui en ce vendredi soir trop court.

yoda_81fr · 22/06/2005 07:14:17

ouais mais le truc c'est que ca marchais avant que je passe en routeur linux :oops:

le dub se fait vieux????

Korova · 22/06/2005 07:50:02

Je répète : qu'est-ce que tu entends par "bloqué" ? (page blanche, erreur 404, ... ?)
Il ressemble à quoi ton script firewall (que les spécialistes puissent le disséquer...)
et si tu nous donnais un exemple de site "bloqué" (avec une adresse, koi), qu'on puisse essayer de comprendre ?

Korova un peu comateuse à cause de la chaleur

PS : <mode="privé">Ouais, c'était bien aussi Amiens, on voulait voir le défilé de Royal DeLuxe, mais l'éléphant est tombé en panne au moment où on arrivait devant... tant pis ! Amiens, c'est une ville sympa (mais que je connaissais déjà un peu)
Bref, faudra quand même qu'on essaie de goupiller un plan un jour que je puisse aller à une andébière...</mode>

armen · 22/06/2005 09:14:22

Oh oui, un script a disséqué, je vais avoir quelques soirées à tuer la semaine prochaine...

Si ça passe sous IE, c'est que le Firewall n'est pas en cause, les paquets passent bien. Si tu nous donne le nom d'un site, on peut aller voir si notre FF passe bien (si tu veux pas donner le nom sur le forum, envoie un MP aux personnes qui t'on répondues...).

Bonne journée (pour le moment, il fait frais en Normandy )

yoda_81fr · 22/06/2005 22:02:32

Voici mon script:

#!/bin/sh
####################################################
#                       Script Firewall du reseau  #
#                               Arnaud        #
#                               24 / 01 / 05       #
####################################################
#################################################
#       DEFINITION DES VARIABLE INTERNES        #
#################################################
# Parametre reseau local (LAN)
LAN_INTERFACE=eth0; # Interface réseau interne
LAN_IP=192.168.0.4; # Adresse IP réseau interne
LAN_NETWORK=192.168.0.0/24; # Réseau interne
LAN_BROADCAST=192.168.0.255; # Adresse de broadcast
# Parametre internet (WAN)
WAN_INTERFACE=ppp0; # Interface modem
WAN_NETWORK=0.0.0.0/0;
#Parametre reseau modem
MODEM_INTERFACE=eth1;
MODEM_IP=192.168.0.254;
#########################################
#       INITIALISATION DES TABLES       #
#########################################
echo "+ Initialisation de la table Filter"
iptables -t filter -F
iptables -t filter -X
iptables -t filter -P INPUT   DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT  DROP
# Initialise la table NAT (par défaut tout les échanges sont activés)
echo "+ Initialisation de la table NAT"
iptables -t nat -F
iptables -t nat -X
iptables -t nat -P PREROUTING  ACCEPT
iptables -t nat -P OUTPUT      ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
# Initialise la table Mangle (par défaut tout les échanges sont activés)
echo "+ Initialisation de la table Mangle"
iptables -t mangle -F
iptables -t mangle -X
iptables -t mangle -P PREROUTING  ACCEPT
iptables -t mangle -P INPUT       ACCEPT
iptables -t mangle -P FORWARD     ACCEPT
iptables -t mangle -P OUTPUT      ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
# Desactivation du NAT dans le kernel avant la config
echo "+ Desactive NAT"
echo 0 > /proc/sys/net/ipv4/ip_forward
#################################
#       REGLES LOCALHOST        #
#################################
# On accepte tout
echo "+ Regles LocalHost"
iptables -t filter -A OUTPUT -o lo -j ACCEPT
iptables -t filter -A INPUT  -i lo -j ACCEPT
###############################
#       REGLES RESEAU LOCAL   #
###############################
echo "+ Regles Reseau Local"
# Connexions firewall <-> réseau   (On accepte tout, le réseau est sur)
iptables -t filter -A OUTPUT -o $LAN_INTERFACE -j ACCEPT
iptables -t filter -A INPUT  -i $LAN_INTERFACE -j ACCEPT
###########################
#       REGLES INTERNET   #
###########################
echo "+ Regles Internet"
# Chargement des modules pour le suivit de connexion
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
# Acceptation des connections initialisées par le Reseau
iptables -t filter -A OUTPUT -o $WAN_INTERFACE -j ACCEPT
iptables -t filter -A INPUT  -i $WAN_INTERFACE -m state --state RELATED,ESTABLISHED -jACCEPT
###################################
#       PASSERELLE INTERNET       #
###################################
echo "+ Active Passerelle"
# Chargement des modules pour l'IP masquerading
modprobe iptable_nat
modprobe ip_nat_ftp
modprobe ip_nat_irc
# Transfert des paquets de WAN -> LAN
iptables -t filter -A FORWARD -i $LAN_INTERFACE -o $WAN_INTERFACE -s $LAN_NETWORK -d $WAN_NETWORK -m state --state ! INVALID -j ACCEPT
iptables -t filter -A FORWARD -i $WAN_INTERFACE -o $LAN_INTERFACE -s $WAN_NETWORK -d $LAN_NETWORK -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS -o ppp0 --clamp-mss-to-pmtu
# Mappage des adresses IP de LAN
iptables -t nat -A POSTROUTING  -o $WAN_INTERFACE -s $LAN_NETWORK -j MASQUERADE
# Activation de la passerelle
echo 1 > /proc/sys/net/ipv4/ip_forward
#########################
#       Serveur WEB     #
#########################
#echo "+ Activation du serveur Web"
#iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#iptables -t nat -A PREROUTING -i $WAN_INTERFACE -p tcp --dport 80 -j DNAT --to-destination 192.168.0.4:80

Je répète : qu'est-ce que tu entends par "bloqué" ? (page blanche, erreur 404, ... ?)

Il dis que le site est trouvé mais reste bloqué sur la page précédement vue

si tu nous donnais un exemple de site "bloqué" (avec une adresse, koi), qu'on puisse essayer de comprendre ?

En voici un (celui d'une amie):
http://spaces.msn.com/members/kiwimini5 … e.aspx?_c=
Par contre comment je fais pour avoir un serveur web??
J'ai commencé un essai mais bon....

Korova · 22/06/2005 22:33:11

Mmm... moi j'arrive à y aller sur le blog de ta copine avec mozilla-firefox...

Par contre pour installer un serveur web sous linux, que dirais-tu de commencer par #apt-get install apache ?
<mode='je fais ma curieuse'> Tu comptes faire quoi avec ton serveur web ?</mode>

Pour ton script, je laisse officier Armen, c'est lui le grand gourou...

Korova dévorée par les moustiques (sales bêtes !)

armen · 22/06/2005 22:51:06

Je me l'édite demain et je regarde dans le train (pas pratique pour avoir des doc sur le web, le train) demain soir.

Mais bon, comme je vais sur Paris, j'aurai plus de temps que quand je rentre at home (ça doit réagir, là)

Un serveur web, avec ip fixe ou non ? voir les DNS dynamiques ...( NoIP, DynDNS, ...) avec php, PERL ou juste du html (on va faire mode) ou du XHTML ...

Un site dynamique qui prend ses données dans une base de données ?

Faut ouvrir le port 80, si tu veux que le monde voit ton oeuvre (j'ai pas encore lu le script, fatigué -> dodo...)

bz31 · 22/06/2005 23:33:15

#!/bin/sh
###########################
#       REGLES INTERNET   #
###########################
iptables -t filter -A INPUT  -i $WAN_INTERFACE -m state --state RELATED,ESTABLISHED -jACCEPT

... -j ACCEPT
(un espace maquant)

Edit : mon message est inutil, je crois que c'est sans importance. :arrow:

ioguix · 23/06/2005 08:51:46

Je me l'édite demain et je regarde dans le train (pas pratique pour avoir des doc sur le web, le train) demain soir.
Mais bon, comme je vais sur Paris, j'aurai plus de temps que quand je rentre at home (ça doit réagir, là)...

!!!!! Tu es ce soir sur paris ???

On peu se voir alors !!!

Pour le serveur web yoda, effectivement, done nous ton besoin, mais la base est de choisir entre apache ou apache2

++

yoda_81fr · 23/06/2005 08:52:09

Mmm... moi j'arrive à y aller sur le blog de ta copine avec mozilla-firefox...

Ca marche aussi chez moi mais que sous mon nux, sur le poste de ma mere (qui est encore sous w...) ca passe que sous ie.

Par contre pour installer un serveur web sous linux, que dirais-tu de commencer par #apt-get install apache ?
<mode='je fais ma curieuse'> Tu comptes faire quoi avec ton serveur web ?</mode>

Apache, postgre et php4 sont installé et ça fonctionne en interne mais pas en externe

C'est parce que j'ai fais un site perso avec mon cv et pleins de petites conneries. C'ets pour montrer aux recruteurs ce que je sais un peu faire
Et puis je trouve ça drole de le faire, ça occupe

Un serveur web, avec ip fixe ou non ? voir les DNS dynamiques ...( NoIP, DynDNS, ...) avec php, PERL ou juste du html (on va faire mode) ou du XHTML ...
Un site dynamique qui prend ses données dans une base de données ?

Les réponses sont jsute au dessus
J'ai fais un compte sous dyndns et j'ai une redirection avec dns dynamique (donc ip variable) !!!

yoda_81fr · 23/06/2005 08:54:50

Pour le serveur web yoda, effectivement, done nous ton besoin, mais la base est de choisir entre apache ou apache2

C'est fais je suis passé sous apache j'ai pas essayé apache2 (en plus ça passe pas sous webmin )

armen · 23/06/2005 09:07:27

#########################
# Serveur WEB #
#########################
#echo "+ Activation du serveur Web"
#iptables -A INPUT -p tcp --dport 80 -j ACCEPT
#iptables -t nat -A PREROUTING -i $WAN_INTERFACE -p tcp --dport 80 -j DNAT --to-destination 192.168.0.4:80
[/code]

pour ton serveur web, il faudrait décommenter ces règles...

voici celle que j'utilise (on a à peu près les mêmes variables, donc tu peux copier-coller pour essayer). [code]# on autorise les connexion sur le port 80 (si on a un serveur web, enlever le commentaire)
# iptables -A INPUT -i $WAN_INTERFACE -s $WAN_NETWORK -p tcp --sport 1024:65535 --dport 80 -m state --state NEW -j ACCEPT [/code]

Hélas, Ioguix, j'arrive après 18h, je dois passer dans 1 ou 2 magasin(s) et je suis attendu à ~19h-19h30 chez des amis pour la soirée.

Par contre début juillet, pourquoi pas, j'aurai sûrement quelques soirées à tuer (si quelqu'un peut m'accorder 2m² de moquette pour la nuit, ce serait cool )

Korova · 23/06/2005 10:10:36

<mode="pourrissage (pardon yoda81fr)"> Si quelqu'un trouve 2m2 pour armen (je lui souhaite bien sûr...), moi je dis que c'est pas juste, car quand j'avais fait un appel au peuple pour pouvoir me rendre à une andébière parisienne, personne avait voulu m'accueillir.
Par contre, si ça intéresse, j'ai plus de 2m2 dispos, mais à Charleville-Mézières...</mode>

Yoda, dyndns c'est super, moi je l'utilise depuis quelques mois, (tout ça parce que chez wanadoo faut raquer un max pour avoir une IP fixe :evil: )

Korova qui s'entraîne à pourrir les discussions (c'est le gourou au sabre qui a une mauvaise influence sur moi...)

yoda_81fr · 23/06/2005 10:11:00

mon serveur web tourne sur ma passerelle, ça change rien???

armen · 23/06/2005 10:53:21

mon serveur web tourne sur ma passerelle, ça change rien???

Non, c'est même plus simple, sinon, il faut faire de la translation de port (si ma mémoire est bonne, chose dont je doute actuellement ). Mon serveur Web tourne sur ma passerelle, j'ai même des virtual hosts (plusieurs sites sur un même serveur toto.homelinux.org, titi.homelinux.org ...).

Comme je n'ai pas d'ip fixe, DynDNS fait le lien entre mon ip et le nom toto.homelinux.org. Il y a un service qui scrute les changements d'adresse ip et qui fait la mise à jour chez DynDNS (je me souviens plus de son nom, mais il existe un paquet Debian officiel)

Si quelqu'un trouve 2m2 pour armen (je lui souhaite bien sûr...), moi je dis que c'est pas juste, car quand j'avais fait un appel au peuple pour pouvoir me rendre à une andébière parisienne, personne avait voulu m'accueillir.

Ok, si je trouve 2 X 2m², je te préviens

Par contre, si ça intéresse, j'ai plus de 2m2 dispos, mais à Charleville-Mézières...

C'est cool pour le ski (de fond), en hiver ???

Armen qui regrette son pourrissage, mais qui ne fait pas que çà

ioguix · 23/06/2005 12:09:54

<mode="pourrissage (pardon yoda81fr)"> Si quelqu'un trouve 2m2 pour armen (je lui souhaite bien sûr...), moi je dis que c'est pas juste, car quand j'avais fait un appel au peuple pour pouvoir me rendre à une andébière parisienne, personne avait voulu m'accueillir.
Par contre, si ça intéresse, j'ai plus de 2m2 dispos, mais à Charleville-Mézières...</mode>
...

Dsl Korova, à l'époque où tu parlais de venir à Paris, je crois que j'étais en australie...de plus j'ai déjà du mal à me loger chez ma mère...

Cependant, je suis super motivé pour me predre un logement une fois bien installé dans la vie professionnelle (mais pas trop hein )...Donc, plus tard certainement...maintenant, pas possible

++

ledub · 23/06/2005 14:21:23

<mode="pourrissage (pardon yoda81fr)"> Si quelqu'un trouve 2m2 pour armen (je lui souhaite bien sûr...), moi je dis que c'est pas juste, car quand j'avais fait un appel au peuple pour pouvoir me rendre à une andébière parisienne, personne avait voulu m'accueillir.
Par contre, si ça intéresse, j'ai plus de 2m2 dispos, mais à Charleville-Mézières...</mode>
...

Dsl Korova, à l'époque où tu parlais de venir à Paris, je crois que j'étais en australie...de plus j'ai déjà du mal à me loger chez ma mère...

À moi de répondre à Korova !
À cette époque ma tendre n'était pas là, donc les chaussettes jonchaient le sol, les plats étaient dans le spool lavage et je ne cite pas les slips sales, donc ma maison n'était pas forcément accueillante.

LeDub capable de pourrir sa maison comme les conversations.

armen · 23/06/2005 16:20:47

À cette époque ma tendre n'était pas là, donc les chaussettes jonchaient le sol, les plats étaient dans le spool lavage et je ne cite pas les slips sales, donc ma maison n'était pas forcément accueillante.

Nous comprenons donc à quoi sert la gente féminine pour le sieur Ledub : laver la vaisselle et le linge... Tu pourrais avoir un lave-linge et un lave vaisselle, ça économise l'eau :oops: Dsl

Armen, tombé amoureux du "chant d'Hélium" de Marie-Jo Thério (dommage que l'album soit pas de la même barrique (enfin du même tonneau );)

yoda_81fr · 23/06/2005 17:36:44

Non, c'est même plus simple, sinon, il faut faire de la translation de port (si ma mémoire est bonne, chose dont je doute actuellement ). Mon serveur Web tourne sur ma passerelle, j'ai même des virtual hosts (plusieurs sites sur un même serveur toto.homelinux.org, titi.homelinux.org ...).
Comme je n'ai pas d'ip fixe, DynDNS fait le lien entre mon ip et le nom toto.homelinux.org. Il y a un service qui scrute les changements d'adresse ip et qui fait la mise à jour chez DynDNS (je me souviens plus de son nom, mais il existe un paquet Debian officiel)

Il faut juste ouvrir le port alors???

C'est pas grave Korova de pourrir le message, un peu je joie ca fais pas de mal

febbus · 12/08/2005 22:25:31

Bonjour,

Je viens de lire ton premier message et j'ai cru reconnaître un problème que j'ai eu il n'y a pas longtemps !

En fait je venais de monter une passerelle sous Debian, j'avais internet et j'étais content mais certains sites étaient inaccessibles comme wanadoo.fr, hotmail.com... pourtant je pouvais faire un ping ça répondait bien sans aucun problème..

Après quelques recherches sur le net et l'aide des personnes du chan de Andesi j'ai trouvé un message qui parlait de valeur de MTU.

La MTU est la taille des trames envoyées par le modem (d'après ce que j'ai compris) et si la valeure est trop élevée, certains firewall les bloquent...

J'ai juste modifié cette valeure à 1492 et depuis je n'ai plus de problèmes

Bon la différence c'est que moi même avec internet explorer je ne pouvais pas aller sur les sites. Par contre à partir de la passerelle pas de problème !

Petit extrait de la doc pppoe :

-m MSS
Force pppoe à fixer la taille maximale du segment TCP à la valeur spécifiée. À cause du surdébit de PPPoE, la taille maximale du segment pour PPPoE est plus petite que pour l'encapsulation normale d'Ethernet. Cela pourrait poser des problèmes pour des machines d'un réseau local situé derrière une passerelle utilisant pppoe. Si vous avez un réseau local derrière une passerelle, et si cette passerelle est connectée à Internet en utilisant pppoe, il vous est fortement recommandé d'utiliser l'option -m 1412. Cela évite d'avoir à configurer le MTU sur tous les hôtes du réseau local.

yoda_81fr · 12/08/2005 23:34:03

Oui j'avais résolu le problème désolé de ne pas avoir prévenu :oops:

febbus · 12/08/2005 23:52:06

C'était bien le même problème que moi ?

yoda_81fr · 13/08/2005 00:02:11

oui tout a fait
n le voit quand on compare le mtu de ppp0 et eth0

Andesi - forum

#1 21/06/2005 22:34:53

iptables trop fort ???

#2 21/06/2005 23:22:17

Re : iptables trop fort ???

#3 22/06/2005 00:00:17

Re : iptables trop fort ???

#4 22/06/2005 07:14:17

Re : iptables trop fort ???

#5 22/06/2005 07:50:02

Re : iptables trop fort ???

#6 22/06/2005 09:14:22

Re : iptables trop fort ???

#7 22/06/2005 22:02:32

Re : iptables trop fort ???

#8 22/06/2005 22:33:11

Re : iptables trop fort ???

#9 22/06/2005 22:51:06

Re : iptables trop fort ???

#10 22/06/2005 23:33:15

Re : iptables trop fort ???

#11 23/06/2005 08:51:46

Re : iptables trop fort ???

#12 23/06/2005 08:52:09

Re : iptables trop fort ???

#13 23/06/2005 08:54:50

Re : iptables trop fort ???

#14 23/06/2005 09:07:27

Re : iptables trop fort ???

#15 23/06/2005 10:10:36

Re : iptables trop fort ???

#16 23/06/2005 10:11:00

Re : iptables trop fort ???

#17 23/06/2005 10:53:21

Re : iptables trop fort ???

#18 23/06/2005 12:09:54

Re : iptables trop fort ???

#19 23/06/2005 14:21:23

Re : iptables trop fort ???

#20 23/06/2005 16:20:47

Re : iptables trop fort ???

#21 23/06/2005 17:36:44

Re : iptables trop fort ???

#22 12/08/2005 22:25:31

Re : iptables trop fort ???

#23 12/08/2005 23:34:03

Re : iptables trop fort ???

#24 12/08/2005 23:52:06

Re : iptables trop fort ???

#25 13/08/2005 00:02:11

Re : iptables trop fort ???

Pied de page des forums