problème config firewall sur serveur Debian Fermé

Question

Bonjour,

je met en place un serveur web, et j'ai un problème avec le firewall.

Pour le serveur, j'ai suivi le SiteDuZero. Mais pour la partie firewall je suis ce tuto : https://www.lafermeduweb.net#secu

et lorsque cette partie du code est rajoutée (tout le reste fonctionne, c'est juste cette ligne là qui pose problème) dans firewall.sh
Code:

  1. # Interdire toute connexion sortante
  2. iptables -t filter -P OUTPUT DROP
  3. echo - Interdire toute connexion sortante : [OK]

je perd la connexion SSH, et pas moyen de me reconnecter. Obliger de rebooter le serveur pour m'y reconnecter.

Merci de votre aide.

bob031 · Answer

Bonjour,

Je ne suis malheureusement pas spécialiste .... mais je pense que certaines informations permettraient de faire avancer le sujet :

le fichier des règles iptables (en cachant les données sensibles)

la commande suivante :

iptables -L -nv

aiglenoirdu29 · Answer

quelques infos en plus alors :

quand je complète le ficheir firewall comme indique le tutos, sans mettre la ligne qui pose problème et que je le lance ça donne ça :
root [~] > ./firewall.sh
Setting firewall rules...
- Interdire toute connexion entrante : [OK]
- Vidage : [OK]
- Bloquer Taiwanais : [OK]
- Ne pas casser les connexions établies : [OK]
iptables v1.4.2: host/network `IP_SUPERVISION' not found
Try `iptables -h' or 'iptables --help' for more information.
iptables v1.4.2: host/network `IP_SUPERVISION' not found
Try `iptables -h' or 'iptables --help' for more information.
- Autoriser Supervision : [OK]
- Autoriser les requetes DNS, FTP, HTTP : [OK]
- Autoriser loopback : [OK]
- Autoriser ping : [OK]
- Autoriser serveur Apache : [OK]
- Autoriser serveur FTP : [OK]
./firewall.sh: line 71: --log-prefix: command not found
iptables v1.4.2: Unknown arg `(null)'
Try `iptables -h' or 'iptables --help' for more information.

aiglenoirdu29 · Answer

Ensuite, si je fait un iptables -L -nv

j'obtiens ça : 

root [~] > iptables -L -nv
Chain INPUT (policy DROP 10 packets, 676 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 LOG_REJECT_SMTP  all  --  eth0   *       61.64.128.0/17       0.0.0.0/0           
    0     0 LOG_REJECT_SMTP  all  --  eth0   *       122.120.0.0/13       0.0.0.0/0           
    0     0 LOG_REJECT_SMTP  all  --  eth0   *       168.95.0.0/16        0.0.0.0/0           
   25  1578 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
    0     0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:443 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:21 
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
    0     0 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:6060 recent: CHECK seconds: 60 hit_count: 2 name: SSH side: source LOG flags 0 level 4 
    0     0 DROP       tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:6060 recent: UPDATE seconds: 60 hit_count: 2 name: SSH side: source 

Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 26 packets, 4216 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   21  2660 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:21 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80 
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:53 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:53 
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:123 
    0     0 ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0           

Chain LOG_REJECT_SMTP (3 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 4 prefix ` SMTP REJECT PAQUET : ' 
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0           
root [~] >

bob031 · Answer

plutôt donner le :

cat firewall.sh
note : toujours en masquant les données sensibles



sinon comme tu l'as surligné : iptables v1.4.2: host/network `IP_SUPERVISION' not found n'indique rien de bon !

si on se réfère sur la doc, cela vient d'ici :

# Autoriser la Supervision du serveur (SNMP)
iptables -t filter -A INPUT -p tcp --dport 161 -s IP_SUPERVISION/32 -j ACCEPT
iptables -t filter -A INPUT -p udp --dport 161 -s IP_SUPERVISION/32 -j ACCEPT
echo - Autoriser Supervision : [OK]

mais cela ne me parle pas ....


enfin concernant ssh, le tuto dit d'utiliser le port 6060 .... mais est-ce que cela a été reporté dans le fichier de configuration de ssh et dans la configuration du routeur si routeur il y a !


désolé mais je ne suis pas spécialiste ....

Utilisateur anonyme · Answer

IP_SUPERVISION et VOTRE_IP peuvent être des noms de machines définies dans le /etc/hosts du serveur.

lami20j · Answer

Salut,

Mets un # devant cette ligne est lance ton firewall.

iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Donc tu auras
#iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

lami20j · Answer

Re,

Mets comme ça
iptables -A OUTPUT -j ACCEPT

ubik · Answer

@lami20j: ce firewall a tout de même pour ambition de restreindre aussi les connections sortantes. Alors tout autoriser... Et l'idée de commenter la ligne servant à ne pas casser les connections déjà établies, pas terrible non plus.

@aiglenoirdu29: en parcourant le tuto il me vient cette question: es-tu allé jusqu'à l'étape 7?
Je suppose que ce tuto est écrit pour être suivi en étant connecté sur la console, et pas à distance par ssh. Si tu lances le parefeu à la fin de l'étape 6, il devient impossible de se connecter par ssh.

C'est précisément à l'étape 7 qu'on autorise les connexions ssh. Ajoute donc à ton script les commandes décrites dans cette section avant de démarrer le parefeu. Attention au numéro de port ssh: si tu as suivi le tuto depuis le début, tu as effectivement du mettre 6060 au lieu du port 22 standard.
Je ne saurais pas te dire si tu seras déconnecté sur le coup (normalement non), mais en tout cas tu pourras te reconnecter sans avoir à redémarrer le serveur. Et ton pare-feu sera démarré.

Sinon tu n'as pas accès à la console de ce système? Quand on bidouille de la config réseau, ca permet de se déplanter lorsqu'on s'est "enfermé dehors".

Utilisateur anonyme · Answer

127.0.0.x c'est une adresse de loopback, c'est très très local.

Il faut indiquer _l'adresse réseau_ des machines, leur nom(, et leur alias).
Quand tu as listé toutes les machines du réseau, tu peux copier ce fichier sur toutes les machines.

man hosts

lami20j · Answer

Re,

D'après le tuto après ces règles ssh est accèssible.
Alors on va tester pour voir ce qui ne vas pas étape par étape 

Ecrit dans un fichier que tu l'appelles firewall_construction.sh
#!/bin/bash
echo Setting firewall rules...
#
#

###### Debut Initialisation ######

# Interdire toute connexion entrante
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
echo - Interdire toute connexion entrante : [OK]

# Interdire toute connexion sortante
iptables -t filter -P OUTPUT DROP
echo - Interdire toute connexion sortante : [OK]

# Vider les tables actuelles
iptables -t filter -F
iptables -t filter -X
echo - Vidage : [OK]
#Creation d'une chaine
iptables -N LOG_REJECT_SMTP
iptables -A LOG_REJECT_SMTP -j LOG --log-prefix ' SMTP REJECT PAQUET : '
iptables -A LOG_REJECT_SMTP -j DROP

# Anti-Taiwanais
iptables -t filter -A INPUT -i eth0 -s 61.64.128.0/17 -j LOG_REJECT_SMTP
iptables -t filter -A INPUT -i eth0 -s 122.120.0.0/13 -j LOG_REJECT_SMTP
iptables -t filter -A INPUT -i eth0 -s 168.95.0.0/16 -j LOG_REJECT_SMTP
echo - Bloquer Taiwanais : [OK]

# Ne pas casser les connexions etablies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
echo - Ne pas casser les connexions établies : [OK]

# Autoriser la Supervision du serveur (SNMP)
iptables -t filter -A INPUT -p tcp --dport 161 -s IP_SUPERVISION/32 -j ACCEPT
iptables -t filter -A INPUT -p udp --dport 161 -s IP_SUPERVISION/32 -j ACCEPT
echo - Autoriser Supervision : [OK]

# Autoriser les requetes DNS, FTP, HTTP, NTP
iptables -t filter -A OUTPUT -p tcp --dport 21 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT
echo - Autoriser les requetes DNS, FTP, HTTP : [OK]
# Autoriser loopback
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A OUTPUT -o lo -j ACCEPT
echo - Autoriser loopback : [OK]

# Autoriser ping
iptables -t filter -A INPUT -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -j ACCEPT
echo - Autoriser ping : [OK]

# donc ici il dit  : Pour le moment tout est bloqué sauf le SSH, nous allons ajouter des exceptions au blocage:

Ensuite exécute le script et dit ce qui se passe.

aiglenoirdu29 · Answer

@ ubik : oui j'ai été jusqu'à l'étape 7, 
d'ailleurs j'ai un problème avec cette ligne : 

iptables -t filter -A INPUT -p tcp --dport 6060 -m recent --rcheck --seconds 60 --hitcount 2 --name SSH -j LOG 
--log-prefix "SSH REJECT " <=== ça ne serais pas plutôt le prolongement de la précédente plutôt qu'une nouvelle ligne? 
iptables -t filter -A INPUT -p tcp --dport 6060 -m recent --update --seconds 60 --hitcount 2 --name SSH -j DROP
iptables -t filter -A INPUT -p tcp --dport 6060 -m state --state NEW -m recent --set --name SSH -j ACCEPT


Sinon tu n'as pas accès à la console de ce système? Quand on bidouille de la config réseau, ca permet de se déplanter lorsqu'on s'est "enfermé dehors". 

le serveur est dans un coin, sans écran ni clavier, donc a part appuyer sur le bouton (il comprend qu'il doit s'éteindre, je ne l'éteint pas de force) et appuyer pour le rallumer. J'ai configuré l'accès SSH pour ne pas avoir a piqué l'écran et clavier de ma copine en permanence :)

@lami20j
Je pense qu'il faut avoir plusieurs infos pour voir si toutes ces règles sont vraiment nécessaires. 
Ce serveur est pour héberger un site web, donc j'ai besoin qu'Apache puisse être accessible, le FTP, le SSH et je pense que c'est tout non? Car pour le moment pas de serveur Mail, ni DNS.

Coté architecture ça donne Box FAI <=> Serveur + 1 PC ubuntu + un Mac

Ensuite exécute le script et dit ce qui se passe.

je test ça dès ce midi

lami20j · Answer

Re,

ça ne serais pas plutôt le prolongement de la précédente plutôt qu'une nouvelle ligne? 
Oui.

Ce serveur est pour héberger un site web, donc j'ai besoin qu'Apache puisse être accessible, le FTP, le SSH et je pense que c'est tout non? 
Justement, c'est ça que j'ai compris.
Franchement en OUTPUT tu peux laisser tout sortir.

lami20j · Answer

Re,

Changez bien le port 6060 par celui que vous avez finalement choisi et modifiez votre IP (3 premières séries .0) 

Euh => je suis sensé modifier quoi et où ?^^ 

Ben, dans le tuto il est écrit.
Il s'agit de fichier de configuration de ssh, voici son chemin complet /etc/ssh/sshd_config
A l'intérieur de fichier tu as une directive Port

Tu peux faire la modif avec une commande sans avoir besoin d'utiliser un editeur de text
En root
sed -i.orig 's/^Port.*/Port 6060/' /etc/ssh/sshd_config
/etc/init.d/ssh restart

Mais ce n'est qu'en choix, ce n'est pas obligatoire.
Perso, avec le port 22 par defaut et une authentification par clé  avec un bonne passe phrase et en utilsant ssh-agent je ne pense pas que tu auras des problèmes.
Mais bon, chacun sa façon de faire les choses.

lami20j · Answer

Re,

Peut être qu'il faut aussi penser au port 443

bob031 · Answer

Bonjour,

une discussion ou je lis ceci :

Je pense qu'il voulais tout simplement (comme moi) connaitre le port utilisé par apt-get (apparement 80 car cela passe par le web).

source : http://forum.ubuntu-fr.org/viewtopic.php?id=85701


.. à confirmer bien sûr !

bob031 · Answer

même question que dans la discussion citée : apt-get pour quoi faire ?

Problème config firewall sur serveur Debian

16 réponses

Discussions similaires

Newsletters