Script Iptables /probleme connexion internet

Fermé
manager30 Messages postés 113 Date d'inscription vendredi 1 février 2008 Statut Membre Dernière intervention 14 mai 2016 - 8 févr. 2008 à 15:40
manager30 Messages postés 113 Date d'inscription vendredi 1 février 2008 Statut Membre Dernière intervention 14 mai 2016 - 12 févr. 2008 à 09:15
Bonjour,

J'ai un probleme , car lorsque j'active mon script iptables , il m'est impossible d'acceder à internet.

voila le schéma réseau actuel de l'entreprise

LAN+FW------switch-----livebox---NET
seul eth0 est réliée au switch
eth1 n'est pas cablée

voici le schéma futur

LAN---switch----FW----Livebox----NET
eth0 sera coté livebox
eth1 coté LAN


Voici le script ci-dessous

#!/bin/sh

# J'autorise les paquets a etre envoyés dans la chaien FORWARD

echo 1 >/proc/sys/net/ipv4/ip_forward

#remise a zéro des regles de filtrage

iptables -F
iptables -t nat -F

# Début des regles de firewalling

# début des politiques par défaut

# Je veux que les connexions entrantes soient bloquées par défaut

iptables -P INPUT DROP

# Je veux que les connexions destinées a etre forwardées soient bloquées par défaut

iptables -P FORWARD DROP

# Je veux que les connexions sortantes soient aceptées par défaut

iptables -P OUTPUT ACCEPT

# Fin des politiques par défaut

# J'autorise la boucle locale

#iptables -t filter -A INPUT -i lo -j ACCEPT
#iptables -t filter -A OUTPUT -o lo -j ACCEPT

# Je considere que mon réseau local est sur

iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT-o eth1 -j ACCEPT

# Translation d'adresses pour tout ce qui traverse la passerelle en sortant par eth0

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Toutes les connexions qui sortent du LAN vers le net sont aceptées

iptables -A FORWARD -i eth1 -o eth0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#Seules les connexions deja établies ,ou en relation avec des connexions établies sont acceptés venant du net vers le LAN

iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACEPT

# Je laisse rentrer les réponses de ping depuis le parefeu vers l'internet, uniquement si ceux-ci proviennet de connexions deja établies ou dépendantes d'une connexion en cours.

iptables -A INPUT -p icmp -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

#LOG tout ce qui ne passe pas

iptables -A INTPUT -j LOG --log-level debug --log-prefix "firewall - input DROP" --log-ip-options -m limit --limit 3/s
iptables -A INPUT -j DROP

iptables -A OUTPUT -j LOG --log-level debug --log-prefix "firewall - output DROP" --log-ip-options -m limit --limit 3/s
iptables -A OUTPUT -j DROP

iptables -A FORWARD -j LOG --log-level debug --log-prefix "firewall - forward DROP" --log-ip-options -m limit --limit 3/s
iptables -A FORWARD -j DROP


MERCI Pour ceux qui voudront bien répondre.

5 réponses

EminoMeneko Messages postés 2435 Date d'inscription jeudi 24 janvier 2008 Statut Membre Dernière intervention 23 mai 2018 318
11 févr. 2008 à 23:52
Déjà le schéma à pas l'air de valoir grand chose je doute que tout soit en ligne. Et puis eth0/1 c'est sur la machine qui a le Netfilter ?

La RAZ des règles je me demande si il ne faut pas recommencer (ajouter) avec l'option X aussi

Les politiques par défaut OK
La boucle local je vois pas de problème sauf les interfaces peut-être (mais je comprend pas le schéma du réseau moi j'aurais fait un schéma comme ça on m'aurait traité)

Y'a un accept qui est mal écrit...

Et le log donne quoi alors ?
0
yoann_tux Messages postés 441 Date d'inscription lundi 28 février 2005 Statut Membre Dernière intervention 24 juillet 2008 95
11 févr. 2008 à 23:57
Essaye de lister au fur et à mesure les résultat des commandes pour voir si une commande n'a pas une influence sur les précédentes et efface les anciens....
0
EminoMeneko Messages postés 2435 Date d'inscription jeudi 24 janvier 2008 Statut Membre Dernière intervention 23 mai 2018 318
12 févr. 2008 à 00:01
Oui c'est vrai que l'ordre des commande peut avoir son importance. :)
0
seb-taz Messages postés 100 Date d'inscription jeudi 10 mai 2007 Statut Membre Dernière intervention 31 mai 2008 30
12 févr. 2008 à 00:53
salut
la boucle locale est commenté #
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
manager30 Messages postés 113 Date d'inscription vendredi 1 février 2008 Statut Membre Dernière intervention 14 mai 2016 3
12 févr. 2008 à 09:15
MERCI pour vos réponses en fait j'arrive maintenant a me connecter au NET mais mon script a changé!
Si vous pouviez me dire ce que vous en pensez ce serait sympa!

Quant au schéma réseau:

LAN------- eth1 FW eth0 -------------LIVEBOX ------ NET

et voici le script iptables (laissez vos avis)

#!/bin/sh

# J'autorise les paquets a etre envoyés dans la chaien FORWARD

echo 1 >/proc/sys/net/ipv4/ip_forward

# Flush all tables
iptables -F

# Set default policy
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

# from ESTABLISHED and RELATED connections ( accept les paquets lier à un etat )
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# J'autorise la boucle locale

#iptables -t filter -A INPUT -i lo -j ACCEPT (au dessus)
iptables -t filter -A OUTPUT -o lo -j ACCEPT


# Je considere que mon réseau local est sur

iptables -A INPUT -i eth1 -j ACCEPT
iptables -A OUTPUT-o eth1 -j ACCEPT

# Translation d'adresses pour tout ce qui traverse la passerelle en sortant par eth0

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Toutes les connexions qui sortent du LAN vers le net sont aceptées

iptables -A FORWARD -i eth1 -o eth0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

#Seules les connexions deja établies ,ou en relation avec des connexions établies sont acceptés venant du net vers le LAN

iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Je laisse rentrer les réponses de ping depuis le parefeu vers l'internet, uniquement si ceux-ci proviennet de connexions deja établies ou dépendantes d'une connexion en cours.

iptables -A INPUT -p icmp -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
0