Conversation
precedente ou
suivante
débutant en iptables... help
Envoyé par:
Atma
Bonjour,
Cela fait un p'tit moment que je me casse les dents avec les iptables pour administrer mon tout nouveau serveur debian (et oui... on commence tous un jour...)
J'ai donc fait un script de firewall 'a la' lea-linux (proche de celui présenté en exemple la : [lea-linux.org]).
Tout d'abord, j'ai apporté une correction au script d'amorçage dans le init.d : ce n'est pas :
case "" in
start)
...
mais :
case $1 in
start)
...
Bon, passons...
Lorsque je lance mon script d'amorçage, j'obtiens un certain nombre d'erreurs que je vais vous lister (si de bonnes âmes connaissent les packages que j'ai a apt-getter ... ca serait sympa de m'aider ^^) :
Flush des règles IpTables: iptables v1.2.11: can't initialize iptables table `na
t': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (d
o you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (d
o you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (d
o you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
[termine]
./firewall: line 24: [: -eq: unary operator expected
Application des règles IpTables: FATAL: Error inserting ip_nat_ftp (/lib/modules/2.6.9/kernel/net/ipv4/netfilter/ip_nat_ftp.ko): Unknown symbol in module, or unknown parameter (see dmesg)
FATAL: Error inserting ip_nat_irc (/lib/modules/2.6.9/kernel/net/ipv4/netfilter/ip_nat_irc.ko): Unknown symbol in module, or unknown parameter (see dmesg)
FATAL: Error inserting iptable_nat (/lib/modules/2.6.9/kernel/net/ipv4/netfilter/iptable_nat.ko): Unknown symbol in module, or unknown parameter (see dmesg)
iptables: No chain/target/match by that name
iptables: No chain/target/match by that name
iptables: No chain/target/match by that name
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
[Termine]
Note: j'ai strictement fait un copier/coller (on peut considérer ca comme ca... puisque je n'ai fait que modifier le script firewall.sh ... qui n'intervient normalement pas ici...) des scripts donnés sur la page donné ci-dessus de lea-linux.
Je suis en debian 2.6
Merci d'avance pour vos réponses
Cela fait un p'tit moment que je me casse les dents avec les iptables pour administrer mon tout nouveau serveur debian (et oui... on commence tous un jour...)
J'ai donc fait un script de firewall 'a la' lea-linux (proche de celui présenté en exemple la : [lea-linux.org]).
Tout d'abord, j'ai apporté une correction au script d'amorçage dans le init.d : ce n'est pas :
case "" in
start)
...
mais :
case $1 in
start)
...
Bon, passons...
Lorsque je lance mon script d'amorçage, j'obtiens un certain nombre d'erreurs que je vais vous lister (si de bonnes âmes connaissent les packages que j'ai a apt-getter ... ca serait sympa de m'aider ^^) :
Flush des règles IpTables: iptables v1.2.11: can't initialize iptables table `na
t': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (d
o you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (d
o you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (d
o you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
[termine]
./firewall: line 24: [: -eq: unary operator expected
Application des règles IpTables: FATAL: Error inserting ip_nat_ftp (/lib/modules/2.6.9/kernel/net/ipv4/netfilter/ip_nat_ftp.ko): Unknown symbol in module, or unknown parameter (see dmesg)
FATAL: Error inserting ip_nat_irc (/lib/modules/2.6.9/kernel/net/ipv4/netfilter/ip_nat_irc.ko): Unknown symbol in module, or unknown parameter (see dmesg)
FATAL: Error inserting iptable_nat (/lib/modules/2.6.9/kernel/net/ipv4/netfilter/iptable_nat.ko): Unknown symbol in module, or unknown parameter (see dmesg)
iptables: No chain/target/match by that name
iptables: No chain/target/match by that name
iptables: No chain/target/match by that name
iptables v1.2.11: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
[Termine]
Note: j'ai strictement fait un copier/coller (on peut considérer ca comme ca... puisque je n'ai fait que modifier le script firewall.sh ... qui n'intervient normalement pas ici...) des scripts donnés sur la page donné ci-dessus de lea-linux.
Je suis en debian 2.6
Merci d'avance pour vos réponses
Poste le Wednesday 9 February 2005 23:44:52
Re: débutant en iptables... help
Envoyé par:
deb
les premières erreurs semblent venir du fait que les modules ne sont
pas encore chargés, normalement l'appel de la commande iptables charge
automatiquement les noyaux, mais uniquement si le noyau a été configuré
pour,
dans le cas contraire il faut les télécharger à la main "modprobe ..."
###
./firewall: line 24: [: -eq: unary operator expected
###
pb de syntaxe bash (ou su shell que tu utilises) poste la ligne en
question si tu n'arrives pas à résoudre
les erreurs suivantes semblent être dûes au fait que les modules ip_nat_ftp/irc sont insérés (avec insmod je suppose) sans tenir
compte des dépendances en module, essaye avec "modprobe"
voila
bon courage et bonne journée
Poste le Thursday 10 February 2005 11:14:16
Re: débutant en iptables... help
Envoyé par:
Atma
C'est bon !... j'ai réussi a tout faire bien fonctionner... il existait plusieurs erreurs (je pense) dans les scripts de lea-linux :
Tout d'abord, le fait qu'on ne fasse en effet pas les modprobe lorsqu'on fait le 'droppage massif' des règles (dans flush_iptables.sh ...)
Donc lors d'un restart on est tout bête (on fait le flush avant d'établir les règles -> pas de modprobe )
Ensuite, l'histoire du [ -eq ... j'pense que c'est une autre erreur .. en effet il n'y a rien a l'opérande de gauche initialement ...
On a :
[ -eq 0 ] && ...
j'ai mis :
[ $RETVAL -eq 0 ] && ...
Bon... j'ai réussi a bidouiller pas mal de choses... mais j'ai encore pas tout qui marche comme je le veux
Tout d'abord, un petit schéma de mon réseau pour comprendre :
[Internet]
|
|
[Freebox]
{192.168.0.254}
|
|
|
{eth0:192.168.0.1}
[Serveur applications/firewall/passerelle/routeur]
{eth1: 192.168.1.1}
|
|
|
{192.168.1.0/24}
[Mon réseau local de 5 machines tournant sous xp avec ips allant de 2 a 6]
Ce qui m'intéresse ici, c'est évidemment de configurer la passerelle.
Grace au script de lea-linux, j'arrive a me connecter à internet depuis partout sans problemes (résolution dns comprise..)
J'ai également réussi à configurer le fait qu'on puisse accéder de partout à mon serveur via ssh (que cela soit depuis eth0 que depuis eth1). Il a tout de même fallu que j'active la redirection de ma freebox sur le port 22 vers le port 22 de mon serveur pour pouvoir y accéder depuis "l'extérieur"... jusque la... pas de probleme.
Maintenant, là où ca se complique c'est pour ftp/http.
Concernant ftp, j'arrive tout a fait à atteindre un serveur ftp "extérieur" depuis n'importe quelle machine. On a donc la translation ftp qui marche bien !...
En revanche, lorsque je veux atteindre mon serveur ftp tournant sur ma passerelle, impossible si je me trouve autre part que sur ladite passerelle...
Que faut-il rajouter ?
Concernant http, c'est exactement le même probleme (j'ai un serveur apache qui tourne ... mais impossible d'y accéder depuis autre part que sur le serveur...)
A noter que j'ai bien fait la translation de port sur la freebox :
port 20 freebox redirigé vers le port 20 de 192.168.0.1 en tcp
port 21 freebox redirigé vers le port 21 de 192.168.0.1 en tcp
port 80 freebox redirigé vers le port 80 de 192.168.0.1 en tcp
port 80 freebox redirigé vers le port 80 de 192.168.0.1 en udp
Enfin, dernières questions : je souhaiterais 'taper' mon serveur en serveur X... j'ai vu que dans /etc/services, le port réservé était le 6000 ... mais la ligne que j'ai rajouté ne marche visiblement pas non plus...
Que faut-il modifier ?
D'autre part, j'ai tenté un apt-get avec les règles telles que je les avait... cela ne marche pas... je suppose qu'il faut que je rajoute une règle pour apt sur le port ... mais c'est toujours le meme style de requete iptable.
Pour info, le script firewall.sh contenant toutes les règles iptables :
[atmaweapon.phpnet.org]
Merci d'avance pour vos réponses
Tout d'abord, le fait qu'on ne fasse en effet pas les modprobe lorsqu'on fait le 'droppage massif' des règles (dans flush_iptables.sh ...)
Donc lors d'un restart on est tout bête
(on fait le flush avant d'établir les règles -> pas de modprobe )
Ensuite, l'histoire du [ -eq ... j'pense que c'est une autre erreur .. en effet il n'y a rien a l'opérande de gauche initialement ...
On a :
[ -eq 0 ] && ...
j'ai mis :
[ $RETVAL -eq 0 ] && ...
Bon... j'ai réussi a bidouiller pas mal de choses... mais j'ai encore pas tout qui marche comme je le veux
Tout d'abord, un petit schéma de mon réseau pour comprendre :
[Internet]
|
|
[Freebox]
{192.168.0.254}
|
|
|
{eth0:192.168.0.1}
[Serveur applications/firewall/passerelle/routeur]
{eth1: 192.168.1.1}
|
|
|
{192.168.1.0/24}
[Mon réseau local de 5 machines tournant sous xp avec ips allant de 2 a 6]
Ce qui m'intéresse ici, c'est évidemment de configurer la passerelle.
Grace au script de lea-linux, j'arrive a me connecter à internet depuis partout sans problemes (résolution dns comprise..)
J'ai également réussi à configurer le fait qu'on puisse accéder de partout à mon serveur via ssh (que cela soit depuis eth0 que depuis eth1). Il a tout de même fallu que j'active la redirection de ma freebox sur le port 22 vers le port 22 de mon serveur pour pouvoir y accéder depuis "l'extérieur"... jusque la... pas de probleme.
Maintenant, là où ca se complique c'est pour ftp/http.
Concernant ftp, j'arrive tout a fait à atteindre un serveur ftp "extérieur" depuis n'importe quelle machine. On a donc la translation ftp qui marche bien !...
En revanche, lorsque je veux atteindre mon serveur ftp tournant sur ma passerelle, impossible si je me trouve autre part que sur ladite passerelle...
Que faut-il rajouter ?
Concernant http, c'est exactement le même probleme (j'ai un serveur apache qui tourne ... mais impossible d'y accéder depuis autre part que sur le serveur...)
A noter que j'ai bien fait la translation de port sur la freebox :
port 20 freebox redirigé vers le port 20 de 192.168.0.1 en tcp
port 21 freebox redirigé vers le port 21 de 192.168.0.1 en tcp
port 80 freebox redirigé vers le port 80 de 192.168.0.1 en tcp
port 80 freebox redirigé vers le port 80 de 192.168.0.1 en udp
Enfin, dernières questions : je souhaiterais 'taper' mon serveur en serveur X... j'ai vu que dans /etc/services, le port réservé était le 6000 ... mais la ligne que j'ai rajouté ne marche visiblement pas non plus...
Que faut-il modifier ?
D'autre part, j'ai tenté un apt-get avec les règles telles que je les avait... cela ne marche pas... je suppose qu'il faut que je rajoute une règle pour apt sur le port ... mais c'est toujours le meme style de requete iptable.
Pour info, le script firewall.sh contenant toutes les règles iptables :
[atmaweapon.phpnet.org]
Merci d'avance pour vos réponses
Poste le Saturday 12 February 2005 16:33:24
Re: débutant en iptables... help
Envoyé par:
deb
bonjour Atma
>En revanche, lorsque je veux atteindre mon serveur ftp tournant sur ma >passerelle, impossible si je me trouve autre part que sur ladite passerelle...
as-tu essayé de te connecter en utilisant l'adresse numérique de ton serveur ?
c'est-à-dire "ftp 192.168.1.1"
si ca marche, c'est un pb de résolution de nom, pour chacune de tes autres
machines, il faut renseigner dans "/etc/hosts" la correspondance entre
le nom de ta passerelle et son adresse IP, l'autre solution est de faire
tourner un serveur de nom sur ta passerelle ...
idem pour http
Poste le Sunday 13 February 2005 14:08:45
Re: débutant en iptables... help
Envoyé par:
Atma
Bonjour deb =)
Oui oui... j'avais essayé d'atteindre ma machine avec son ip !... mais rien n'y fait :,(
Je viens de m'apercevoir qu'il y avait un commentaire de la page sur les iptables concernant la configuration du ftp à savoir remplacer :
iptables -A INPUT -i ppp0 -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
par :
iptables -A INPUT -i ppp0 -p tcp --dport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 20 -m state --state ESTABLISHED -j ACCEPT
... mais ca n'est visiblement pas de là d'où vient le probleme.
'help' :,(
Oui oui... j'avais essayé d'atteindre ma machine avec son ip !... mais rien n'y fait :,(
Je viens de m'apercevoir qu'il y avait un commentaire de la page sur les iptables concernant la configuration du ftp à savoir remplacer :
iptables -A INPUT -i ppp0 -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
par :
iptables -A INPUT -i ppp0 -p tcp --dport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -o ppp0 -p tcp --sport 20 -m state --state ESTABLISHED -j ACCEPT
... mais ca n'est visiblement pas de là d'où vient le probleme.
'help' :,(
Poste le Sunday 13 February 2005 21:28:59
Ce forum !
débutant en iptables... help
Un problème avec une commande du shell ? Comment utiliser la crontab ? Vous avez des soucis pour la gestion réseau sous Linux ? Pour vous la gestion des utilisateurs/groupes est du chinois ? Etc... Posez donc vos questions ici.
Sauf mention contraire, les documentations publiées sont sous licence Creative-Commons