le mieux que tu puisses faire c'est desinstaller ipchains au cas ou et shorewall
tu garderas iptables pour tes regles de filtrages
et apres tu vas desactiver iptables avec ta commande
voila
dc
urpme ipchains
urpme shorewall
et apres dis ce qui se passe.

Poste le Wednesday 3 December 2003 04:41:22

voila, j'ai desinstallé shorewall, mais ipchains n'est pas installé.
et toujours le meme problème.
Voila ce que me renvoie :
# /etc/init.d/iptables status
Table : nat
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Table : mangle
Chain PREROUTING (policy ACCEPT)
target prot opt source destination

Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
Table : filter
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

donc à priori les regles de filtrages sont désactivées, donc je devrai avoir accès à tous les ports. Ben toujours pas... Ce sont toujours les mêmes ports qui sont ouverts...

Poste le Wednesday 3 December 2003 11:06:52

Les scans de nmap (ou d'autres logiciels) envoient une requête de connexion sur tous les ports, et revoient trois types de résultats:
- port filtré : aucune réponse (donc firewall - ou machine non connectée au réseau);
- port fermé: la machine est activée, mais rejette toute connexion sur ce port avec un message d'erreur ("ICMP port unreachable"),
- port ouvert: la connexion est accepté, ce qui signifie 1) la machine est présente 2) elle ne filtre pas le port 3) un logiciel écoute sur ce port.

(plus d'info: man nmap)

Dans ton cas, seuls les ports 21 et 25 sont "ouverts", ce qui signifie que deux serveurs écoutent (ftp et smtp) sur ces ports, et seulement ceux-là. C'est donc normal qu'un "telnet localhost 20" soit refusé.

Par contre, je ne sais pas à quel moment le serveur ftp prend le contrôle du port 20 quand tu le configures en actif. Ca dépend sûrement du logiciel.

Évite quand même de désactiver complètement ton firewall, sauf si le routeur est bien configuré (et encore...).

Poste le Wednesday 3 December 2003 11:16:35

Les commandes ci-dessous réinitialisent
tous les filtres iptables

# suppression de toutes les chaines
iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X


Mais ca ma parait dangereux... Le mieux est de te documenter
un minimum sur un firewall et de l'utiliser...


Sinon de mémoire pour ouvrir le port 21 dans les deux
sens il faut faire (pour iptables, donc par exemple à ajouter
à la fin de ton /etc/init.d/iptables ) :

iptables -t filter -A INPUT -i eth0 -p tcp --sport 21 -m state --state ! INVALID -j ACCEPT
iptables -t filter -A OUTPUT -o eth0 -p tcp --dport 21 -m state --state ! INVALID -j ACCEPT

Enfin sous réserve, si qqn peut confirmer ca,
car je m'emmele toujours entre sport/dport et -i/-o ;-|

Poste le Wednesday 3 December 2003 11:19:15

je me réponds à moi même pour corriger :

il faut remplacer dans les deux lignes "eth0"
par ce qui correspond à ton interface, ca peut
être différent...

Poste le Wednesday 3 December 2003 11:20:41