Duplication de paquets (iptables)

[albertopisto]

Bonjour,

Une machine C envoie des paquets en destination de la machine A(192.6.1.3), j'ai ma machine qui est au milieu qui intercepte les paquets et je veux qu'elle les envoie à la machine A et la machine B (192.6.1.15).

est-ce que la règle iptables convient :

Code :

iptables -t nat -A PREROUTING -d 192.6.1.3 -j DNAT --to-destination 192.6.1.3-192.6.1.15

Merci

[Senaku-seishin]

Je pense que tu te compliquerais la vie à faire du NAT, donc inutile dans ton cas.

Le plus simple et efficace reste l'Ip Forwarding (qui serait utilisé tout de même pour faire du NAT) .

Pour l'activé temporairement :
echo 1 > /proc/sys/net/ipv4/ip_forward

Définitif, ajoute ceci au fichier/etc/sysctl :
net.ipv4.ip_forward=1

intercepte les paquets

Tu veux faire de l'analyse de paquet ? Peut tu être plus précis ?
Active ta carté réseau en mode Promiscuous, et utilise les bons outils

[albertopisto]

Bonjour,

le NAT est la seule solution que j'avais trouvé (car j'utilise avant iptables)

le paquet retour est destiné à la machine A (192.6.1.3) et je veux qu'il l'envoie aussi à la machine B (192.6.1.15)

Oui j'aurai besoin aussi d'analyser le traffic, je pensais à wireshark...

[Senaku-seishin]

Tu ne peux envoyer un paquet que à une seule machine en unicast.

Shéma :

Code :

C (192.6.1.20/32) ---> B (192.6.1.15) ----> A (192.6.1.3)

Sur la machine C. Tu choisie le préfix (netmask) le mieux adapter, si une seule machine dans le même réseau (la branche de gauche) c'est /32. La route par défaut sera 192.6.1.15 (B)

Sur B, tu active Ip Forwarding.

Je pense que tu te méprend sur le principe du NAT. Le principe est de trafiqué les paquets en changent les IP source et destination. Se qui est inutile dans ton cas, tu souhaite faire juste des routes.

Si c'est juste pour faire du sniffing, le mode Promiscuous se suffit. Pour faire simple ta carte réseau accepte tout les paquets sur le liens physique même si ils ne sont destiné à lui.

Shéma

Code :

1
2
3
C ----+---> A
      |
      B

[albertopisto]

en fait je ne controle pas les machines A B et C, donc je ne peux pas faire les options décrites


A envoie des requetes et C repond à A aux requetes et je veux que B reçoive aussi la réponse

eth1 est relié à C, et eth0 est relié à A et B

lorsque je mets sur ma machine :

Code :

iptables -t nat -A PREROUTING -d 192.6.1.3 -j DNAT --to-destination 192.6.1.3-192.6.1.15

je lance wireshark et cela n'a pas d'influence, les paquets sont à destination de A et B ne reçoit rien

est-ce que vous savez pourquoi? ou avez-vous d'autres solution?

Merci

[Senaku-seishin]

en fait je ne controle pas les machines A B et C, donc je ne peux pas faire les options décrites

Essayerais tu pas de sniffer un réseau qui ne t'appartiens pas ? Quel machine contrôle tu alors ?

Fais un schéma de la typographie de ton réseau...

Code :

1
2
3
4
5
6
7
 
     (eth0)
B <--------> A
             ^
             |
     (eth1)  V
B <--------> C

Les trais représentent les liens physique. Si mon schéma est juste, alors tu ne peux pas sniffer le réseau si tu ne contrôle ni A, ni C. Hormis à faire du ARP poisoning.

[albertopisto]

Bonjour,

Voici le schéma:

Code :

1
2
3
4
 
 
 
A et B------------eth0 MOI eth1-------------------automate

eth0 est relié à un cables qui contient des requêtes UDP venant de 192.6.1.3(A) et 192.6.1.15(B)

eth1 est relié à l'automate (192.6.1.59) qui répond au requête

si A envoie une requête, l'automate ne renvoie que à A la réponse
La requête de B a été droppée

Pour analyser le trafic j'utilise wireshark sur eth0 et eth1 on observe que l'automate répond à chaque requête. (sauf B qui a été droppée)

source destination

192.6.1.3 192.6.1.59 requête de A
192.6.1.59 192.6.1.3 réponse pour A
192.6.1.15 192.6.1.59 requête de B


Maintenant je dois duppliquer la réponse de l'automate pour A et même temps B, ce qui donnerait :

on dupplique (1) vers B : (1) et (2) contiennent le même paquet

source destination
192.6.1.3 192.6.1.59 requête de A
192.6.1.59 192.6.1.3 réponse pour A (1)
192.6.1.59 192.6.1.15 reponse pour B (2)


J'ai essayé la règle iptables

Code :

iptables -t nat -A PREROUTING -d 192.6.1.3 -j DNAT --to-destination 192.6.1.3-192.6.1.15

mais cette regle ne marche pas je ne comprends pas pourquoi