Discussion :

[chrtophe]

Bonsoir,

Je fait des tests iptables et je galère.

Voici ce que j'arrive à faire :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
 
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT DROP

De là : plus de réseau.

Ensuite :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
 
iptables -t filter -A INPUT -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -j ACCEPT

Je pinge ma passerelle mais pas l'exterieur, normal pas d'accès au DNS

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
 
iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A INPUT -p udp --dport 53 -j ACCEPT

Toujours pas de ping extérieur possible, je comprend pas ou ça coince.
J'ai ajouté les tcp car ça marchait pas mais théoriquement j'en ai pas besoin

Une fois que j'aurais dépatouillé ce prob j'essaierais avec http et smtp/pop.

Je précises mais je pense que ça n'a pas d'importance, j'ai 2 cartes réseau une en 192.168.0.x passerelle 192.168.0.250 pour l'internet et 1 carte en 10.0.0.1, je n'ai précisé aucune carte réseau donc je présume que mes règles s'appliquent sur les 2, car les 2 premières opérations fonctionnent. Je suis interessé pour savoir comment appliquer uniquement à 1 carte. Je pense qu'il suffit de rajouter -s adr_ip.

Merci pour votre aide.

[becket]

C'est assez logique en fait. Tu autorises à ton iptables de "sortir", tu n'autorises pas la réponse

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
iptables -I INPUT 1  -m state --state RELATED,ESTABLISHED -j ACCEPT

[chrtophe]

iptables -t filter -A INPUT -p udp --dport 53 -j ACCEPT ne suffit donc pas ?

La nuance étant si j'ai bien compris réponse à =! d'entrée

Je vais tester

[becket]

Cette ligne autorise l'extérieur a contacter un éventuel serveur dns que tu aurais en interne.

Lorsque tu ouvres une communication,à priori, le port de destination est connu jamais le port source

[chrtophe]

Je te remercie Becket, ça fonctionne. Faut que je bosse 1 peu, mais c'est complexe pas compliqué.