configuration iptables debutant [Résolu]

[ppfromero]

Bonjour j'aimerais configurer iptables pour ma debian etch environement gnome. La racine du problème est que amule me marque kad firewalled, et alors j'ai lu sur internet que le problème pouvait venir de mon firewall, car sur mon routeur freebox les ports son bien rediriges. Alors j'ai commence a lire sur le firewall integrée sur debian ,iptables, mais je ne suis pas très familiarisé avec la syntaxe pour le rajout des règles et même en lisant le howto de iptables je ne suis pas sur de ce que je fait. J'ai commencé a faire un scipt pour iptables que je poste ici pour avoir vos commentaires et de l'aide pour rajouter les regles nat pour amule ca je ne sais pas qoui mettre sur ip firewall et sur ip machine LAN.
Voici le script:

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
 
#!/bin/sh
 
# Nous vidons les chaînes :
iptables -F
# Nous supprimons d'éventuelles chaînes personnelles :
iptables -X 
 
# Nous les faisons pointer par défaut sur DROP
 
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
 
# Nous faisons de même avec toutes les autres tables, 
# à savoir "nat" et "mangle", mais en les faisant pointer
# par défaut sur ACCEPT. Ca ne pose pas de problèmes 
# puisque tout est bloqué au niveau "filter"
 
iptables -t nat -F
iptables -t nat -X 
 
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
 
iptables -t mangle -F
iptables -t mangle -X 
 
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
 
# Nous considérons que la machine elle même est sûre 
# et que les processus locaux peuvent communiquer entre eux 
# via l'interface locale :
 
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
 
# Nous considérons que notre réseau local est 
# également sûr (ce qui n'est pas forcément vrai, d'ailleurs).
 
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEPT
 
#J'ai besoin de l'aide a partir d'ici
 
#####################################
iptables –t nat –I PREROUTING –d [ip firewall] –p tcp --dport 4661 –j DNAT –to [ip machine LAN]
iptables –t nat –I PREROUTING –d [ip firewall] –p tcp --dport 4881 –j DNAT –to [ip machine LAN]
iptables –t nat –I PREROUTING –d [ip firewall] –p tcp --dport 4242 –j DNAT –to [ip machine LAN] 
iptables –t nat –I PREROUTING –d [ip firewall] –p tcp --dport 4662 –j DNAT –to [ip machine LAN] 
iptables –t nat –I PREROUTING –d [ip firewall] –p udp --dport 4665 –j DNAT –to [ip machine LAN] 
iptables –t nat –I PREROUTING –d [ip firewall] –p udp --dport 4672 –j DNAT –to [ip machine LAN] 
iptables – I FORWARD –s [ip firewall] –d [ip machine LAN] –p tcp --dport 4661 –j ACCEPT 
iptables – I FORWARD –s [ip firewall] –d [ip machine LAN] –p tcp --dport 4881 –j ACCEPT 
iptables – I FORWARD –s [ip firewall] –d [ip machine LAN] –p tcp --dport 4242 –j ACCEPT 
iptables – I FORWARD –s [ip firewall] –d [ip machine LAN] –p tcp --dport 4662 –j ACCEPT 
iptables – I FORWARD –s [ip firewall] –d [ip machine LAN] –p udp --dport 4665 –j ACCEPT 
iptables – I FORWARD –s [ip firewall] –d [ip machine LAN] –p udp --dport 4672 –j ACCEPT
 
#iptable et Bittorrent :
iptables –t nat –I PREROUTING –d [ip firewall] –p tcp --dport 6881:6999 –j DNAT –to [ip privé serveur mail] 
iptables – I FORWARD –d [ip firewall] –p tcp --dport 6881:6999 –j DNAT –to [ip privé serveur mail]

Egalement j'aimerais comprendre la significacion de eth0 et eth1 car je ne sais pas exactement ce que cela represente, sur windows j'avais par exemple une adresse dynamique à 192.168.0.1 et le reste c'etait masqué.
J'ai lu une page très sympatique pour le sujet iptables mais je suis franchement un peu perdu car je ne sais pas si j'ai la même config que l'indiqué:

http://christian.caleca.free.fr/netfilter/iptables.htm

Voilà merci !!!!
Merci pour votre aide

[Spack]

Si tu ne sais pas ce que sont eth0 et eth1 je te déconseille de t'attaquer à iptables

Utilise plutôt une interface plus conviviale qui fera le travail pour toi comme firestarter... Un petit tutoriel pour Ubuntu mais facilement adaptable sur Etch (pratiquement les mêmes commandes )

En passant, eth0 et eth1 sont des désignations des tes interfaces réseaux. En gros, ta carte réseaux ou ta carte wifi, etc...

[ppfromero]

Merci pour ta réponse Spack,

j'avais déjà entendu parler de firestarter sur des forums ubuntu, et voilà ce weekend je l'ai installé en suivant les instructions du site que tu m'as indiqué. Seulement peut-être je fait quelque chose mal en je continue à être en firewalled sur amule. Je ne sais pas si continuer a essayer avec firestarter ou essayer de comprendre le fonctionnement iptables, moi perso j'aimerais comprendre iptables car il me semble que j'aurais plus de controle sur ma machine et sur ce que je fais, mais je suis ouvert à tout commentaire.

Ma configuration est Linux Debian Etch, environnement Gnome. mon adresse ip local attribue par dhcp est 192.168.0.1 sur routeur freebox.

Voilà merci de vos commentaires.
(Le script firewall que j'ai trafiqué vous semble bien?)

[SnakemaN]

Firestarter n'est qu'une interface graphique pour configurer iptables

[Spoutnik]

Salut,

Pour répondre à ta première question, les interfaces eth0, eth1, etc ... sont les interfaces réseau. En simplifié, ici ca correspond à une carte réseau ou ADSL.
En général, eth0 est la carte réseau locale (la carte sur ton serveur qui est branché avec ton autre ordi).
L'autre carte correspond - sur le serveur - à la connexion internet.
eth0 aura pour adresse IP une adresse dite locale du type 192.168.0.1, locale car limitée à ton réseau seulement, et invisible sur le net.
eth1 aura une adresse dite publique, fournit par ton FAI et à priori, que tu ne connais pas.

#!/bin/sh
LOCALE_IF=eth0
PUBLIC_IF=eth1
IP_LAN=192.168.0.2

# Nous vidons les chaînes :
iptables -F
# Nous supprimons d'éventuelles chaînes personnelles :
iptables -X

# Nous les faisons pointer par défaut sur DROP

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

# Nous faisons de même avec toutes les autres tables,
# à savoir "nat" et "mangle", mais en les faisant pointer
# par défaut sur ACCEPT. Ca ne pose pas de problèmes
# puisque tout est bloqué au niveau "filter"

iptables -t nat -F
iptables -t nat -X

iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -F
iptables -t mangle -X

iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT

# Nous considérons que la machine elle même est sûre
# et que les processus locaux peuvent communiquer entre eux
# via l'interface locale :

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Nous considérons que notre réseau local est
# également sûr (ce qui n'est pas forcément vrai, d'ailleurs).

iptables -A INPUT -i $LOCALE_IF -j ACCEPT
iptables -A OUTPUT -o $LOCALE_IF -j ACCEPT

#J'ai besoin de l'aide a partir d'ici

#on autorise les requetes vers internet et leurs réponses.
iptables -t filter -A FORWARD -i $PUBLIC_IF -o $LOCALE_IF -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t filter -A FORWARD -i $PRIVATE_IF -o $PUBLIC_IF -m state --state RELATED,ESTABLISHED,NEW -j ACCEPT

#####################################
#on redirige les paquets venant de l internet vers la machine destination $IP_LAN
iptables –t nat –I PREROUTING –i $PUBLIC_IF –p tcp --dport 4661 –j DNAT --to-destination $IP_LAN:4661
iptables –t nat –I PREROUTING –i $PUBLIC_IF –p tcp --dport 4881 –j DNAT --to-destination $IP_LAN:4881
iptables –t nat –I PREROUTING –i $PUBLIC_IF –p tcp --dport 4242 –j DNAT --to-destination $IP_LAN:4242
iptables –t nat –I PREROUTING –i $PUBLIC_IF –p tcp --dport 4662 –j DNAT --to-destination $IP_LAN:4662
iptables –t nat –I PREROUTING –i $PUBLIC_IF –p udp --dport 4665 –j DNAT --to-destination $IP_LAN:4665
iptables –t nat –I PREROUTING –i $PUBLIC_IF –p udp --dport 4672 –j DNAT --to-destination $IP_LAN:4672

#on accepte les connexions entrantes (provenant de l'internet) sur les ports spécifiés
iptables -t filter -A FORWARD -i $PUBLIC_IF -o $LOCALE_IF -p tcp --dport 4661 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -i $PUBLIC_IF -o $LOCALE_IF -p tcp --dport 4881 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -i $PUBLIC_IF -o $LOCALE_IF -p tcp --dport 4242 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -i $PUBLIC_IF -o $LOCALE_IF -p tcp --dport 4662 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -i $PUBLIC_IF -o $LOCALE_IF -p udp --dport 4665 -m state --state NEW -j ACCEPT
iptables -t filter -A FORWARD -i $PUBLIC_IF -o $LOCALE_IF -p udp --dport 4672 -m state --state NEW -j ACCEPT


#iptable et Bittorrent :
iptables –t nat –I PREROUTING –i $PUBLIC_IF –p tcp --dport 6881:6999 –j DNAT --to-destination $IP_LAN
iptables – I FORWARD –i $PUBLIC_IF –p tcp --dport 6881:6999 –j DNAT --to-destination $IP_LAN
iptables -t filter -A FORWARD -i $PUBLIC_IF -o $LOCALE_IF -p udp --dport 6881:6999 -m state --state NEW -j ACCEPT

Comme infos à renseigner au début du script:

LOCALE_IF=eth0 >le nom de l'interface locale : cf résultat de la commance ifconfig
PUBLIC_IF=eth1 >le nom de l'interface publique : cf résultat de la commance ifconfig
IP_LAN=192.168.0.2 > l'adresse ip de ta machine perso (celle ou le client emule est installé)


En sachant que je l'ai écrit de mémoire, et sans le tester, je garanti pas qu'il fonctionnera du premier coup.
Par contre ce qui est sur, c'est qu'il est très très basique en l'état.

un excellent tuto sur iptable

[Winnt]

Bonjour,

Vouloir utiliser une mule avec du dhcp n'est pas le top car ton routeur ne peut trouver la correspondance port/PC vu qu'elle change à chaque démarrage de la machine.

Si tu veux utiliser amule commence par passer ton PC en IP fixe. Puis dans le routeur redirige tes ports sur l'adresse IP de ton PC (de mémoire 4661-4662 et 4672).

Winnt

[Spoutnik]

Envoyé par Winnt

Bonjour,
Vouloir utiliser une mule avec du dhcp n'est pas le top car ton routeur ne peut trouver la correspondance port/PC vu qu'elle change à chaque démarrage de la machine.

Je suppose que tu répond à mon post. Si ce n'est pas le cas, désolé.
Je n'ai jamais dit d'utiliser du DHCP. J'utilise les interfaces, effectivement pour éviter les problèmes d'IP dynamique. En particulier coté Internet ou l'on ne maitrise rien.

Ensuite, coté réseau interne, on peut rediriger les paquets sur un nom d'hote DNS plutot que sur une adresse, mais ca oblique à modifier des fichiers hosts ou à avoir un serveur DNS actif et correctement paramétré - et sécurisé -.

Le DHCP n'est pas un problème en soit, si on utilise le nom d'hote plutot que l'ip par ex, juste une complication inutile lorsqu'on essaye de comprendre et d'apprendre comment fonctionne iptables.

[ppfromero]

Tout d'abord merci les gars pour votre intérêt, je vais tester le script que spoutnik a corrigé, et je vous raconte ça ce soir, j'ai jeté un coup d'œil rapide au tuto et effectivement il m'as l'air super. Une remarque:

Quand tu dis :"En général, eth0 est la carte réseau locale (la carte sur ton serveur qui est branché avec ton autre ordi)."

Je précise que j'ai seulement un ordi branché directement sur la freebox dans ce cas là, je me dis alors que eth0 correspond à la carte Ethernet de mon ordi et mon $IP_LAN est alors 192.168.0.1?

Une autre chose la constante $PRIVATE_IF correspond à quoi?

Bon de toutes façon je vais lire plus dans le tutoriel et j'espère avoir compris d'ici là un peu plus pour commenter vos remarques.

Merci!!!

[Spoutnik]

Envoyé par ppfromero

Quand tu dis :"En général, eth0 est la carte réseau locale (la carte sur ton serveur qui est branché avec ton autre ordi)."

Je précise que j'ai seulement un ordi branché directement sur la freebox dans ce cas là, je me dis alors que eth0 correspond à la carte Ethernet de mon ordi et mon $IP_LAN est alors 192.168.0.1?

2 cas peuvent exister :
1) tu a le mode routeur d'activer sur ta freebox => tu doit ouvrir les ports pour ta mule sur la freebox (cf pages de configuration dans l'espace free)
ton ordianteur a une adresse du type 192.168.0.x
-> en gros, pas besoin de ce script, tu n'as pas de translation d'adresse, pas de filtrage, etc... à faire, tu dois juste configurer ta freebox correctement pour que ca fonctionne.
2) pas de mode routeur d'actif sur la freebox , ton ordi a une adresse de type adresse internet (pas 192.168.x.x)
-> conseil de facilité : active le mode routeur de la freebox.
-> conseil de curiosité/apprentissage:
lis bien le tuto que je t'ai indiqué. Le comportement des règles change selon que tu travaille à router des paquets d'une interface à l'autre, ou bien que tu cherche à filtrer les paquets qui arrivent sur une machine.

Dans tous les cas, il est inutile de faire des règles de FORWARD et de PREROUTING vu que tu n'as qu'une machine. Ceci est utile lorsque tu en as plusieurs. Les paquets qui arrivent sur ta machine n'ont pas à être routés vers ta machine ... ils y sont déjà! Et s'ils n'y sont pas, c'est pas en faisant des règles de routages vers elle même que ca va changer grand chose : un routeur n'est pas un générateur de paquets

Je pense que tu as le mode routeur d'actif (sinon, à priori, ta mule fonctionnerai) mais que tu n'as pas mis tes règle de redirection sur ta freebox (freebow -> ordi). Attention, ne désactive pas le mode routeur de ta freebox, tu n'aurais plus de firewall sinon!

Envoyé par ppfromero

Une autre chose la constante $PRIVATE_IF correspond à quoi?

A une erreur de frappe PRIVATE_IF => LOCALE_IF
J'ai corrigé

[Winnt]

Envoyé par Spoutnik

Je suppose que tu répond à mon post. Si ce n'est pas le cas, désolé.

Effectivement c'était a ppfromero que je répondais.
Mais ta remarque sur l'utilisation des noms d'hotes DNS pour rediriger les paquets m'intéresse (dans le cas précis de ce post d'ailleurs). Je vais explorer plus avant.

Winnt

[ppfromero]

J'ai commencé a lire le petit tuto, très bien fait, mais j'ai pas fini.
Je suis effectivement en mode routeur sur la freebox et j'ai bien fait la redirection de ports sur la freebox (par contre j'ai pas mis les ports par défaut 4662 tcp et 4672 en udp mais d'autres plus hauts que je mis dans la configuration d'amule).
Alors pas de script?
Vous pensez que cela peut venir du troisième port à rediriger (tcp + 3) ?
Ou peut être bien des ports choisis?
Si non pourquoi kad firewalled?
Voilà mes inquietudes, merci pour le tuto et pour votre aide

[Winnt]

Bonjour,

Jette un oeil ici http://www.emule-project.net/home/pe...c&topic_id=171
ca devrait t'aider le paramètrage d'émule y est expliquer en détail (et que ce soit winsows ou linux cela reste valable).

Winnt

[ppfromero]

Merci beacoup pour votre aide le tutorial est tres bien. A propos de emule ca y est il marche et je n'ai pas eu besoin d'avoir recours a iptables.
Solution
Mode routeur de la freebox
Regles NAT:
4662 tcp rediriges sur 192.168.0.X 4662
4672 udp rediriges sur 192.168.0.X 4672
4665 udp rediriges sur 192.168.0.X 4665
Ensuite Kad est marqué firewalled pendant un moment mais au bout d'un temps d'utilisation ca marche/
Merci