[Debian Lenny] probleme de forwarding...
Bonjour à tous, Je m'en remets à vos esprits éclairés, le mien étant dans le désarroi le plus profond... Utilisateur de Linux "occasionnel" (non-expert), j'ai voulu me lancer dans la manip' suivante : Relier ma freebox (mode routeur désactivé) à une machine sous Debian/Lenny sur l'interface eth0 (82.240.*.*), et la deuxième carte réseau de cette machine eth1 à un switch D-Link pour y connecter mes autres PC dans un LAN privé (en 192.168.0.*/24). Mais je n'arrive pas à activer le forwarding sur cette passerelle sous Debian. De mon poste de travail j'arrive bien à pinger ma passerelle, de ma passerelle j'arrive à pinger mon poste de travail et des adresses sur le net. Mais pas moyen d'activer le NAT. J'ai bien mis dans le fichier /etc/sysctl.conf à la ligne net.ipv4.conf.defaults.forwarding=1 J'ai mis un petit script dans le répertoire /etc/networking/if-pre-up.d/start : iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS-o eth0 --clamp-mss-to-pmtu puis un petit /etc/init.d/network restart... Mais ça ne veut pô marcher... Où est l'erreur ?? En vous remerciant d'avance... TeteveConfiguration: Debian lennycontrolleur réseau intégré à la CM : eth0carte réseau 3COM : eth1 _ Besoin d'un e-mail ? Créez gratuitement un compte Windows Live Hotmail, plus sûr, plus simple et plus complet ! http://www.windowslive.fr/hotmail/default.asp
RE: [Debian Lenny] probleme de forwarding...
> Le dimanche 12 août 2007 21:00, Vinc teteve a écrit :> > Bonjour à tous,> > > Bonsoir,> > > Je m'en remets à vos esprits éclairés, le mien étant dans le > désarroi le> > plus profond... Utilisateur de Linux "occasionnel" > (non-expert), j'ai> > voulu me lancer dans la manip' suivante :> >> > Relier > ma freebox (mode routeur désactivé) à une machine sous> > Debian/Lenny sur > l'interface eth0 (82.240.*.*), et la deuxième carte> > réseau de cette > machine eth1 à un switch D-Link pour y connecter mes> > autres PC dans un LAN > privé (en 192.168.0.*/24).> > Mais je n'arrive pas à activer le forwarding > sur cette passerelle sous> > Debian. De mon poste de travail j'arrive bien à > pinger ma passerelle, de> > ma passerelle j'arrive à pinger mon poste de > travail et des adresses sur> > le net. Mais pas moyen d'activer le NAT.> > > J'ai bien mis dans le fichier /etc/sysctl.conf à la ligne> > > net.ipv4.conf.defaults.forwarding=1 J'ai mis un petit script dans le> > > répertoire /etc/networking/if-pre-up.d/start :> >> > iptables -t nat -A > POSTROUTING -o eth0 -j MASQUERADE> > iptables -t nat -A POSTROUTING -o ppp0 > -j MASQUERADEppp0 ??? kékeucé ??? je croyais qu'il fallait mettre le nom de > l'interface connecté à internet, et tout est cablé en RJ45 chez moi. > L'interface eth0 correspond à mon cable RJ45 qui est relié à internet via ma > freebox. Il doit bien y avoir une @ IP pour aller sur internet ?! Sinon, > comment dois-je configurer mon fichier /etc/network/interfaces ?J'ai mis > :auto eth0iface eth0 inet dhcpauto eth1iface eth1 inet staticaddress > 192.168.*.*etc...Dois je le modifier ?> > C'est sur la liaison ppp qu'il > faut travailler. L'interface eth n'a même pas > besoin d'avoir une IP, il > suffit qu'il soit up.> > > iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN > -j TCPMSS-o eth0> > --clamp-mss-to-pmtu> > iptables -t mangle -A FORWARD -p > tcp -m tcp --tcp-flags SYN,RST SYN \> -j TCPMSS --clamp-mss-to-pmtu> > voir > fil "Problèmes persistants de MTU" du 05/08/07 pour plus de détailsJ'ai lu > quelques posts sur des forums à ce sujet, mais n'ayant pas compris > grand-chose j'ai recopié telle-quelle la commande que j'ai trouvée (je sais, > ce n'est pas bien d'agir sans comprendre, mais bon...)> > > > puis un petit > /etc/init.d/network restart...> > Mais ça ne veut pô marcher... Où est > l'erreur ??> >> > En vous remerciant d'avance...> > Si ça peut aider :)> -- > > Serge> Merci du coup de main.Vincent _ Besoin d'un e-mail ? Créez gratuitement un compte Windows Live Hotmail et gagnez du temps avec l'interface à la Outlook ! http://www.windowslive.fr/hotmail/default.asp
[RESOLU] probleme de forwarding...
Ce matin, à peine une paupière soulevée, ma première pensée a été : mes mails !! Vais-je y trouver une solution ?? La douche expédiée en 5 minutes, rasage inclus, une gorgée de café pour finir d'émerger, et me voilà sur le PC avant de filer au boulot... Et là... Tout d'abord un grand merci à tous : ça fonctionne !! J'ai commencé par supprimer la ligne correspondant au problème du MTU. Aucun souci de ce côté là...J'ai bien remis eth0 pour mon interface.Le problème a été trouvé avec le tout simple : cat /proc/sys/net/ipv4/ip_forwarding ==> 0 >>Pour activer le forwding en ipv4 avec sysctl : >>sysctl net.ipv4.ip_forward=1 C'est justement là où le bat blesse... Je n'avais pas tapé cette commande... Donc les fichiers de conf étaient bon, mais la commande n'avait pas été exécutée... Et voilà ! Je peux me plonger dans les règles de firewalling le coeur léger, avec une bonne dose d'espoir de voir mon domaine se monter un jour... :) PS : bon, OK, mon IP c'est 82.240.31.243... mais pas la peine d'en rajouter hein... :)) _ Besoin d'un e-mail ? Créez gratuitement un compte Windows Live Hotmail, plus sûr, plus simple et plus complet ! http://www.windowslive.fr/hotmail/default.asp
script au reboot du réseau non pris en compte
Bonjour à tous, Je viens de ré-installer ma passerelle sous Lenny.L'interface eth0, reliée à mon LAN, est un port Intel intégré à la carte mère, l'interface eth1, reliée à Internet, est une carte D-link, gérée par le module skge. J'ai remis en place les fichiers de config pour le firewall, mais ceux-ci ne sont pas pris en compte au redémarrage du réseau. # ls /etc/network/if-pre-up.d drwxr-xr-x root root sauvegardes/ -rwxr-xr-x root root start.sh* # cat /etc/network/if-pre-up.d/start.sh #! /bin/sh # iptables -F iptables -t nat -F iptables-restore < /etc/network/if-pre-up.d/sauvegardes/iptables.save # la /etc/network/if-pre-up.d/sauvegardes -r-xr-xr-- root root iptables.save* Merci d'avance, Vincent E. _ Avec Hotmail, vos e-mails vous suivent partout ! Mettez Hotmail sur votre mobile ! http://www.messengersurvotremobile.com/?d=hotmail
[RESOLU] Re : script au reboot du réseau non pris en com pte
Tout simplement... Merci du coup d'pouce :) Date: Wed, 25 Jun 2008 13:45:30 +From: [EMAIL PROTECTED]: Re : script au reboot du réseau non pris en compteTo: debian-user-french@lists.debian.org Salut Les scripts placés dans le dossier « /etc/network/if-pre-up.d » seront lancés automatiquement après chaque démarrage d'une interface réseau.Mais pour que les scripts fonctionnement, il faut respecter quelques règles :- Il doivent être exécutables (chmod +x)- Ils doivent Indiquer l'interpréteur de commande sur la première ligne (ex : # !/bin/sh)- Le nom ne doit contenir que des caractères, chiffres, '_' et '-' (Pas de points)essaye de renommer ton script start-iptables ? A+ ----- Message d'origine De : Vinc teteve <[EMAIL PROTECTED]>À : [EMAIL PROTECTED] le : Mercredi, 25 Juin 2008, 15h15mn 39sObjet : script au reboot du réseau non pris en compte Bonjour à tous, Je viens de ré-installer ma passerelle sous Lenny.L'interface eth0, reliée à mon LAN, est un port Intel intégré à la carte mère, l'interface eth1, reliée à Internet, est une carte D-link, gérée par le module skge. J'ai remis en place les fichiers de config pour le firewall, mais ceux-ci ne sont pas pris en compte au redémarrage du réseau. # ls /etc/network/if-pre-up.d drwxr-xr-x root root sauvegardes/ -rwxr-xr-x root root start.sh* # cat /etc/network/if-pre-up.d/start.sh #! /bin/sh # iptables -F iptables -t nat -F iptables-restore < /etc/network/if-pre-up.d/sauvegardes/iptables.save # la /etc/network/if-pre-up.d/sauvegardes -r-xr-xr-- root root iptables.save*Merci d'avance,Vincent E. _ Votre contact a choisi Hotmail, l'e-mail ultra sécurisé. Créez un compte gratuitement ! http://www.windowslive.fr/hotmail/default.asp
Pb forwarding sur Lenny
Re-bonjour à tous, J'ai un souci pour accéder à mon serveur de test, dans mon LAN (192.168.10.20) depuis l'extérieur, via ssh (port 222). Entre les deux, j'ai ma passerelle sous Lenny. Le serveur ssh est bien configuré, je m'y connecte sans problème depuis le LAN.voici ma configuration d'iptables (abrégée) :# iptables -t nat -L Chain PREROUTING (policy ACCEPT) target prot opt source destination DNAT tcp -- anywhere anywheretcp dpt:222 to:192.168.10.20 Chain POSTROUTING (policy ACCEPT) target prot opt source destination SNAT all -- anywhere anywhereto:82.240.31.243 Chain OUTPUT (policy ACCEPT) target prot opt source destination # iptables -L Chain INPUT (policy DROP) target prot opt source destination tcp_inbound tcp -- anywhere anywhere Chain FORWARD (policy DROP) ACCEPT tcp -- anywhere 192.168.10.20 tcp dpt:222 Chain OUTPUT (policy DROP) target prot opt source destination Chain tcp_inbound (1 references) target prot opt source destination ACCEPT tcp -- anywhere anywheretcp dpt:222 RETURN tcp -- anywhere anywheretcp Que manque-t-il ?MerciVincent _ Faites vous de nouveaux amis grâce à l'annuaire des profils Messenger ! http://home.services.spaces.live.com/search/?page=searchresults&ss=true&FormId=AdvPeopleSearch&form=SPXFRM&tp=3&sc=2&pg=0&Search.DisplayName=Nom+public&search.gender=&search.age=&Search.FirstName=Pr%C3%A9nom&Search.LastName=Nom&search.location=Lieu&search.occupation=Profession&search.interests=amis&submit=Rechercher
[RESOLU] RE: Pb forwarding sur Lenny
Désolé pour le dérangement pour rien... Après trois jours d'arrachages de cheveux, j'ai trouvé le coupable : une police DROP qui trainait en trop... Mea culpa et bonne nuit...Vincent _ Votre contact a choisi Hotmail, l'e-mail ultra sécurisé. Créez un compte gratuitement ! http://www.windowslive.fr/hotmail/default.asp
Lenny : DNS ou firewall iptables
Bonjour à tous, Je commence par expliquer ma config : freebox (sans le mode routeur) || || PC 1 : firewall + routeur (script iptables) || || Switch == PC perso || || PC 2 : serveur web, dns, ftp Les PC 1 & 2 sont sous Lenny, le PC perso est sous M$. Le problème est que de mon PC perso, je n'arrive pas à afficher mon site web. De l'extérieur, j'arrive très bien à afficher mon site. Donc mon routeur (ou DNS ?) est à incriminer. Je ne sais pas si je peux recopier ici les 100 et quelques lignes de mon script iptables pour analyse ? Je préfère demander avant de faire une bêtise... _ Installez gratuitement les 20 émôticones Windows Live Messenger les plus fous ! Cliquez ici ! http://www.emoticones-messenger.fr/
Serveur dédié injoignable - erreur de boot
Bonjour à tous, Je commence par un petit historique de mes manip jusqu'aux problèmes actuels : J'ai un serveur dédié chez OVH sur lequel est installé Proxmox 3.0, avec en gros une VM par service (toutes sous Debian dans des CT OpenVZ). La semaine dernière, j'ai fait une mise à jour de la VM DNS. En fin de semaine, j'ai voulu ajouter un NDD sur cette VM. Impossible de m'y connecter en SSH (de mémoire, le message était : pas de pty disponible). Je me suis dit que les mises à jour ne devaient pas être terminée, et qu'elles devaient attendre un retour de ma part. J'ai redémarré la VM via l'interface Proxmox : VM up, mais impossible de m'y connecter en SSH (network error : Connection timed out). N'étant pas en état de chercher une solution intelligente, j'ai redémarré tout le serveur (sic...). Et depuis, impossible de me reconnecter sur l'hôte. Là, intervention d'OVH : "Cette opération a été achevée le 2015-09-04 03:10:46 Voici les détails de cette opération : Boot sur interface diagnostique (rescue) Date 2015-09-04 03:07:47, yoann P a fait Boot sur interface diagnostique (rescue): Voici le detail de l'intervention realisee: Le serveur lance un memtest lors du boot sur disque. Actions entreprises: Redemarrage du serveur sur mode 'rescue' (Linux) Resultat: Boot OK. Systeme 'rescue' accessible. Recommandations: Configuration/erreur a corriger par le client" J'ai effectué les tests via le manager en mode rescue : tous OK. Je l'ai démarré en mode rescue, accès SSH OK. J'ai déplacé le répertoire /etc/grub.d/20_memtest86+ pour éviter qu'il lance un memtest au boot, mais toujours aucun accès SSH après reboot sur HD. Donc retour en mode rescue, et histoire de cumuler, j'ai eu la merveilleuse idée de me dire : "Une mise à jour du système va tout résoudre..." Donc apt-get update && apt-get upgrade en chroot sur ma partition principale /dev/md1. Et là, c'est le drame : "Errors were encountered while processing: bind9 pve-cluster qemu-server pve-manager E: Sub-process /usr/bin/dpkg returned an error code (1)" Donc bien évidemment, ça n'a rien résolu du tout !! Je me suis enfin dit qu'il valait mieux aller se coucher que de continuer à tout casser... Donc au final, j'ai un serveur partiellement mis à jour en mode rescue, qui à priori démarre en HD, mais impossible de s'y connecter. Déjà, je voudrais commencer par résoudre ce problème de boot. Mais à distance, je ne sais pas où s'arrête la séquence de boot, dans quel état est le serveur... Et je vous avoue ne pas trop savoir quoi chercher et par où commencer... Si quelqu'un aurait une piste/idée, je suis preneur. De même, je n'ai pas envie de faire un pavé encore plus gros qu'actuellement avec des infos inutiles, mais n'hésitez pas si vous voulez plus d'infos techniques... Je vais même aller plus loin : si quelqu'un se sent l'âme de me faire un devis pour une prestation de sauvetage de serveur, je suis également intéressé. Je ne veux absolument pas perdre les données sur le serveur... Bon w-e à tous.
Re: Serveur dédié injoignable - erreur de boot
Merci Jean-Michel pour ta réponse. Le problème est que mon fichier /var/log/dmesg date de décembre 2014, date du dernier reboot réussi du serveur. Donc à priori, je pense que le serveur ne démarre pas du tout, à moins qu'il ne log rien au démarrage... J'ai beau retourner ma config dans tous les sens, je ne vois pas où peut se trouver le problème. J'ai 2 disques en RAID logiciel, avec /dev/md1 pour le système / et /dev/md3 avec LVM pour les datas... ~# fdisk -l Disk /dev/sda: 1000.2 GB, 1000204886016 bytes [...] Device Boot Start End Blocks Id System /dev/sda1 *40962048204810238976+ fd Linux raid autodetect /dev/sda220482049409610238976 82 Linux swap / Solaris Partition 2 does not start on physical sector boundary. /dev/sda340960001 1953517568 956278784 fd Linux raid autodetect Partition 3 does not start on physical sector boundary. Disk /dev/sdb: 1000.2 GB, 1000204886016 bytes [...] Device Boot Start End Blocks Id System /dev/sdb140962048204810238976+ fd Linux raid autodetect /dev/sdb220482049409610238976 82 Linux swap / Solaris Partition 2 does not start on physical sector boundary. /dev/sdb340960001 1953517568 956278784 fd Linux raid autodetect Partition 3 does not start on physical sector boundary. Disk /dev/md3: 979.2 GB, 979229409280 bytes 2 heads, 4 sectors/track, 239069680 cylinders, total 1912557440 sectors Units = sectors of 1 * 512 = 512 bytes Sector size (logical/physical): 512 bytes / 4096 bytes I/O size (minimum/optimal): 4096 bytes / 4096 bytes Alignment offset: 3584 bytes Disk identifier: 0x Disk /dev/md3 doesn't contain a valid partition table Disk /dev/md1: 10.5 GB, 10484645888 bytes 2 heads, 4 sectors/track, 2559728 cylinders, total 20477824 sectors Units = sectors of 1 * 512 = 512 bytes Sector size (logical/physical): 512 bytes / 4096 bytes I/O size (minimum/optimal): 4096 bytes / 4096 bytes Disk identifier: 0x Disk /dev/md1 doesn't contain a valid partition table Disk /dev/mapper/vg--vm-lv--vm: 107.4 GB, 107374182400 bytes 255 heads, 63 sectors/track, 13054 cylinders, total 209715200 sectors Units = sectors of 1 * 512 = 512 bytes Sector size (logical/physical): 512 bytes / 4096 bytes I/O size (minimum/optimal): 4096 bytes / 4096 bytes Disk identifier: 0x Disk /dev/mapper/vg--vm-lv--vm doesn't contain a valid partition table Disk /dev/mapper/vg--vm-lv--bck: 32.2 GB, 32212254720 bytes 255 heads, 63 sectors/track, 3916 cylinders, total 62914560 sectors Units = sectors of 1 * 512 = 512 bytes Sector size (logical/physical): 512 bytes / 4096 bytes I/O size (minimum/optimal): 4096 bytes / 4096 bytes Disk identifier: 0x Disk /dev/mapper/vg--vm-lv--bck doesn't contain a valid partition table Disk /dev/mapper/vg--vm-lv--data: 805.3 GB, 805306368000 bytes 255 heads, 63 sectors/track, 97906 cylinders, total 1572864000 sectors Units = sectors of 1 * 512 = 512 bytes Sector size (logical/physical): 512 bytes / 4096 bytes I/O size (minimum/optimal): 4096 bytes / 4096 bytes Disk identifier: 0x Disk /dev/mapper/vg--vm-lv--data doesn't contain a valid partition table ~# dd if=/dev/sda bs=446 count=1 [;;;]GRUB GeomHard DiskRead Error 1+0 records in 1+0 records out 446 bytes (446 B) copied, 3.3286e-05 s, 13.4 MB/s Je me pose une question bête : GRUB doit bien être installé sur /dev/sda, et pas sur /dev/md1 ?? Et comment être sûr que le système log bien ce qu'il fait au boot ? Cdlt Le 6 septembre 2015 14:26, Jean-Michel OLTRA < jm.oltra.antis...@espinasse.net> a écrit : > > Bonjour, > > > Le samedi 05 septembre 2015, Vinc Teteve a écrit... > > > > commencer par résoudre ce problème de boot. Mais à distance, je ne sais > pas > > où s'arrête la séquence de boot, dans quel état est le serveur... > > Et je vous avoue ne pas trop savoir quoi chercher et par où commencer... > > Lorsque tu tentes le boot sur le disque, tu dois avoir des logs que tu > peux lire en rebootant en rescue juste derrière. > > D'autre part, il faudrait voir ce que tu as d'activé en mode rescue, en > comparaison du mode normal (points de montage, services…). > Éventuellement tenter des redémarrages manuels, pour voir ce qui > pourrait bloquer (déjà, ce qui a été mis à jour partiellement), les > désactiver sur la séquence de boot et tenter des redémarrages en mode > normal. Par élimination et tâtonnements, tu pourrais trouver une > séquence de boot valide sur le disque avec ce qui fonctionne encore. > > -- > jm > >
Re: Serveur dédié injoignable - erreur de boot
Bonsoir, Le 7 septembre 2015 20:31, Jean-Michel OLTRA < jm.oltra.antis...@espinasse.net> a écrit : > Sur quel noyau tentes tu de démarrer ? Si tu cherches les archives (du mois d'août, je pense), tu verras que, dans une configuration similaire > (à part que j'ai md0 sur /boot), et avec un noyau 4.x, je ne pouvais plus démarrer, suite à un souci sur lvm2. Actuellement, c'est corrigé > chez Debian. Ça pourrait être ça ? J'essaye de démarrer avec le noyau par défaut dans Proxmox v3 : le 2.6.32-26-pve # ls -l /boot/ total 22944 -rw-r--r-- 1 root root 2525801 Oct 14 2013 System.map-2.6.32-26-pve -rw-r--r-- 1 root root 104818 Oct 14 2013 config-2.6.32-26-pve drwxr-xr-x 3 root root 4096 Sep 7 18:15 grub -rw-r--r-- 1 root root 16639161 Sep 7 18:18 initrd.img-2.6.32-26-pve -rw-r--r-- 1 root root 4207920 Oct 14 2013 vmlinuz-2.6.32-26-pve Je n'ai pas fait de changement de noyau depuis le dernier reboot qui fonctionnait... > Le 8 septembre 2015 10:35, Grégory Bulot a écrit : > Je réponds, sachant que je ne suis pas l'auteur du post : > Y'a pas ipmi sur les kimsuffi Le serveur est un serveur dédié (gamme "pro") et non un kimsufi. Je pourrais donc avoir l'option IPMI, sous réserve de souscrire l'option "Pro", avec la sous-option "vKVM"...etc... Ce qui ne rentre pas dans mon budget mensuel... :/ Par contre, j'avance un peu. J'ai lancé un reboot "classique" du serveur, et demandé à OVH ce qu'il y avait sur l'écran : "Voici le detail de l'intervention realisee: Le serveur reste bloqué durant la phase de boot sur le message : (grub) Actions entreprises: Redémarrage du serveur sur mode 'rescue' (Linux) Resultat: Boot OK. Systeme 'rescue' accessible." J'ai donc bien un souci de grub... Je viens de faire les manips indiquées par Daniel pour monter le chroot. J'avais déjà essayé, mais apparemment le /dev/pts est indispensable... Il n'était pas indiqué dans les tutos que j'avais trouvés, et ça me bloquait pour monter mes volumes LVM. Je lance toutes les sauvegardes ce soir, et tente une réinstall de grub dans la foulée...
[HS] Webmail-travail collaboratif
Bonjour la liste, Lecteur assidu depuis mon passage sous Debian il y a quelques années, je me décide à vous demander conseil... Dans le cadre professionnel, je dois développer le passage en open-source d'un maximum de serveurs/services. Je suis donc à la recherche d'infos sur des solutions mails/agendas partagés pour remplacer M$-exchange/Outlook Web Access. Les impératifs : ça doit ressembler le plus possible visuellement parlant à OutlookWebAccess (impératif du commercial), open-source (impératif éthique personnel), et si possible le moins cher possible (impératif du patron :p). L'OS étant bien évidemment une Debian 5. Je suis un peu perdu entre les applis serveur (postfix), les webmails, et les applis type AJAX (ce que j'ai trouvé). J'ai pour l'instant trouvé ceci : http://zarafa.com/ => http://zarafa.com/content/screenshots http://www.zimbra.com/ Si quelqu'un aurait des conseils/retours d'expérience/aide pour m'éclaircir les idées. Avec mes remerciements d'avance, Cordialement, Vincent _ Téléphonez gratuitement à tous vos proches avec Windows Live Messenger ! Téléchargez-le maintenant ! http://www.windowslive.fr/messenger/1.asp
[HS ?] règles Iptables
Bonjour la liste, Suite à la perte de mon disque dur, je suis à la recherche d'un script/un listing des règles iptables le plus complet possible. J'avais trouvé à l'époque un script listant et loggant (logant/loguant ?) les différentes attaques/scan suivant les combinaisons de flag TCP. Je n'arrive pas (malgré mon ami g...), à retrouver ce style de script. Si quelqu'un a ce type de listing ou des pistes, je suis preneur... Merci d'avance. Vincent -- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers debian-user-french-requ...@lists.debian.org En cas de soucis, contactez EN ANGLAIS listmas...@lists.debian.org Archive: http://lists.debian.org/4ebc3d50.5090...@gmail.com
Re: [HS ?] règles Iptables
Merci :) Je devrais ré-intituler le sujet du thread en "apprendre à taper les bons mots sur un moteur de recherche"... Au lieu d'éplucher les tutos en long, en large et en travers, j'ai trouvé tout ce qu'il me faut avec tes mots clés. Le 10/11/2011 23:43, Jean-Michel OLTRA a écrit : Bonjour, Le jeudi 10 novembre 2011, Vinc Teteve a écrit... Suite à la perte de mon disque dur, je suis à la recherche d'un script/un listing des règles iptables le plus complet possible. J'avais trouvé à l'époque un script listant et loggant (logant/loguant ?) les différentes attaques/scan suivant les combinaisons de flag TCP. Je n'arrive pas (malgré mon ami g...), à retrouver ce style de script. Si quelqu'un a ce type de listing ou des pistes, je suis preneur... Tu cherches le ouèbe sur "iptables tcp-flags fin scan" par exemple, et tu vas trouver tout un tas de choses. -- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers debian-user-french-requ...@lists.debian.org En cas de soucis, contactez EN ANGLAIS listmas...@lists.debian.org Archive: http://lists.debian.org/4ebc5f9c.4070...@gmail.com
Iptables, scans et logs
Bonjour à tous, Je suis en train d'essayer de configurer le firewall d'un serveur sous Debian. J'essaye de faire un LOG + DROP pour les scans TCP. Voici un extrait (le début "problématique") de "iptables -L -n -v" : Chain INPUT (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out sourcedestination 0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 PKTTYPE = broadcast 1 40 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID 2551 172K check-flags all -- * * 0.0.0.0/0 0.0.0.0/0 2551 172K TCP_FLAGS all -- * * 0.0.0.0/0 0.0.0.0/0 2551 172K last-check all -- * * 0.0.0.0/0 0.0.0.0/0 1496 129K ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp option=!2 flags:0x02/0x02 Chain BADFLAGS (5 references) pkts bytes target prot opt in out sourcedestination 0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 LOG flags 0 level 4 prefix `IPT-BADFLAGS:' 0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 Chain LOG_DROP (0 references) pkts bytes target prot opt in out sourcedestination 0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 limit: avg 6/hour burst 1 LOG flags 2 level 4 prefix `Drop-Ban-IP:' 0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 Chain TCP_FLAGS (2 references) pkts bytes target prot opt in out sourcedestination 0 0 BADFLAGS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x11/0x01 0 0 BADFLAGS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x18/0x08 0 0 BADFLAGS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x30/0x20 0 0 BADFLAGS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x05/0x05 0 0 BADFLAGS tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x2B Chain check-flags (2 references) pkts bytes target prot opt in out sourcedestination 0 0 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x29 limit: avg 3/min burst 5 LOG flags 0 level 4 prefix `NMAP-XMAS:' 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x29 0 0 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x3F limit: avg 3/min burst 5 LOG flags 0 level 4 prefix `XMAS:' 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x3F 0 0 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x37 limit: avg 3/min burst 5 LOG flags 0 level 4 prefix `XMAS-PSH:' 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x37 0 0 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x00 limit: avg 3/min burst 5 LOG flags 0 level 4 prefix `NULL-SCAN:' 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x00 0 0 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x06 limit: avg 3/min burst 5 LOG flags 0 level 4 prefix `SYN/RST:' 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x06/0x06 0 0 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x03/0x03 limit: avg 3/min burst 5 LOG flags 0 level 4 prefix `SYN/FIN:' 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x03/0x03 Chain last-check (2 references) pkts bytes target prot opt in out sourcedestination 21 1052 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02 limit: avg 5/sec burst 5 9 360 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x04 limit: avg 1/sec burst 5 9 252 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp type 8 limit: avg 1/sec burst 5 (Je sais, il est un peu "excessif" sur certains points, mais c'est pour apprendre/comprendre...) Je lance un/des scans avec nmap (nmap -sN mon.serveur.tld && nmap -sF mon.serveur.tld && nmap -sXmon.serveur.tld) depuis mon desktop, et aucune inscription n'apparaît dans les fichiers de log (ni iptables.log, ni kern.log...). Et pour cause, aucun paquet n'est matché par les règles "anti-scan". Je ne comprends pas pourquoi, et je ne sais pas où chercher (pas d'erreur apparaissant dans les logs...). Auriez-vous une piste ? Cdt -- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers debian-user-french-requ...@lists.debian.org En cas de soucis, contactez EN ANGLAIS listmas...@lists.debian.org Archive: http://lists.debian.org/4ed2b39c.7080...@gmail.com
Re: Iptables, scans et logs
Désolé, je me suis planté d'adresse pour répondre. Mais je suis toujours preneur d'une piste ou d'une explication... :) Le 27/11/2011 23:54, vincent.etevenaux a écrit : J'ai déjà lu ce site, mais mon pitoyable anglais n'a pas dû m'aider à comprendre correctement... Mon but étant de comprendre le fonctionnement, pour pouvoir ensuite l'adapter et l'affiner. Je ne comprends pas pourquoi un scan NULL-SYN (par exemple) n'est pas matché par la règle : 0 0 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x00 limit: avg 3/min burst 5 LOG flags 0 level 4 prefix `NULL-SCAN:' 0 0 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x3F/0x00 Après, l'efficacité de cette règle en soi est secondaire. Je cherche donc quelle est la partie que j'ai ratée, ou mal comprise... Mais c'est clair que "ça marche sûrement, mais ça mârche pô comme je veux..." :/ Le 27/11/2011 23:26, Jean-Yves F. Barbier a écrit : On Sun, 27 Nov 2011 23:03:08 +0100 Vinc Teteve wrote: a pô marché mon iptables http://www.ossramblings.com/using_iptables_rate_limiting_to_prevent_portscans -- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers debian-user-french-requ...@lists.debian.org En cas de soucis, contactez EN ANGLAIS listmas...@lists.debian.org Archive: http://lists.debian.org/4ed2c29d.8050...@gmail.com
Re: Iptables, scans et logs
Mes excuses d'avoir autant abrégé mes réponses, et m'être emmêlé les pinceaux... Je reprends donc : Malgré une lecture en anglais de ce site (je comprends un minimum syndical la langue de Shakespeare), une traduction de translate.google.com, une demande de vérification d'un ami (anglophone mais non informaticien), je n'ai toujours pas compris mon erreur. J'y ai bien compris que mes règles ne sont pas optimales, et qu'il y a mieux : "Not that I'm telling you to not use the above code, in fact it's a good first step." Mon but n'est pas de trouver la règle la plus efficace contre des scans qui n'arriveront probablement jamais jusqu'à mon petit serveur. J'ai cafouillé en disant NULL-SYN au lieu de NULL-SCAN. (man nmap : Scan Null (-sN) : N'active aucun des bits (les drapeaux de l'en-tête TCP vaut 0)) Je vais rejeter lâchement la faute sur la fatigue d'un w-e studieux... :) Pour résumer correctement ma question : pourquoi mes règles ne sont pas vérifiées lors d'un scan ? Où chercher l'erreur ? Je vois bien augmenter le nombre de paquets qui passent par chaque règle, mais aucun n'est "intercepté"... Pour anticiper quelques remarques plus ou moins affables, ça fait 3 semaines que j'épluche les sites et docs sur iptables, sans trouver. Je viens donc chercher conseil, n'ayant pas trouvé de réponse malgré mes recherches... Cdt Le 28/11/2011 00:19, Jean-Yves F. Barbier a écrit : On Sun, 27 Nov 2011 23:54:48 +0100 "vincent.etevenaux" wrote: J'ai déjà lu ce site, mais mon pitoyable anglais n'a pas dû m'aider à comprendre correctement... et translate.google.com c'est pour les chiens? Mon but étant de comprendre le fonctionnement, pour pouvoir ensuite l'adapter et l'affiner. Je ne comprends pas pourquoi un scan NULL-SYN (par exemple) n'est pas matché par la règle : Null-syn ne veut non seulement rien dire, mais est en plus impossible. -- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers debian-user-french-requ...@lists.debian.org En cas de soucis, contactez EN ANGLAIS listmas...@lists.debian.org Archive: http://lists.debian.org/4ed371b4.6020...@gmail.com
Re: Probleme avec apache ses virtualhost et bind
/etc/apache2/sites-available/default ? http://httpd.apache.org/docs/trunk/fr/vhosts/name-based.html -- Vincent Le 28/12/2011 06:32, Olivier Pavilla a écrit : Bonjour J'ai un serveur en Debian squeeze 64 bits avec Apache, Mysql et PHP et Bind9 Il y a quelques serveurs en virtualhost et ca marche Si on tape le domaine fqdn du serveur on tombe sur un des sites par défaut. Exemple, si je tape groboulay.com ca envoie sur www.groboulay.com qui est /var/www/www.groboulay.com. Si je tape blog.groboulay.com ca envoie sur le virtualhost qui est /var/www/blog.groboulay.com Par contre si je tape xx.xx.xx.xx (soit l'adresse ip du serveur), je tombe sur un magnifique "it works". Comment faire pour que l'adresse ip envoie vers le site par défaut? Je ne sais pas si c'est apache que je dois configurer ou le dns. Et si c'est le dns, je vois vraiment pas comment faire... Quelqu'un a une ch'tite idée pour m'orienter? -- Olivier Pavilla http://www.linux-squad.com "Les fautes d'orthographes de mes propos sont sous licence Ane bâté 1.0" -- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers debian-user-french-requ...@lists.debian.org En cas de soucis, contactez EN ANGLAIS listmas...@lists.debian.org Archive: http://lists.debian.org/4efabf79.1020...@gmail.com