Re: hping3 avec iptables

[Hugo Deprez <hugo.deprez@gmail.com>]

Bonjour,

merci pour la réponse, j'ai une règle de type ACCEPT source any destination any.
Elle semble fonctionnelle, et je pensais qu'elle prendrait le dessus sur les autres règles déjà présentes. Ce ne serait pas le cas ?


voici ma table OUTPUT :

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
LOGDROP    tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,PSH,URG
LOGDROP    tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,PSH,ACK,URG
LOGDROP    tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,ACK,URG
LOGDROP    tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/NONE
LOGDROP    tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN,RST
LOGDROP    tcp  --  anywhere             anywhere            tcp flags:FIN,SYN/FIN,SYN
LOGACCEPT  all  --  anywhere             anywhere
LOGACCEPT  all  --  anywhere             anywhere            state RELATED,ESTABLISHED
LOGACCEPT  tcp  --  monserver.mondomaine.fr  server2.mondomaine.fr tcp dpt:8140
LOGACCEPT  tcp  --  monserver.mondomaine.fr  server.mondomaine.fr tcp dpt:ldap
[...]
LOGACCEPT  all  --  monserver.mondomaine.fr  anywhere
LOGDROP    all  --  anywhere             anywhere

Quel commande sur iptables permet de traiter/qualifier les paquets 'INVALID' ?

D'avance merci

Hugo

2010/7/23 Pascal Hambourg <pascal.mail@plouf.fr.eu.org>

Salut,

Hugo Deprez a écrit :

j'ai installé hping3 sur une lenny. Mon serveur est firewallé avec iptables,
j'autorise tout en sortie.
Par contre quand j'exécute la commande suivante :

$ sudo  /usr/sbin/hping3 -V 192.168.0.1 -p 21
using eth0, addr: 192.168.0.2, MTU: 1500
HPING 192.168.0.1 (eth0 192.168.0.2): NO FLAGS are set, 40 headers + 0 data
bytes
[send_ip] sendto: Operation not permitted

Voici le log de l'iptables :

Jul 23 11:35:12 monhost kernel: [2990025.691301] [FW-DROP] IN= OUT=eth0
SRC="" DST=192.168.0.1 LEN=40 TOS=0x00 PREC=0x00 TTL=64
ID=8599 PROTO=TCP SPT=1655 DPT=21 WINDOW=512 RES=0x00 URGP=0 UID=0 GID=0

Visiblement cette commande envoie un paquet TCP sans aucu flag (notamment SYN), donc le suivi de connexion de netfilter le classe probablement dans l'état INVALID. Il faudrait regarder s'il n'y a pas une règle iptables dans OUTPUT ou une chaîne utilisateur appelée depuis là qui bloque les paquets sortants dans l'état INVALID (ce qui serait assez logique quand on fait du filtrage à état puisqu'une éventuelle réponse reçue serait forcément classée INVALID elle aussi et bloquée).


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
Archive: 4C49B837.3080503@plouf.fr.eu.org" target="_blank">http://lists.debian.org/4C49B837.3080503@plouf.fr.eu.org