Re: iptables : derniers réglages...

[foulademer <foulademer@wanadoo.fr>]

Le Dimanche 29 Septembre 2002 14:49, frederic baujard a écrit :
> Salut,
> 	Pour l'adresse vas sur http://www.netfilter.org rubrique doc
> tu trouveras ton bonheur.
>
> >BREF: je me suis donc fait un script perso (ci-joint)
> >
> >-J'ai authorisé ssh sur le serveur,dns.
> >
> >-connections aux ports 80:
> >$IPT -A OUTPUT -o ppp0 -m state  --state NEW,ESTABLISHED -p tcp --dport
>
> 80 -j
> ACCEPT
>
> >$IPT -A INPUT  -i ppp0 -m state  --state NEW,ESTABLISHED     -p tcp
> > --sport
>
> 80 -j ACCEPT
>
> >--->mais cela empeche l'accès de l'extérieur vers mon serveur apache :
> >POURQUOI ??????
> >Et donc comment authoriser l'accès de l'extérieur vers mon site ???
>
> Ici tu ne fais pas le tris dans ce qui rentre.Tu dis que tout ce qui rentre
> ou sort
> par l'interface ppp0 correspondant à une nouvelle connection  est accept si
> cela
> vient duport 80 ou à destination du port 80.Le mieux est la syntaxe
> suivante (enfin pour moi
> et qui marche):
> iptables -A INPUT -i ppp0 -p tcp --source-port 1024:65535 -d
> ton_adresse_ip(celle de ppp0) --destination-port 80 -j ACCEPT
> iptables -A OUTPUT -o ppp0 -p tcp ! --syn -s ton_adresse_ip(celle de
> ppp0) --source-port 80 --destination-port 1024:65535 -j ACCEPT

OK mais je n'ai pas d'ip fixe donc je peux pas mettre -d ....
et pourquoi 1024:65535  : qu'est-ce que cela représente ???
le port utilisé par les navigateurs ???


> >-tout sur l'intranet :
> >$IPT -A FORWARD -i eth0 -o ppp0 -j ACCEPT
> >$IPT -A FORWARD -o eth0 -i ppp0 -j ACCEPT
> >------> apparemment cela authorise les mail,icq,forums,etc.... :-) Est-ce
> >dangeureux ???
>
> Bin je sais pas cela depends de ce que tu veux faire mais dans ton cas
> mieuxvaut faire du masquerading
> avec ca :
> iptables -t nat -A POSTROUTING -s plage_ip_de_ton_reseaux_local -o ppp0 -j
> MASQUERADE
> comme ca toutes ts machines auront acces au net derriere le firewall

ok mais si tu regardes bien mon script je le fais...
mais devrais-je le faire avant ???
>
> >Merci.
>
> De rien

-- 
gcolpart web site : http://gcolpart.dyndns.org