Re: iptables et serveur web derrière passerelle

[Phil <pamelant@nerim.net>]

Le lun 18/11/2002 à 12:31, hervé thibaud a écrit :
> bonjour,
> sur un réseau je veux mettre un serveur web derrière une passerelle
> raccordée à internet pour essayer de comprendre qqchose à la masquarde
> sauce netfilter sur un noyau 2.4.XX
> l'interface externe sur la passerelle est ippp0 (numéris) avec ip
> dynamiqe.
> l'interface interne est unique et s'appelle eth0.
> toutes les machines me le serveur web est raccordé dessus.
> 
> Donc règles iptables bateau récupérées sur l'exemple de la plus simple
> configuration et iplantées sur la passerelle
> 

Je te conseille firewall builder :)
sinon pour ton probleme il te faut une régle PREROUTING en entrée, et
une régle POSTROUTING en sortie si je ne raconte pas de betise :)
La regle que l'on t'a indiqué dans un autre post et bonne mais si elle
finit dans ton log c'est que tu bloques le forwarding en entrée.
Essaye de rajouter
iptables -A FORWARD -i ippp0 -o eth0 -j ACCEPT
pour tester aprés tu affines en fonction de ce que tu veux laisser
passer style;
iptables -A FORWARD -p tcp -m multiport --destination-ports 80,22,443,25
-m state --state NEW -j ACCEPT 
par exemple

Mais je te conseille vraiment un outils de haut niveau comme firewall
builder (enfin moi j'aime :))

> iptables -P INPUT ACCEPT
> iptables -F INPUT
> iptables -P OUTPUT ACCEPT
> iptables -F OUTPUT
> iptables -P FORWARD DROP
> iptables -F FORWARD
> iptables -t nat -F
> iptables -A FORWARD -i ippp0 -o eth0 -m state --state
> ESTABLISHED,RELATED -j ACCEPT
> iptables -A FORWARD -i eth0 -o ippp0 -j ACCEPT
> iptables -A FORWARD -j LOG
> iptables -t nat -A POSTROUTING -o ippp0 -j MASQUERADE
> 
> donc s'il n'y a que çà tous les postes peuvent exploiter internet et de
> plus un serveur web situé sur la passerelle est atteignable de
> l'extérieur su un truc mis sur un serveur de FAI fait la passerelle pour
> l'ip dynamique.(trucs trouvés à disposition sur un site et créé par
> quelques bêtes de la manipulation des ip et qui m'éviteront de choisr
> une otion compliquée pour quelque mois d'ip dynamique modifiée une fois
> par jour)
> 
> Là ou je n'arrive plus c'est lorsque je veux placer un serveur WEB sur
> l'interface eth0 c'est à dire rendre plus exotique la configuration
> iptables à laquelle je ne pige couic
> 
> 
> naïvement j'ai voulu recopier la règle la plus simple qui me semblait
> convenir 
> 
> iptables -t nat -A PREROUTING -i eth0 -j DNAT --to 192.168.0.5 # ip du
> serveur web
> 
> et hop! plus un poste ne peut atteindre internet
> 
> Donc si une bonne âme expérimentée pouvait me donner la solution ceci me
> permettrait éventuellement de comprendre ce qu'il faut pour que çà
> marche mais sûrement d'arriver à un résultat
-- 
Phil <pamelant@nerim.net>