Re: ouvrir un port iptable je suis perdu...

["k.panic" <k.panic@laposte.net>]

Decorny Alexandre wrote:

> Bonsoir la liste,
>
> J'ai besoin d'un petit coup de pouce... J'utilise Debian pour un serveur
> nat. Les machines qui se connectent sont une debian et un win2k.
>
> Sur le win2k j'utilise E-trust innoculated.
>
> C'est la que le problème arrive...
>
> Je n'arrive pas a télécharger les mise a jour de cet antivirus.
>
> Pourtant j'ai les règles NAT adéquate (je suppose...)
>
> #REGLE FORWARDING
> # Toutes les connexions qui sortent du LAN vers le Net sont acceptées
> #iptables -A FORWARD -i lo -o ppp0 -m state --state
> NEW,ESTABLISHED,RELATED -j ACCEPT
> iptables -A FORWARD -i eth0 -o ppp0 -m state --state
> NEW,ESTABLISHED,RELATED -j ACCEPT
>
> # Seules les connexions déjà établies sont acceptées venant du Net vers le
> LAN
> #iptables -A FORWARD -i ppp0 -o lo -m state --state ESTABLISHED,RELATED -j
> ACCEPT
> iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED -j
> ACCEPT
>
>
> Apres quelques recherches, je me suis rendu compte que e-trust ce connecte
> avec le port 80 (http) et reçois les maj par ftp sur un port que je ne
> connais pas :(
>
> pour info j'ai le port "classique" ftp ouvert :
>
> # Autorisation FTP
> iptables -A INPUT -p tcp --dport 20 -j ACCEPT
> iptables -A OUTPUT -p tcp --dport 20 -j ACCEPT
> iptables -A INPUT -p tcp --dport 21 -j ACCEPT
> iptables -A OUTPUT -p tcp --dport 21 -j ACCEPT
Là en l'occurence ton port est ouvert sur ta passerrelle. Il n'est pas 
forwardé vers ton client donc selon moi cette règle ne te sert à rien, à 
moins d'avoir un serveur ftp sur ta passerelle.
Deplus je suis assez surpris que ton antivirus serve de server ftp.
Ne serait-ce pas plutot un client ftp vers ton serveur de MAJ ?

> Je cherche depuis plus d'une semaine un moyen de router ces paquets sur mon
> win2k sans succès :( Je n'arrive même pas a voir par quel port passe les
> dits paquets.
>
> J'ai fouillé dans les docs iptables et je suis incapable de loguer les
> paquets refusé. J'ai aussi essayé de suivre les paquet avec iptraf mais sans
> succès :(
>
> J'en viens donc aux experts : La liste debian ;o)
>
> Si vous avez une solution ou un début de piste je vous en remercie par
> avance.
>
> Alex.
>
>
>