Besoin d'un avis: config shorewall

Support Debian
#1

bonjour à tous;

j’aurais besoin d’un avis et peut etre d’un peu (?) d’aide pour la config de shorewall. Je m’explique!
voila mon réseau actuellement:

~internet~~~~ + eth0 serveur   eth1 |------fonera--+---- machines en wifi 
              |       apache        |              |
              |       ssh           |              +-----imprimante en wifi (ipfixe)
              |       dns           |
              |       postfix       |

eth0 en ip fixe;
eth1 est en 192.168.3.1, la fonera founi des adresses en 192.168.10.* (dhcp) et j’ai mis l’imprimante arbitrairement en 192.168.10.90
Seul apache/ssh/dns/postfix sont visibles sur le net, cups et d’autre ne sont visibles que du réseau local
Mon problème actuel, c’est que je n’arrive pas à atteindre l’imprimante à partir de cups (ni même avec ping), et d’autre petit soucis de réseau/firewall avec un script perso à partir de chaines iptables.
J’aurais donc une question: shorewall peut il m’aider dans ce cas, à atteindre l’imprimante, d’abord, et est-ce que peut simuler mon réseau pour tester shorewall avant de l’installer sur mon serveur (je voudrais me planter un minimun de temps). Je pensais à un qemu ou autre sachant que j’ai un PIV 2,4 dispo
Question bonus: (celui qui me donne la bonne réponse gagne l’appéro chez moi): comment je fais comprendre à amsn que je suis pas derrière un routeur? redirection des ports, ok, mais la, j’ai un soucis avec le dhcp de la fonera! je ne sais à priori, jamais quel est le numéro ip des machines derrière la fonera! Je suis perplexe…

Amicalement.
Rémi.

#2

Le serveur a-t-il une route vers le sous-réseau de la fonera 192.168.10.* via l’adresse “extérieure” de la fonera, celle en 192.168.3.* face à eth1 ? Sinon, le routeur utilise sa route par défaut qui est sur eth0 je suppose, et les paquets destinés à 192.168.10.* partent vers internet se perdre sans espoir de retour.

Mais il me semble que la fonera fonctionne comme un routeur NAT, et il se peut que les communications dans le sens “extérieur” vers “intérieur” (vu de la fonera) ne soient pas possibles directement et doivent faire l’objet de redirections dans la configuration NAT de la fonera. Dans ce cas, l’adresse IP de l’imprimante déclarée dans cups doit être l’adresse “extérieure” de la fonera, celle en 192.168.3.*.

Quant à tes “autre petit soucis de réseau/firewall”, si tu ne les décris pas on ne risque pas de pouvoir te renseigner.

Amsn tourne sur quelle machine ? Si c’est sur le serveur, c’est une bonne pratique de faire tourner un client de messagerie instantanée sur un serveur ? Si c’est sur un poste wifi, il n’est pas derrière un mais deux routeurs, la fonera et le serveur.

#3

le plus simple, pour le problème de route c’est de vous donner ma table de routage actuelle:

# route -n
Table de routage IP du noyau
Destination     Passerelle      Genmask         Indic Metric Ref    Use Iface
192.168.3.0     0.0.0.0         255.255.255.0   U     0      0        0 eth1
81.56.179.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
0.0.0.0         81.56.179.254   0.0.0.0         UG    0      0        0 eth0

amsn, lui, il tourne non sur le serveur, mais sur mes machines derrière la fonéra, donc derrière deux routeurs :confused:
Mes autres problèmes, ben c’est le ping, qui passe pas, entre les machines, par exemple, je n’ai pas non plus de nom de machine, ni d’ip fixe pour elles, mais la c’est un problème au niveau du dhcp de la fonera à reconfigurer (j’ai déjà eu une réponse sur le forum de fonera, il me faut installer un ssh sur la fonera et configurer dnsmasq en fonction des adresse MAC). Le ssh ne fonctionne plus bien sur, puisque je ne peux pas les atteindres! tout est relié comme problèmes!
Donc, il faut configurer la route pour dire que les paquets d’adresse 192.168.10.* passeront par eth1 donc, si j’ai bien compris:

route add -net 192.168.10.0 netmask 255.255.255.0 dev eth1

quelque chose de ce type? (depuis la dernière fois, j’ai compulsé quelques docs… 8) )

Rémi.

#4

Il n’y a pas de route vers 192.168.10.* dans la table de routage, donc si le serveur essaie d’atteindre l’imprimante réseau par son adresse 192.168.10.90, les paquets IP partent vers internet et ça ne risque pas de marcher. Tu as grosso modo deux possibilités :

a) Dans cups, déclarer l’adresse 192.168.3.* de la fonera au lieu de l’adresse 192.168.10.90 de l’imprimante et créer sur celle-ci une redirection du port qui va bien (IPP ? j’y connais rien en imprimantes réseau) vers l’adresse 192.168.10.90 de l’imprimante. D’accord c’est pas terrible, comme toujours quand il y a du NAT.

b) Créer sur le routeur une route vers 192.168.10.* via la fonera comme passerelle. Ta commande n’est pas bonne, car elle fait croire que le sous-réseau 192.168.10.* est directement connecté à eth1 alors qu’il est derrière la fonera. Avec route,

où <ip_fonera> est l’adresse de la fonera en 192.168.3.* qui fait face à eth1.
Personnellement je préfère ip :

Mais ce n’est pas suffisant : il faut aussi que la fonera accepte de router le trafic reçu sur son interface WAN à destination de 192.168.10.* et vice versa. Je crois comprendre que c’est un système Linux qui tourne dessus car tu as parlé d’installer ssh et dnsmasq dessus ; dans ce cas il doit être possible d’adapter les règles iptables si nécessaire. L’idéal serait de complètement désactiver le NAT sur la fonera, il ne sert à rien dans ton cas à part créer des ennuis.

Quel est le problème qu’amsn se trouve derrière un routeur ?
Pour les autres problèmes, tu ne détailles pas assez.
Le ping ne passe pas de quelle machine vers quelle machine ?
Quel type de nom de machine t’attends-tu à avoir (DNS, NetBIOS) ?
Le ssh ne fonctionne pas de quelle machine vers quelle machine ?

#5

Merci de ton aide.
Je ne connais pas ‘ip’, quell est la différence avec ‘route’?

c’est effectivement du linux dessus. Et oui, je vais finir pas y placer un ssh dessus. La fonera est un petit routeur à base de wrt-linux ça marche bien en tout cas, dans une utilisation ‘de base’ :slightly_smiling:
on a acces à une petite interface web pour ouvrir quelques ports, mais il faut avoir acces aux entrailles pour modifier le NAT et IPTABLES je pense. Par contre, la fonera a deux réseaux (je pense que tu ne connais pas bien le principe): un réseau privé et un public. Bien séparé. je pense qu’il faut être sur de soi pour jouer avec les règles nat/iptables et autres, dessus. Les utilisateurs du réseaux public ne doivent pas avoir acces au réseau privé

Pour amsn, ben ça marche, mais celui ci me dit tout le temps que je suis derrière un routeur, je suppose que cela gène un certain nombre de fonctionnalités? (les transferts de fichiers fonctionnent, mais j’ai pas tenté la webcam)
pour le ssh, j’ai l’habitude de me connecter sur les machines depuis mon portables vers les autres par ssh, et la, ben je peux pas, quand une machine est en .10.183 et une autre en 10.170 (toutes en 192.168..) il n’y a pas de connexion possible. Aucunes machines ne se voient en fait. Pareil, du serveur vers les machines au dela de la fonera, pas de ssh (comme pour l’imprimante, en fait), mais dans l’autre sens, ça marche.
Quand aux noms de machine, j’avais donné des noms aux machines, afin de parler plus facilement à @nico qu’à @192.168.. mais là, avec le dhcp de la fonera, j’en reviens toujours au même problème, il me faut le reconfigurer donc y avoir acces… (mais pour le momment, j’ai un peu peur de faire une co… sur la fonera)
voila mes petit soucis :slightly_smiling:
Sinon,j’ai pas de netbios :slightly_smiling: que du linux. (netbios, c’est du windows ça, non?)

Déjà, si on arrive à résoudre le problème de route pour l’imprimante, se sera pas mal (mes utilisateurs me le réclament).
Rémi (pas encore en vacances… :smt005 )

#6

route est une vieille commande traditionnelle héritée d’Unix, alors qu’ip est spécifiquement adapté à Linux et a beaucoup plus de fonctionnalités : il peut remplacer non seulement route (ip route) mais aussi ifconfig (ip link, ip addr), arp (ip neigh), iptunnel (ip tunnel), avec une syntaxe plus cohérente en IPv4 et IPv6 tout en ayant des fonctions qu’aucun de ceux-ci ne possède comme le routage avancé (ip rule), les routes multipath…

D’après ce que je connais du protocole MSN Messenger, le tchat texte se fait par une connexion client-serveur classique mais le transfert de fichier et la visio se font par des connexions directes de pair à pair qui sont plus difficiles à établir en présence de NAT. Dans ce cas le transfert de fichier peut être relayé par un serveur MSN mais le débit est moindre. Je ne sais pas si c’est possible avec la visio, probablement que non à cause du débit nécessaire.

Deux machines dans le même sous-réseau comme .10.183 et 10.170 devraient normalement pouvoir communiquer ensemble, à moins peut-être que ce soit un réseau wifi de la fonera et que celle-ci filtre les communications entre postes wifi (si c’est possible). En revanche ça ne m’étonne pas que le réseau LAN de la fonera ne soit pas accessible depuis l’interface WAN, c’est classique avec les routeurs NAT.

Netbios existe aussi pour GNU/Linux, avec samba. Je parlais de netbios parce qu’il inclut un service de nommage (netbios name service), et tu n’as pas précisé de quel type de nommage tu parlais.

PS : Rémi… rsuinux… on ne se serait pas déjà causé sur la liste debian-user-french ?

#7

pour msn, le text fonctionne, le transfert aussi, la vitesse, ma fois, ça a l’air de fonctionner, mais la video il faut que je teste. (le temps, mon bon monsieur… n’est pas à ralonge…)

[quote=“PascalHambourg”]Deux machines dans le même sous-réseau comme .10.183 et 10.170 devraient normalement pouvoir communiquer ensemble, à moins peut-être que ce soit un réseau wifi de la fonera et que celle-ci filtre les communications entre postes wifi (si c’est possible). En revanche ça ne m’étonne pas que le réseau LAN de la fonera ne soit pas accessible depuis l’interface WAN, c’est classique avec les routeurs NAT.
[/quote]
donc, on en revient la au problème d’aller tripatouiller dans la fonera :blush:

Et pour ta dernière question, oui, je suis passé sur la liste debian, mais en ce momment, j’ai des soucis de courrier imap sur mon serveur perso( problème de tls, trop long à expliquer ici), alors qu’ici, je peux utiliser même IE5 du boulot :frowning:

#8

[quote=“rsuinux”]
donc, on en revient la au problème d’aller tripatouiller dans la fonera[/quote]
Evidemment. Quel intérêt d’avoir une box avec un Linux qui tourne dessus si ce n’est pas pour tripatouiller dedans ?

#9

[quote=“PascalHambourg”][quote=“rsuinux”]
donc, on en revient la au problème d’aller tripatouiller dans la fonera[/quote]
Evidemment. Quel intérêt d’avoir une box avec un Linux qui tourne dessus si ce n’est pas pour tripatouiller dedans ?[/quote]
:laughing: tout a fait, il faut juste savoir (à peu près) ce que l’on fait !