Parfeu

Support Debian
#41

[quote=“kim”]Bon les manips avec gedit c’est bon maintenant.

j’ai rentré en root la premiere ligne iptables “-t filter -P INPUT DROP”
et comme hier le systeme c’est bloqué j’ai tenté ctlr alt Backspace comme jai pu le decouvrir cette apres midi pour arreter les processus plutot que reset helas ça n’a pas fonctionné,j’ai utilisé reset :075

J’ai continué l’installation.

Ceci dit voici le résultat:

[quote]kei@debian:~$ su -
Mot de passe :
debian:~# iptables-save

Generated by iptables-save v1.4.2 on Sun Jun 6 02:52:56 2010

*filter
:INPUT ACCEPT [35:5746]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [426:56889]
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5222 -j ACCEPT
COMMIT

Completed on Sun Jun 6 02:52:56 2010

debian:~# [/quote]

Pendant l’installation j’ai eu un warning
dl.free.fr/ra5pg5snQ

J’ai découvert gedit ce soir sur le tas avec toi, pour te raconter je pensé qu’il fallait que j 'enregistre le fichier dans mon dossier lol, donc j’ai viré ce fichier dans mon dossier

J’avais pas vu l’arborescence dans gedit pour aller chercher parfeudebian dans le systeme de fichier

Bon j’attend ton verdict. :049

PS: comme tu peux le constater dans dl.free.fr/ra5pg5snQ
cette ligne là " iptables -t filter -P INPUT DROP " ,c’est celle qui ma fait planter, je ne l’ ai pas rentré une seconde fois, j’ai considéré que la premiere fois même si elle m’a fait planter, à été prise en compte.

Dis moi se que tu en penses.[/quote]

Les warning, ne t’en occupe pas.

Tu as certainement mal tapé la première ligne.
Où as-tu vu INPUT ACCEPT :unamused:

Regarde mon post plus haut et le tuto

À refaire !

#42

Bonjour

Merci ggoodluck47 j’en prend bonne note.

Merci ricardo

Impossible de supprimer voici les message d’erreur que j’ai,j’en met une partie pour pas surcharger le post:

/etc/init.d/parfeudebian clean

[quote]kei@debian:~$ /etc/init.d/parfeudebian clean
iptables v1.4.2: can’t initialize iptables table filter': Permission denied (you must be root) Perhaps iptables or your kernel needs to be upgraded. iptables v1.4.2: can't initialize iptables tablenat’: Permission denied (you must be root)
Perhaps iptables or your kernel needs to be upgraded.
iptables v1.4.2: can’t initialize iptables table `mangle’: Permission denied (you must be root)
[/quote]

#43

(you must be root)

#44

Bon,je vous annonce une bonne nouvelle

rm /etc/init.d/parfeudebian

Comment supprimer un fichier avec rm,je viens de trouver cette commande sur la toile, mais avant de la tester sur mon parfeudebian j’ai creer un fichier, et ensuite je lui est indiqué le chemin pour le supprimer ok

Je recommence ricardo je te tiens au courant

#45

Je formate

J’avais juste installer flashplayer et Xchat sur debian lenny, j’installe le parefeu

J’entre cette premiere ligne pas de probleme
iptables -t filter -P INPUT DROP

ensuite je copie cette ligne et là tout bloque
iptables -t filter -P FORWARD DROP

maintenant j’ai le systeme qui veux plus rien savoir plus d’icone sur le bureau, des messages d’erreurs la totale quoi

#46

Là, je crois que je ne peux plus grand chose pour toi.
Je t’ai tout dis et tout est expliqué simplement dans le tuto, il n’y a qu’à le lire et faire des copié/collé.

#47

Je sais bien ricardo que tu peux pas plus à ce stade là, mais je comprend toujours pas pourquoi quand je rentre cette premiere ligne tout va bien en suite je cc la seconde et là blocage du systeme , enfin c’est pas bien grave tout ça, là j 'ai formaté et re-installer debian lenny, je tente à nouveau l’installation de ton parefeur,toute façon j’arriverai bien.

Je referai autant de fois de tentative d’installation de ce parefeu que je ferai d’echecs.

#48

A tout hasard, as tu essayé de t’y prendre dans l’autre sens : au lieu de commencer par tout bloquer avec ton iptables -t filter -p input drop, commencer par autoriser la boucle locale (iptables -A input -i lo -j accept), et ensuite seulement déclarer les autres règles (et ainsi, ne pas avoir un laps de temps durant lequel tout est bloqué y compris sur la boucle locale).

#49

Bonsoir dric64

J’analyse ta proposition, je vous tiens au courant.

#50

Jai fais ce que tu m’a dit dric64

Voila le résultat dites moi si c’est bon

[quote]debian:/home/kei# iptables-save

Generated by iptables-save v1.4.2 on Sun Jun 6 20:38:40 2010

*filter
:INPUT DROP [34:5339]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [112:15186]
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5222 -j ACCEPT
COMMIT

Completed on Sun Jun 6 20:38:40 2010

Generated by iptables-save v1.4.2 on Sun Jun 6 20:38:40 2010

*nat
:stuck_out_tongue:REROUTING ACCEPT [3:1728]
:stuck_out_tongue:OSTROUTING ACCEPT [17:1065]
:OUTPUT ACCEPT [17:1065]
COMMIT

Completed on Sun Jun 6 20:38:40 2010

Generated by iptables-save v1.4.2 on Sun Jun 6 20:38:40 2010

*mangle
:stuck_out_tongue:REROUTING ACCEPT [104:55967]
:INPUT ACCEPT [101:54239]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [112:15186]
:stuck_out_tongue:OSTROUTING ACCEPT [146:20525]
COMMIT

Completed on Sun Jun 6 20:38:40 2010

Generated by iptables-save v1.4.2 on Sun Jun 6 20:38:40 2010

*raw
:stuck_out_tongue:REROUTING ACCEPT [104:55967]
:OUTPUT ACCEPT [112:15186]
COMMIT

Completed on Sun Jun 6 20:38:40 2010

debian:/home/kei#

[/quote]

#51

Ben changer l’ordre d’entrée des règles ne changera rien au dump, il continuera a trier les règles dans le même ordre en sortie. Mais est ce que ton système continu à se bloquer maintenant qu’il n’y a plus de blocage même temporaire de la boucle locale ?

#52

jai pas eu de blocage cette fois ci, j’ai commencé par la régle que tu m’as dit,voici l’ordre dans lesquelles je les ai rentrées:

iptables -A INPUT -i lo -j ACCEPT
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

#53

Donc c’était manifestement le blocage des paquets entrant sur l’interface lo qui posait problème. Mais je ne l’explique pas, je n’ai jamais eu ce problème sur ma machine, et pourtant je commence toujours par tout bloquer dans mon script iptables…

#54

Merci bien dric64, mais tu me dit pas si cette fois c’est bon

Et puis sur trois resets que j’ai fais ça a dû mettre la pagaille dans lenny, et à la sortie de ça je ne pouvais même plus démarrer. :075 lol

#55

Ben je ne t’ai rien fait modifier par rapport à ce que t’a montré Ricardo. Uniquement l’ordre d’une règle.
Avec ce que tu as tapé comme règles, le pare feu ne laisse rien passer en entrée sauf les pings (en dehors du trafic entrant qui est en réponse aux connexions déjà établies) et le trafic entrant sur la boucle locale, mais il laisse tout sortir. La règle de forward ne doit pas te servir à grand chose si tu n’as qu’une seule interface réseau et si le partage de connexion n’est pas activé. Tu peux la laisser comme çà (accept). C’est à peu près suffisant pour une utilisation basique en tant que poste de travail. Si plus tard tu as besoin d’héberger un serveur ftp, serveur web, ou te connecter dessus en ssh, ou que sais-je d’autre, il faudra que tu rajoute les règles de Ricardo du milieu de la page 2 de ton fil.
:006

#56

Bien le fait d’avoir modifié la séquence des régles a reussie, j’attend ricardo pour voir se qu’il en pense, dans tous les cas je te remercie.

je suis en train de regarder les regles d’iptables sur differend site,avec vous j’ai appris pas mal de chose, entre uatre gedit, maintenant quand j’ouvrirai gedit ou autre ça sera dans la console administration direct, et pour virer quoi que se soit > rm /le chemin/le nom

D’accord pour la seconde partie des régles, car je compte bien mettre apache pour un forum.

Pour les pings dans mon interface free j’ai désactivé le ping j’ai lu sur le web que de faire ça été plus sécurisé. :049

#57

Re,

Et le copié-collé de ce que tu as fait, il est où ?

#58

tu parles de l’installation du dernier du parefeu ?

Il est là :038

http://forum.debian-fr.org/viewtopic.php?f=3&p=279946#p279946

#59

Pour moi, c’est bon, comme te l’a expliqué Dric64.
je ne comprends pas pourquoi ça ne fonctionnait pas avant, car j’ai dû installer 20 fois ce parefeu sans avoir à commencer autrement que par
iptables -t filter -P INPUT DROP
:017 :017 :017

#60

Merci encore ricardo pour ton aide :041 et le fait de m’avoir fais découvrir gedit, ça me permet de consulter les log dans var, car je cherché comment ouvrir se genre de fichier chaque fois ça me disait " vous n’avez pas les permissions " lol maintenant c’est bon avec gedit, avant je tenté de les ouvrir directement poste de travail/ systeme fichier :075 lol