[resolu] regles de bases pour shorewall

Support Debian
#1

j’ai 2 interfaces la 1ère eth0 (192.168.1.2) relier à ma neuf box qui à elle une ip fixe (192.168.1.1)
mon interface 2 (192.168.10.1) eth1 est relier à un switch pour mon réseau local.

après avoir installé shorewall ainsi que l’exemple de base fourni (two-interfaces)
je n’arrive pas à me connecter au net à la fois avec la machine hébergent le firewall et les machines du réseau.

comment arriver à partager cette connexion

voici une partie des logs

j’aimerais bien sortir de mon réseau dans un premier temps avant de commencer les règles ftp, webmin etc…

merci a+ gilles

#2

Salut,

Pour t’aider il nous faut plus de détails évidemment…
Donne-nous le contenu des fichiers de conf. Tu as paramétré Shorewall avec Webmin ?
Les “confs” sont dans /etc/shorewall si mes souvenirs sont bons. Je n’utilise plus Shorewall depuis un moment…

#3

merci pour ta reponse voila les fichiers de conf

je reussi à sortir sur le net avec le PC qui heberge le firewall
mais impossible de sortir avec les PC du reseau local

quelle serais la conf de l’interface reseau de mon xp pour sortir ?

ma freebox est en 192.168.1.1 avec le mode dhcp activé

eth0 = dhcp

mon poste xp impossible à sortir ou pinguer le reseau local tous est rejeter

fichier interface

fichier policy

fichier rules

le shorewall.conf

j’ai fait aussi un
echo 1 > /proc/sys/net/ipv4/ip_forward

a+ gilles

#4

Salut,
Désolé, je n’étais pas là hier.
Encore une fois : Je n’utilise plus Shorewall depuis… un bail…

Dans ton fichier rules

ACCEPT fw net tcp 53
ACCEPT fw net udp 53
ACCEPT loc fw tcp 53
ACCEPT loc fw udp 53
ACCEPT $FW loc icmp
ACCEPT loc $FW icmp

Tu n’accepte que le DNS ? (Je ne sais plus s’il faut ACCEPT loc > net) Mais en tout cas, il te faut ouvrir plus de ports que le 53…
Au minimum le 80 pour surfer.

#5

:wink: tu n’as pas à être désolé si tu est absent. c’est déjà pas mal de filer un coup de main

voila ou j’en suis

par contre voila comment j’ai paramétrer mon xp : est ce bon ??? j’ai un doute

bizarrement je récupère des mails avec outlook qui sont sur une boite externe (laposte.net) alors
que le port 110 est ferme sur le firewall

mon serveur de mails est installe mais pas encore configure pour la récupération des mails des boites externes

j’ai un SSH que je voudrais faire tourné sur le port 2222 (sshd.conf configure pour )
mais impossible le firewall ne veut pas de cette regle

idem pour mon FTP qui est sur l’IP 192.168.10.3 avec le port 2100

#6

Non : l’adresse de passerelle devrait être celle du côté du réseau local, 192.168.10.1. Je suis étonné que Windows accepte une adresse de passerelle en dehors de son sous-réseau.

Ton fichier policy contient

ce qui, si je ne me trompe pas, autorise par défaut toutes les communications depuis le réseau local vers l’extérieur, sauf règle contraire dans le fichier rules.

sshd_config tu veux dire ? Qu’entends-tu exactement “par impossible le firewall ne veut pas de cette règle” ?

Pour info tu risques d’avoir des problèmes si tu utilises FTP sur un port autre que 21.

PS : je ne connais pas bien shorewall, quelle est la différence entre fw et $FW ?

#7

bonjour PascalHambourg et merci pour ta réponse

mon doute étais fondé pour le param de xp j’ai mis 192.168.10.1, ca marche

mon fichier policy contient bien

loc net ACCEPT

quel boulet je suis, c’est moi même qui est fait ca

pour le SSH c’est bien le fichier sshd_config que j’ai modifier pour le faire marcher sur le port 2222
quant à la régle que j’ai mise dans le fichier rules

ACCEPT:info loc $FW tcp 2222

maintenant ca marche le port 2222 est bien pris en compte
sans doute j’avais oublier de recharger la conf :whistle:
temps mieux

voila la ligne du fichier /var/log/messages

$FW est une variable de shorewall qui désigne la machine ou est héberge le firewall

quelle serais la raison du problème ??

a+ gilles

#8

Et que représente “fw” ?

Le problème avec le protocole FTP, c’est qu’il nécessite une prise en charge spécifique par les dispositifs de NAT et de filtrage à états (pile ce que fait shorewall). La prise en charge automatique passe par l’examen de la communication sur les connexions de commande. Ces connexions de commande FTP sont identifiées par leur port, qui est par défaut le port 21. Si elle utilise un autre port, elle ne sera pas examinée et les opérations nécessaires ne seront pas effectuées.

A noter que le module de suivi de connexion FTP du noyau Linux, nf_conntrack_ftp, permet de spécifier d’autres ports avec le paramètre ports=. Mais cela peut ne pas suffire si la connexion FTP passe par d’autres routeurs NAT ou pare-feux à état (notamment la box internet) qui ne gèrent les connexions FTP que sur le port 21.

#9

fw est le nom de la zone on pourrais l’appeler toto

ok pour le ftp je vais basculer les fichiers sur le nas