IPtables

[KeKeSeB]

Pour ne pas avoir a retaper mes règles à chaque reboot d'IPtables, j'ai copié collé le script de léa linux que j'ai modifié pour ma config, mais au démarrage, ca marche pas

Si vous pouviez trouver la cause J'ai Debian

Je vous met les scripts :

#! /bin/sh
# /etc/init.d/iptables_chains
# Lancement du script de Firewall

#. /etc/init.d/functions

RETVAL=0

# Fonction pour le lancement du firewall
start() {
 echo -n "Application des règles IpTables: "
 /etc/iptables_chains.sh
 RETVAL=?
 [ -eq 0 ] && touch /var/lock/subsys/firewall
 echo
}

# Fonction pour arrêter le firewall (on flush)
stop() {
 echo -n "Flush des règles IpTables: "
 /etc/flush_iptables.sh
 RETVAL=?
 [ -eq 0 ] && rm -f /var/lock/subsys/firewall
 echo
}

case "" in
 start)
   start
  ;;
 stop)
   stop
  ;;
 restart)
   stop
   start
  ;;
 status)
   /sbin/iptables -L
   /sbin/iptables -t nat -L
   RETVAL=?
  ;;
 *)
   echo "Usage: firewall {start|stop|restart|status}"
   RETVAL=1
esac

exit

# Script /etc/flush_iptables.sh

#
# On remet la police par défaut à ACCEPT
#
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

#
# On remet les polices par défaut pour la table NAT
#
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

#
# On vide (flush) toutes les règles existantes
#
iptables -F
iptables -t nat -F

#
# Et enfin, on efface toutes les chaînes qui ne
# sont pas à defaut dans la table filter et nat

iptables -X
iptables -t nat -X

# Message de fin
echo " [termine]"

# script /etc/iptables_chains.sh

# Cache les machines forwardées par la passerelle

# Internet
iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE
# Réseau des Triaudes
iptables -A POSTROUTING -t nat -o eth1 -j MASQUERADE

# Pour faire zoli
echo " [Termine]"

# c'est enfin fini

J'ai bien fait

# update-rc.d iptables_chains start 80 S .

[Sandeman]

ça marche pas quoi ?

[KeKeSeB]

Au démarrage ca me marque

/etc/rcS: /etc/rcS.d/S80iptables_chains: Permission Denied

Maintenant que j'y pense, y'a pas une histoire de chmod ???

Comment je fais pour le changer ?

Merci

[tuXXX]

faire du iptables sans savoir faire de chmod?

ça craint un peu....

 $ chmod +x /etc/rcS.d/S80iptables_chains

[KeKeSeB]

Désolé, c'est pas facile debian en console au début....

Je connaissais le chmod pour les dossiers, mais pas pour ca. merci bien en tout cas

[KeKeSeB]

Par contre j'ai encore un pti prob.

Cette fois pas d'erreur au démarrage, mais ca marche pas alors je fais

# /etc/init.d/iptables_chains start

et il me sort

Usage: firewall {start|stop|restart|status}

Y'a une erreur dans mon script ???

Je cherche aussi un pti tutorial sympa pour iptables

[sc_net]

D'autre méthodes ...

1- Tu rentre tes règles directement dans le fichier /etc/rc.d/rc.firewall

2- Tu tapes tes règles une par une ... quand tu as fini tu fais

# root : iptables-saves

Et pour les tutos va voire chez Léa ...

[KeKeSeB]

Merci pour tes réponses, mais :

1-J'ai pas ce script

2-J'ai fait

# iptables-save

# Generated by iptables-save v1.2.6a on Fri Sep 17 23:28:46 2004

*nat

:PREROUTING ACCEPT [1310:67942]

:POSTROUTING ACCEPT [27:1452]

:OUTPUT ACCEPT [1:204]

-A POSTROUTING -o eth0 -j MASQUERADE

-A POSTROUTING -o eth1 -j MASQUERADE

COMMIT

# Completed on Fri Sep 17 23:28:46 2004

Mais au reboot, c'est effacé

[-rem-]

Pfff... Sur une debian tu mets ton script avec un lien dans le run level, et c'est joué... Ce n'est pas vraiment une sorte de daemon, c'est juste un script que tu veux lancer au démarrage...

[KeKeSeB]

est ce que si je fait un script avec seulement

 iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE
iptables -A POSTROUTING -t nat -o eth1 -j MASQUERADE

dans le rcS.d, ca va marcher ???

[-rem-]

perso je le mettrai en rc3....

Pour ton script la, tu n'as pas de firewall, juste un masquerading sur eth1 et sur eth0 ( ce qui est bizarre....)

[KeKeSeB]

le rc3, je connais pas. Un lien ?, un tuto ?

eth0, c'est le net

eth1, c'est le réseau de mon immeuble

eth2, c'est mon réseau

[-rem-]

ls /etc/rc3.d

Ce sont les run levels, ce qui lance les daemons/Scripts au demarrage en mode console, rc5.D pour le mode graphique.

[KeKeSeB]

J'ai fait le script avec juste ca dedans :

iptables -A POSTROUTING -t nat -o eth0 -j MASQUERADE

iptables -A POSTROUTING -t nat -o eth1 -j MASQUERADE

j'ai bien mis chmod +x,

Mais ca marche pas.

Par contre quand je le lance manuellement ca marche...

[-rem-]

oui, mais tu ne fais pas de forwarding :

echo 1 > /proc/sys/net/ipv4/ip_forward

Mais je rejoins Tuxxx.... Ne pas connaitre chmod qui est vraiment la base ( ni les run levels, ce qui confirme ) et se lancer sur iptables a grand coup de scripts, c'est un peu trop osé a mon avis !

Tu devrais utiliser un gui pour iptables, comme sandeman l'a présenté.

[KeKeSeB]

sisi je fais du forwarding, j'ai mis ip_forward=yes dans /etc/network/options et j'ai toujours 1 dans /proc/sys/net/ipv4/ip_forward, mais ca ne parche pas, pourtant quand je tappe /etc/init.d/firewall.sh, ca marche a merveille.

Sinon, je veux pas aller plus vite que la musique, je voudrais juste que ces 2 règles se lancent automatiquement au demarrage de la machine, c'est tout. Je connaissais les run levels, mais quand t'a dis juste rc3, j'ai pas compris. les chmod dans ce cas la je connaissais pas.

voila, merci

[-rem-]

mouais.... je vais pas m'etendre, mais si tu connaissais les run levels ton pb n'aurait meme pas ete pose...

Tu créé un lien symbolique, nommé /etc/rc3.d/S25firewall qui pointe vers ton script /etc/init.d/firewall.sh

Par contre, tu devrais regarder un de ces daemons pointés pour comprendre un peu comment les regles start, restart etc... se definnissent, tu pourrais alors comprendre de toi meme pk ton script ne marchait pas avec start.

[KeKeSeB]

C'est ce que j'ai fait :

~# ls /etc/rc3.d
S10sysklogd@    S20exim@     S20nfs-kernel-server@  S91apache@
S11klogd@       S20inetd@    S20ssh@                S91apache-ssl@
S14ppp@         S20lpd@      S89atd@                S95firewall.sh@
S19nfs-common@  S20makedev@  S89cron@               S99rmnologin@

Vu que le premier script que j'ai choppé ne fonctionnait pas et que je ne comprennais pas la syntaxe, j'ai préféré faire un truc simple que je comprenais, fais ca a pas l'air de vouloir marcher non plus

[saintshakajin]

on te l'a dit au début, tu peux mettre aussi un lien symbolique dans le /etc/rcS.d/S80firewall, tu as essayé au moins?

[KeKeSeB]

Ok, merci, ça marche...