Regles Firewall [Résolu]

[underscape]

Bonjour,
je débute avec Ipcop et après avoir recherché sur le net pendant plusieurs heures et après avoir lu le forum en long et aussi en large, je n'ai pas trouvé d'explications suffisamment claires concernant les règles du firewall pour Ipcop 2.x

Bref, j'ai installé Ipcop 2.04 avec 4 interfaces afin d'avoir mes zones Rouge (FAI), Vert(Privé), Bleue(WIFI). Orange(DMZ).

Pour les ips des zones :

Rouge : 192.168.1.0/255.255.255.0
vert : 192.168.2.0/255.255.255.0
bleue : 192.168.3.0/255.255.255.0
orange : 192.168.4.0/255.255.255.0

Concernant mes soucis de réglages, ils s'agit de deux choses:

- la 1ere, laisser ma Freebox communiquer avec un ordi sur mon réseau (vert) afin que je puisse me servir de Homeplayer (ports 8080 en TCP & 1234 en UDP).
J'ai tenté un peu de tout, trafic autorisé en sortie, vers Ipcop, en transfert, mais rien ne marche.
N'ayant pas trouvé de tuto expliquant véritablement chaque fonction, j'avoue que la, je nage!

- La 2eme, que l'ordi présent dans ma DMZ puisse communiquer avec le net (dns, ftp et web) en entrée et sortie, mais pareil, rien ne passe.

Voilà, j'espère avoir été clair et vous remercie par avance pour votre aide.

[Franck78]

Salut,

Je pense qu'on ne se lance pas dans l'utilisation d'un firewall sans avoir compris la finalité d'un tel outil.
On pourra te dire autant de fois que tu veux comment créer un régle, mais si tu ne sais pas pourquoi il la faut ou pas, a quoi bon.

C'est particulièrement évident avec tes questions, surtout la 2. Elle ne présente aucune difficulté particulière.
Pour la 1/, c'est trop mal expliqué (et on ne veut pas éplucher les forums/docs de freebox) !

Visite ce site et beaucoup de chose deviendront claires. Alire et relire posément, encore une fois, on ne digère pas ça en 5 minutes.

http://irp.nain-t.net/doku.php


Bye

[underscape]

Salut et merci pour ta réponse, même si je trouve celle-ci légèrement hautaine.

En effet, penser qu'une personne installe une distribution linux et de surcroît avec ipcop dessus sans en comprendre "la finalité" pour finir par lui filer un lien sans aucun rapport avec sa demande.
Bref, c'est limite, mais bon, je vais mettre cela sur le fait que j'ai sans doute très mal exprimé mes différentes interrogations.

Pour ce qui est du 1er point, certes, cela ne doit pas être extrêmement difficile à mettre en place, sauf que je n'ai pas trouvé (malgré pas mal de recherches) un véritable tuto ou aide sur les différents champs de l'onglet "Règles du Firewall" pour Ipcop 2x . me permettant de résoudre mes soucis.

J'arrive à me connecter via ssh depuis mon interface verte (192.168.2.x) sur ma machine en interface orange (192.168.4.2) grâce à des règles rajoutées afin de faire communiquer mes différents postes sur les différentes interfaces.

Pour cela, j'ai bien compris que je devais utiliser la fonction de "trafic interne" qui comme son nom l'indique permet de faire communiquer les différentes machines sur les différentes interfaces.

Par contre pour faire communiquer la machine en zone orange vers l'internet et vice et versa, la je nage.
Par exemple, je lance sur mon poste en zone orange, via ssh la commande "apt-get update", je regarde dans le jt du firewall et je trouve cela

Code : Tout sélectionner

heure    ORANGE REJECT   dmz-1   UDP   192.168.4.2 40849   mac adress   192.168.4.1 53(DOMAIN)
heure    ORANGE REJECT   dmz-1   UDP   192.168.4.2 45990   mac adress   192.168.4.1 53(DOMAIN)
heure    ORANGE REJECT   dmz-1   UDP   192.168.4.2 38760   mac adress   192.168.4.1 53(DOMAIN)
heure    ORANGE REJECT   dmz-1   UDP   192.168.4.2 59180   mac adress   192.168.4.1 53(DOMAIN)
heure    ORANGE REJECT   dmz-1   UDP   192.168.4.2 35567   mac adress   192.168.4.1 53(DOMAIN)
heure    ORANGE REJECT   dmz-1   UDP   192.168.4.2 49532   mac adress   192.168.4.1 53(DOMAIN)
heure    ORANGE REJECT   dmz-1   UDP   192.168.4.2 50507   mac adress   192.168.4.1 53(DOMAIN)
heure    ORANGE REJECT   dmz-1   UDP   192.168.4.2 57573   mac adress   192.168.4.1 53(DOMAIN)


Donc j'en déduis que sur l'interface orange, le port 53 n'est pas autorisé à sortir vers le net.
Du coup j'ouvre en sortie, je pense que cela est correcte, par contre, pour le retour de la réponse, je dois logiquement ouvrir, mais là je bloque...
Cela ne peux pas être avec la fonction de "transfert de port", vu qu'ipcop ne me propose aucune interface en source.
Cela ne doit pas etre non plus "Accès Ipcop" vu que la source ne peut être que "Verte, bleue et orange".
Du coup, je test avec "Accès externe Ipcop", mais non, rien.

Evidemment, j'ai testé les autres solutions, mais pareil, cela ne débloque pas ce port.

En ssh je test avec des commandes basic du style, ping de l'interface bridgé (192.168.4.1) mais invariablement la réponse est "port unreachable".
Alors que si je ping directement ma Freebox, là ca passe... es-ce normal?

Pour ce qui est de mon fichier interfaces, celui-ci est en inet static avec broadcast et gateway sur 192.168.4.1 et le resolv.conf est sur "192.168.4.1"

Si je tente un apt-get update, là j'ai droit à un "temporary failure resolving ... "

Pour mon problème avec ma freebox, il s'agit que mon interface rouge laisse passer 2 ports en direction d'une machine en zone verte et vice & versa.

Voilà, j'espère avoir été un peu plus clair

[jdh]

Il est connu qu'Ipcop a des règles par défaut (qui ne tombe pas forcément sous le sens) :
- pour Orange, le service dns n'est pas fourni !
- pour Orange, toutes les règles utiles doivent être écrites (au contraire de Green à cause de la policy laxiste "tout ouvert").
(Je m'étonne que cela ne se trouve pas : ça doit écrit 10, 100 fois sur le forum archive !)
=> vous devriez donc comprendre ce qu'il faut indiquer dans resolv.conf

Dans le site de Christian CALECA (indiqué par Franck78), on explique que l'on écrit UNIQUEMENT les règles dans le sens aller !
Parce que le retour est automatique !
=> inutile de faire une règle retour dns : c'est une sonnerie avec un c !
=> vu que le raisonnement est répété, c'est que les bases ne sont pas acquises => lecture CALECA conseillée

Pour Orange, il faut donc permettre une sortie pour
- dns, (minimum vital pour la suite)
- http,
- ftp,
- ...

"internal traffic" (doc Ipcop 2.6.10) doit être traduit par "trafics internes" c'est à dire tout trafic entre interfaces internes.
(Orange -> Green, Green -> Orange, ...)

Un méthode "bête mais efficace" consisterait à rédiger :
- Green -> Red : proto x, y, z
- Green -> Orange : proto x, y, z
- Green -> Ipcop : proto x, y, z
- Orange -> Red : proto x, y, z
- Orange -> Orange : proto x, y, z
- Orange -> Ipcop : proto x, y, z

[underscape]

Bonjour et merci pour la réponse, je n'ai pas eu trop de temps pour me pencher encore sur vos éclaircissements, je vais regarder cela demain, mais à premiere vu, cela devrait m'aider.

Merci

[underscape]

Bonjour,
ayant un peu plus de disponibilité, je me suis remis sur la configuration de mon Ipcop.
Voilà, j'ai fini par comprendre, ce que vous sous-entendiez pour le fichier "resolv.conf" de la machine connectée sur le reseau Orange.

En fait, il fallait que j'indique un DNS global dans le fichier, tel que ceux de mon Fai ou autres genre, OpenDns etc....
Bref, avec cette modification, j'ai réussi à installer des MAJ et autres paquets.

Par contre, j'ai supprimés les règles ci-dessous, que j'avaient créés afin de faire mes tests et trouver la solution et cela ne change rien, ca fonctionne quand même.
Bon... j'ai p'tre loupé un episode, pourtant j'avais cru comprendre qu'il fallait écrire toutes les regles utiles...

Code : Tout sélectionner

1   ORANGE   Orange Network      ->    Rouge   Any : domain
2   ORANGE   Orange Network      ->    Rouge   Any : http
3   ORANGE   Orange Network      ->    Rouge   Any : https
4   ORANGE   Orange Network      ->    Rouge   Any : Ping
5   ORANGE   Orange Network      ->    Rouge   Any : ftp-data
6   ORANGE   Orange Network      ->    Rouge   Any : ftp      


Vu que cela fonctionne, je vais pouvoir me pencher sur l'autre problème qui concernait la communication de ma Freebox vers une machine de mon réseau Vert.
Le but étant de faire fonctionner le Freeplayer, celui-ci à besoin des ports 8080 en tcp et 1234 en udp.

Si je suis votre explication, je dois m'orienter vers une redirection de port, car vert est en mode laxiste.

En gros cela donnerai en source l'ip de ma freebox, en destination externe, là pas le choix l'interface rouge et son port et pour la destination interne, l'ip de ma machine et son port.

Sauf que ca ne fonctionne pas, je me doute bien que je ne maitrise pas le sujet, mais je sens que je suis pas très loin.
Bref, si vous avez un indice, ca serait bien sympa.

[Franck78]

Bon... j'ai p'tre loupé un episode, pourtant j'avais cru comprendre qu'il fallait écrire toutes les regles utiles...

c'est plus que certain

Il doit y avoir au moins 250 schémas qui expliquent les flux autorisés par défaut sur un IPCop tout frais.

Quand au freeplayer, il n'étonnerait très fort qu'il soit client d'une machine serveur située en zone green.
Donc encore raté pour les transferts de port...

Comme freeplayer est plus que probablement serveur, il y a dans le meilleurs des cas
-rien à faire (revoir flux ipcop)
et dans le pire interroger google


Franck

[underscape]

Re et merci pour le post, je confirme qu'aucune règle n'est écrite pour l'interface Orange et que je n'ai changé que les dns du fichier "resolv.conf" en les passants sur ceux de Google.

Et visiblement, cela fonctionne parfaitement, donc vu que Jdh m'a indiqué qu'il fallait pour cette interface écrire toutes les règles et que tu confirme également et que cela fonctionne... je m'interroge, mais bon, temps mieux, si ca marche.

Il doit y avoir au moins 250 schémas qui expliquent les flux autorisés par défaut sur un IPCop tout frais.

Cool, tu peux donc m'indiquer un lien en français en rapport avec ma question pour Ipcop 2 ? cela m'aiderai

Pour le Freeplayer, je te confirme qu'il est installé sur une machine en zone verte et que visiblement la communication entre la Freebox en interface rouge et mon freeplayer sur un poste sur le reseau vert ne se fait pas.

Sur Ipcop 2x, il y a 5 choix :
- Trafic en sortie : choix possible pour faire communiquer le Freeplayer vers ma Freebox, mais Jdh m'a ecrit que les règles sont laxistes et qu'a contrario de l'interface Orange, je n'ai pas besoin d’être explicite, donc il ne s'agit visiblement pas de ce choix.
- Accès Ipcop : Visiblement, il s'agit des regles pour les interfaces/ip pour communiquer avec Ipcop ... donc cela ne doit pas etre celle-ci
- Trafic Interne : La, a coup sur il s'agit de la communication entre chaque interface, vu que j'ai créé des regles pour ssh entre les interfaces verte, bleue et orange et que cela fonctionne je me doute qu'il ne s'agit pas non plus de ce choix là.
- Transfert de ports : je pense qu'il s'agit de cette fonction pour faire communiquer mon freeplayer vers ma freebox et vice et versa, mais je comprend pas la notion de "source" avec 2 destinations l'une externe vers ipcop et l'autre interne.
- L’accès externe Ipcop : je pensais avant de faire des tests que je devais coupler ce choix avec "trafic en sortie" d'un coté les ports ouverts du reseau vert puis de les memes ports ouverts en externe... mais lol, ca n'a pas marché

Bon, bref, si vous avez une idée...

[Franck78]

En français non. Les docs techniques c'est anglais !

La seule différence est qu'il y a maintenant un choix (global policy ?) qui se régle je ne sais ou et qui fait que selon le réglage,
moi xor jdh avont raison !

http://www.ipcop.org/2.0.0/en/admin/htm ... affic.html

la communication entre la Freebox en interface rouge et mon freeplayer sur un poste sur le reseau

sans précision sur qui est serveur, qui est client, il est illusoire de vouloir installer une règle quelconque.

Quand au choix parmis les 5, il parait assez évident en lisant la doc.
http://www.ipcop.org/2.0.0/en/admin/htm ... rules.html

Transfert de port. Et des deux champs 'port', celui apparament superflu sert juste de remplacement de la valeur du port transféré.
externalIP:DestPort ===nat==>internalIP:newDestPort

[underscape]

Hier soir je me suis remis au travail (le vrai..oups), j'ai voulu tester afin d’arriver enfin au résultat voulu, mais voilà le net avait disparu.

Apres une heure de tests histoire de voir si cela venait de ma box, de mes câbles, de mes réglables et pourquoi pas d'Ipcop, j'ai fini par découvrir que cela ne venait d'ailleurs.

En effet, j'ai accepté une offre de Free, me permettant d'avoir (enfin) accès à la v5 (oui, je sais, je sais) et je devrais la recevoir sous peu (enfin j'espère, ca fait 3 semaines), le hic, c'est que visiblement Free à précéder ma commande.

Car en regardant sur la gestion de mon compte sur leur site, je découvre que pour eux, ma box à une adresse mac et des paramètres ip totalement différents des miens.
Pourtant, je n'ai rien changé depuis des mois et pour l'adresse mac, aucune raison que celle-ci ait changé.

Pourtant en regardant les paramètres de ma Freebox sur ma télé, là, les réglages et l'adresse mac correspondent à mes choix "d'origine"...

Bref, j'ai décidé de réinstaller IpCop, car lors de ma dernière installation, j'avais programmé l'interface rouge en ip fixe avec des paramètres définis, mais vu que maintenant cela à changé et que je ne peux rien faire en attendant de recevoir cette nouvelle box, j'ai préféré recommencer en tenant compte des nouveaux paramètres.

Je pense qu'il est possible de modifier les interfaces après installation, mais j'ai pas trop envie de faire n'importe quoi, alors, j'ai fait au plus simple ou plus facile, selon.

Bon, ceci dit, je confirme avec cette nouvelle installation pour l'interface orange, maintenant, je dois déclarer effectivement toutes les règles, contrairement à ma dernière installation... étrange.

Pour le Freeplayer, je ne vais pas pouvoir faire quoi que ce soit tant que je n'aurai pas reçu ma box.

Mais bon Franck78, la Freebox sert de routeur au Freeplayer, qui est le serveur (sous apache couplé a java et vlc) il doit avoir 2 ports ouvert en direction de la Freebox l'un en udp 1234 l'autre en tcp sur le port 8080.

Je vais donc attendre ... attendre, attendre