Hello,

  Je ne vois pas d'erreur flagrante; la perf ne devrait pas etre un probleme, parce que le NAT (si tu en as) impose deja l'inspection de chaque paquet et le tracking des connexions, qu'il y ait filtrage ou pas.

  Un probleme potentiel est que tu refuses tout le reste du traffic a destination du routeur, ce qui inclut les requetes dhcp, et les requetes dns si tu utilises un tool comme dnsmasq.

  Tu pourrais supprimer le reject par defaut a la fin de la chaine input, ca permettrait de voir si le probleme vient du limiteur ou du reste du traffic bloque.

Hello,

  Tes règles iptables dans INPUT ne spécifient ni adresse de destination, ni interface source, donc par défaut elles s'appliquent a toutes les interfaces, c'est a dire également le traffic du lan vers le routeur.


  Tu n'indiques pas la topologie de ton réseau, mais DNSMasq fait serveur DHCP pour les clients du lan, et également serveur DNS (il forwarde les requêtes au DNS de ton ISP mais peut en passant ajouter des noms locaux ou autres trucs rigolos). Une requête DNS d'un client vers ton routeur sera vue comme une nouvelle connexion, et RELATED/ESTABLISHED ne la laissera pas passer.

Effectivement, une autre solution serait d'ajouter "-i ppp0" (ou tout autre interface wan) pour que les règles s'appliquent seulement à celles-ci.

  PS: dns est udp/53, pas 63

Bonjour,

Concernant mes règles, tout se passe bien jusqu'a ce que je mette la politique DROP en INPUT malgrès que j'ai ajouter -i vlan1 sur toutes mes règles. Donc ce n'est pas mon limiteur mais bien le reste du traffic bloquant....
Aller savoir pourquoi, mon wireshark hier a refuser de reconnaitre mon interface réseau, donc impossible d'analyser les trames pour voir ou ca plante.
Sinon mes règles fontionne quand meme, par exemple hier quand j'ai écrit mes règles j'étais connecté à mon GMAIL est malgrès le DROP je pouvais accéder à mes autres mails.. J'en ai conclu que mes régles RELATED/ESTABLISHED fonctionner bien. J'ai donc fermé mon browser et je l'ai ré-ouvert, et la plus rien... Impossible de me connecter au WAN, connection SSH perdu avec mon routeur, le DHCP est bloqué, impossible de récup un IP LAN...

Ce soir je vais donc refaire mon iptables mais avant de faire "iptables -P INPUT DROP"
je vais ajouter ces 2 lignes :
iptables -A INPUT -p tcp --dport 67 -j ACCEPT -i vlan1
iptables -A INPUT -p udp --dport 53 -j ACCEPT -i vlan1

Avec ces règles, le DHCP pourra communiquer et le DNS aussi, donc pas de problème pour le surf logiquement..

BOFH, si tu me lis encore, dis moi si je ne raconte pas de bêtises et encore merci pour ton aide.

Hey,

Merci pour ta réponse et ton aide apporté.

Je vais dans un premier temps essayer de faire comme j'ai dit dans mon post précédent, juste pour voir si ces règles fonctionnent et ensuite je verrais pour faire quelque chose de plus propre en effet.

Comme tu le dis, créer des nouvelles chaines input_lan et input_wan est une très bonnes idées pour moi. En revanche, je n'ai pas compris pourquoi il faudrait que je mette ta commande :

iptables -A INPUT -i vlan1 -j ACCEPT au tout début. N'importe quel pare feu lit les règles de haut en bas. Si la 1er est accepter tout le traffic arrivant sur l'interface WAN, tous les paquets vont passer rendant donc mes règles de filtrage derrière inutile, non ?

Concernant les chaine intermédiaires, est-il possible de préciser sur quel interface on agit ? Je veux dire, si je créer une chaine input_lan via la commande :
iptables -N input_lan
est-il possible de rajouter -i br0:0 en plus sur cette commande de manière a ce que de façon implicite toutes les regles dans la chaine input_lan "matcheront" une seul interface, ici br0:0 qui correspond a mon interface LAN ?

Et pour tout ce que tu me donne comme conseil, tu considère que la policy de INPUT est DROP ou ACCEPT ?

Concernant le debugging, je ne crois pas avoir TRACE sur mon routeur linksys, mais je peux toujours logger le traffic que je désire et puis tcpdump coté client pourra aussi m'être utile.

Sachant que les règles que j'ai créer ne servent que de teste et me permettent une meilleur compréhension de la fonction d'iptables.
D'ici quelques semaines je passerai en mode "production" car si ces règles là sont seulement pour sécurisé un peu mon routeur, sur du long terme j'aurai un NAS qui sera accessible depuis l'extérieur que je mettrai surement en DMZ.... Je verrais comment sécurisé tout ca un plus tard car le NAS sera serveur WEB/FTP.
Je te redemanderai surement tes conseils d'ici la, si ca ne te dérange pas ?

Bonne journée à toi

Ok, alors comme j'ai dit plus, je vais testé seulement d'ouvrir les ports DHCP et DNS dans un premier temps voir ce que ca donne.

Ensuite je vais essayer de faire ce que tu me conseil et qui me parait être un choix très judicieux :
iptables -A INPUT -i br0:0 -j ACCEPT

Avec cette commande au moins coté LAN je ne suis pas embêté avec le DHCP/DNS.

Quand tu dis :
"Il faut mettre la condition au moment ou on entre dedans:"

Que veux tu dire par "au moment ou je rentre dedans"... Désolé je suis peut être fatigué mais je n'arrive pas à te suivre...

A la fin tu me dis que pour une question de goût on utilise à la fin une regle par défaut à la fin de la chaine. Donc si l'on prend l'exemple de l'INPUT policy DROP, a la fin tu mettrais quelque chose comme :
iptables -A INPUT -j ACCEPT

Ais-je bien compris ?

je suis désolé je dois passer pour un boulet je n'ai pas eu le temps de lire la doc sur le lien que tu m'as donnée qui est très exhaustive. Je pense qu'on pourrait appeler ca "la bible iptables" :p Meme le man n'est pas aussi complet et concis.

Merci encore pour ton aide précieuse.

Quentin

Bonjour crl,

Je n'ai pas installer OpenWRT mais DD WRT donc je peux pas vraiment t'aider. Je ne pense pas avoir de surcharge maintenant que mes règles de pare feu sont faites correctements.

Maintenant que mes règles sont en place, il n'y a pas de surchage du tout, le processeur tourne a 10-15%... Autant dire que c'est pas la surchage pour lui


BOFH, Merci pour ton aide, entre toi et le lien que tu m'as donnée j'ai finalement réussi a faire ce que je voulais pour le moment. En utilisant les règles dans l'INPUT pour le DNS et DHCP, je n'arrivait pas a surfer.. tcpdump ne m'as pas donnée assez d'info, wireshark toujours au abonné absent hier...

J'ai donc fait un ACCEPT sur l'interface LAN comme premiere règles puis j'ai ajouter les autres règles cité plus haut et la ca marche niquel.

Maintenant dans l'optique d'ouvrir certain port de mon NAS, en particulier le 443, 20-21, as tu une vision des choses précises sur comment faire mes règles ?
Dans l'idéal, j'aurais voulu mettre mon NAS dans une DMZ et ouvrir les port FTP et HTTPS pour que le WAN puisse taper dessus. Je suppose que cela inclut des règles dans l'INPUT pour accepter les connection entrant sur ces 3 ports mais aussi du NAT non ?
Ou est-il possible de créer des règles pour fonctionner comme des zones, comme un pare feu Juniper par exemple. C'est à dire que je pourrai donc faire quelque chose de vraiment propre pour mes régles et faire qqchose comme :
LAN -> LAN
LAN -> DMZ
LAN -> WAN

idem pour DMZ -> LAN DMZ -> WAN.... Je pense que tu as compris. Est-il possible de faire ce genre de chose avec iptables ? Si oui pourrais tu me donner la démarche/logique iptables ?

Merci à toi

Quentin

aah désolé je n'avais pas compris ca dans ce sens.

Non avec DD WRT via le GUI il y a quelques possibilités de modifier le pare feu mais c'est assez pauvre. Après il est peut etre possible de faire des lignes de commandes via le GUI et mettre des CRON.
Je n'ai pas encore saisie comment mon routeur marche complétement. Mais pour répondre a ta question, non il est n'y a pas d'outils direct pour créer les regles.. Après j'ai vu avec FirewallBuilder qui peux créer tes règles de facon précise mais je n'ai pas réussi a upper quoi que se soit sur mon WRT.

@+