OpenWRT et iptables : autoriser une connexion à un VPN externe

OpenWRT et iptables : autoriser une connexion à un VPN externe - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 15-09-2010 à 00:43:30    

J'utilise un routeur avec openwrt d'installer : tout fonctionne bien pour moi, cependant aucune des machines dans le réseau ne peut se connecter à un serveur VPN (pptp, windows) externe.

 

C'est d'après mes frénétiques recherches un problème de firewall, et la réponse la plus pertinente que j'ai trouvée est : I just add the following rule more.

 

-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

 

(source http://forums.fedoraforum.org/sosa [...] hp?t=63572 )

 

Mais cela dépasse pas mal mes compétences. Auriez-vous des réponses ?

 

[edit]

Code :
  1. root@OpenWrt:/etc# iptables -L
  2. Chain INPUT (policy ACCEPT)
  3. target     prot opt source               destination       
  4. DROP       all  --  anywhere             anywhere            state INVALID
  5. ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
  6. ACCEPT     all  --  anywhere             anywhere           
  7. syn_flood  tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,ACK/SYN
  8. input_rule  all  --  anywhere             anywhere           
  9. input      all  --  anywhere             anywhere           
  11. Chain FORWARD (policy DROP)
  12. target     prot opt source               destination       
  13. zone_wan_MSSFIX  all  --  anywhere             anywhere           
  14. DROP       all  --  anywhere             anywhere            state INVALID
  15. ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
  16. forwarding_rule  all  --  anywhere             anywhere           
  17. forward    all  --  anywhere             anywhere           
  18. reject     all  --  anywhere             anywhere           
  20. Chain OUTPUT (policy ACCEPT)
  21. target     prot opt source               destination       
  22. DROP       all  --  anywhere             anywhere            state INVALID
  23. ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
  24. ACCEPT     all  --  anywhere             anywhere           
  25. output_rule  all  --  anywhere             anywhere           
  26. output     all  --  anywhere             anywhere           
  28. Chain forward (1 references)
  29. target     prot opt source               destination       
  30. zone_lan_forward  all  --  anywhere             anywhere           
  31. zone_wan_forward  all  --  anywhere             anywhere           
  33. Chain forwarding_lan (1 references)
  34. target     prot opt source               destination       
  36. Chain forwarding_rule (1 references)
  37. target     prot opt source               destination       
  39. Chain forwarding_wan (1 references)
  40. target     prot opt source               destination       
  42. Chain input (1 references)
  43. target     prot opt source               destination       
  44. zone_lan   all  --  anywhere             anywhere           
  45. zone_wan   all  --  anywhere             anywhere           
  47. Chain input_lan (1 references)
  48. target     prot opt source               destination       
  50. Chain input_rule (1 references)
  51. target     prot opt source               destination       
  53. Chain input_wan (1 references)
  54. target     prot opt source               destination       
  56. Chain output (1 references)
  57. target     prot opt source               destination       
  58. zone_lan_ACCEPT  all  --  anywhere             anywhere           
  59. zone_wan_ACCEPT  all  --  anywhere             anywhere           
  61. Chain output_rule (1 references)
  62. target     prot opt source               destination       
  64. Chain reject (5 references)
  65. target     prot opt source               destination       
  66. REJECT     tcp  --  anywhere             anywhere            reject-with tcp-reset
  67. REJECT     all  --  anywhere             anywhere            reject-with icmp-port-unreachable
  69. Chain syn_flood (1 references)
  70. target     prot opt source               destination       
  71. RETURN     tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,ACK/SYN limit: avg 25/sec burst 50
  72. DROP       all  --  anywhere             anywhere           
  74. Chain zone_lan (1 references)
  75. target     prot opt source               destination       
  76. input_lan  all  --  anywhere             anywhere           
  77. zone_lan_ACCEPT  all  --  anywhere             anywhere           
  79. Chain zone_lan_ACCEPT (2 references)
  80. target     prot opt source               destination       
  81. ACCEPT     all  --  anywhere             anywhere           
  82. ACCEPT     all  --  anywhere             anywhere           
  84. Chain zone_lan_DROP (0 references)
  85. target     prot opt source               destination       
  86. DROP       all  --  anywhere             anywhere           
  87. DROP       all  --  anywhere             anywhere           
  89. Chain zone_lan_MSSFIX (0 references)
  90. target     prot opt source               destination       
  91. TCPMSS     tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
  93. Chain zone_lan_REJECT (1 references)
  94. target     prot opt source               destination       
  95. reject     all  --  anywhere             anywhere           
  96. reject     all  --  anywhere             anywhere           
  98. Chain zone_lan_forward (1 references)
  99. target     prot opt source               destination       
  100. zone_wan_ACCEPT  all  --  anywhere             anywhere           
  101. forwarding_lan  all  --  anywhere             anywhere           
  102. zone_lan_REJECT  all  --  anywhere             anywhere           
  104. Chain zone_wan (1 references)
  105. target     prot opt source               destination       
  106. ACCEPT     udp  --  anywhere             anywhere            udp dpts:10001:20000
  107. ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:443
  108. ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:22
  109. ACCEPT     udp  --  anywhere             anywhere            udp dpt:68
  110. input_wan  all  --  anywhere             anywhere           
  111. zone_wan_REJECT  all  --  anywhere             anywhere           
  113. Chain zone_wan_ACCEPT (2 references)
  114. target     prot opt source               destination       
  115. ACCEPT     all  --  anywhere             anywhere           
  116. ACCEPT     all  --  anywhere             anywhere           
  118. root@OpenWrt:/etc# iptables -L
  119. Chain INPUT (policy ACCEPT)
  120. target     prot opt source               destination       
  121. DROP       all  --  anywhere             anywhere            state INVALID
  122. ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
  123. ACCEPT     all  --  anywhere             anywhere           
  124. syn_flood  tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,ACK/SYN
  125. input_rule  all  --  anywhere             anywhere           
  126. input      all  --  anywhere             anywhere           
  128. Chain FORWARD (policy DROP)
  129. target     prot opt source               destination       
  130. zone_wan_MSSFIX  all  --  anywhere             anywhere           
  131. DROP       all  --  anywhere             anywhere            state INVALID
  132. ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
  133. forwarding_rule  all  --  anywhere             anywhere           
  134. forward    all  --  anywhere             anywhere           
  135. reject     all  --  anywhere             anywhere           
  137. Chain OUTPUT (policy ACCEPT)
  138. target     prot opt source               destination       
  139. DROP       all  --  anywhere             anywhere            state INVALID
  140. ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
  141. ACCEPT     all  --  anywhere             anywhere           
  142. output_rule  all  --  anywhere             anywhere           
  143. output     all  --  anywhere             anywhere           
  145. Chain forward (1 references)
  146. target     prot opt source               destination       
  147. zone_lan_forward  all  --  anywhere             anywhere           
  148. zone_wan_forward  all  --  anywhere             anywhere           
  150. Chain forwarding_lan (1 references)
  151. target     prot opt source               destination       
  153. Chain forwarding_rule (1 references)
  154. target     prot opt source               destination       
  156. Chain forwarding_wan (1 references)
  157. target     prot opt source               destination       
  159. Chain input (1 references)
  160. target     prot opt source               destination       
  161. zone_lan   all  --  anywhere             anywhere           
  162. zone_wan   all  --  anywhere             anywhere           
  164. Chain input_lan (1 references)
  165. target     prot opt source               destination       
  167. Chain input_rule (1 references)
  168. target     prot opt source               destination       
  170. Chain input_wan (1 references)
  171. target     prot opt source               destination       
  173. Chain output (1 references)
  174. target     prot opt source               destination       
  175. zone_lan_ACCEPT  all  --  anywhere             anywhere           
  176. zone_wan_ACCEPT  all  --  anywhere             anywhere           
  178. Chain output_rule (1 references)
  179. target     prot opt source               destination       
  181. Chain reject (5 references)
  182. target     prot opt source               destination       
  183. REJECT     tcp  --  anywhere             anywhere            reject-with tcp-reset
  184. REJECT     all  --  anywhere             anywhere            reject-with icmp-port-unreachable
  186. Chain syn_flood (1 references)
  187. target     prot opt source               destination       
  188. RETURN     tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,ACK/SYN limit: avg 25/sec burst 50
  189. DROP       all  --  anywhere             anywhere           
  191. Chain zone_lan (1 references)
  192. target     prot opt source               destination       
  193. input_lan  all  --  anywhere             anywhere           
  194. zone_lan_ACCEPT  all  --  anywhere             anywhere           
  196. Chain zone_lan_ACCEPT (2 references)
  197. target     prot opt source               destination       
  198. ACCEPT     all  --  anywhere             anywhere           
  199. ACCEPT     all  --  anywhere             anywhere           
  201. Chain zone_lan_DROP (0 references)
  202. target     prot opt source               destination       
  203. DROP       all  --  anywhere             anywhere           
  204. DROP       all  --  anywhere             anywhere           
  206. Chain zone_lan_MSSFIX (0 references)
  207. target     prot opt source               destination       
  208. TCPMSS     tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
  210. Chain zone_lan_REJECT (1 references)
  211. target     prot opt source               destination       
  212. reject     all  --  anywhere             anywhere           
  213. reject     all  --  anywhere             anywhere           
  215. Chain zone_lan_forward (1 references)
  216. target     prot opt source               destination       
  217. zone_wan_ACCEPT  all  --  anywhere             anywhere           
  218. forwarding_lan  all  --  anywhere             anywhere           
  219. zone_lan_REJECT  all  --  anywhere             anywhere           
  221. Chain zone_wan (1 references)
  222. target     prot opt source               destination       
  223. ACCEPT     udp  --  anywhere             anywhere            udp dpts:10001:20000
  224. ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:443
  225. ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:22
  226. ACCEPT     udp  --  anywhere             anywhere            udp dpt:68
  227. input_wan  all  --  anywhere             anywhere           
  228. zone_wan_REJECT  all  --  anywhere             anywhere           
  230. Chain zone_wan_ACCEPT (2 references)
  231. target     prot opt source               destination       
  232. ACCEPT     all  --  anywhere             anywhere           
  233. ACCEPT     all  --  anywhere             anywhere           
  235. Chain zone_wan_DROP (0 references)
  236. target     prot opt source               destination       
  237. DROP       all  --  anywhere             anywhere           
  238. DROP       all  --  anywhere             anywhere           
  240. Chain zone_wan_MSSFIX (1 references)
  241. target     prot opt source               destination       
  242. TCPMSS     tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
  244. Chain zone_wan_REJECT (2 references)
  245. target     prot opt source               destination       
  246. reject     all  --  anywhere             anywhere           
  247. reject     all  --  anywhere             anywhere           
  249. Chain zone_wan_forward (1 references)
  250. target     prot opt source               destination       
  251. ACCEPT     udp  --  anywhere             192.168.1.3         udp dpts:10001:20000
  252. ACCEPT     tcp  --  anywhere             192.168.1.2         tcp dpt:443
  253. ACCEPT     tcp  --  anywhere             192.168.1.2         tcp dpt:22
  254. forwarding_wan  all  --  anywhere             anywhere           
  255. zone_wan_REJECT  all  --  anywhere             anywhere
 

Merci !


Message édité par guepe le 15-09-2010 à 02:07:56

---------------
Un blog qu'il est bien
Reply

Marsh Posté le 15-09-2010 à 00:43:30   

Reply

Marsh Posté le 15-09-2010 à 07:40:41    

il y a peu de chances que ce soit ça : en effet ta règle est en -j REJECT, ce qui veut dire qu'elle va dropper des paquets et pas en autoriser. En plus la chaine RH-Firewallblah n'existe pas chez toi.
 
J'ai pas relu les rules mais normalement openwrt autorise tout en sortie par défaut.

Message cité 1 fois

---------------
uptime is for lousy system administrators what Viagra is for impotent people - mes unixeries - github me
Reply

Marsh Posté le 15-09-2010 à 16:53:12    

black_lord a écrit :

il y a peu de chances que ce soit ça : en effet ta règle est en -j REJECT, ce qui veut dire qu'elle va dropper des paquets et pas en autoriser. En plus la chaine RH-Firewallblah n'existe pas chez toi.
 
J'ai pas relu les rules mais normalement openwrt autorise tout en sortie par défaut.


Pourtant, cela ne marche pas… pour aucun VPN que j'ai pu tester. Il doit bien y avoir quelque chose…


---------------
Un blog qu'il est bien
Reply

Marsh Posté le 16-09-2010 à 08:54:55    

Poua , quelle bouille ...  
Guepe, tu pourrais éditer ton code? Tu as collé 2x la même chose.
Par contre il y a un truc qui me turlupine ...
 

Code :
  1. # Chain INPUT (policy ACCEPT)
  2. # target     prot opt source               destination     
  3. # DROP       all  --  anywhere             anywhere            state INVALID
  4. # ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
  5. # ACCEPT     all  --  anywhere             anywhere         
  6. # syn_flood  tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,ACK/SYN
  7. # input_rule  all  --  anywhere             anywhere         
  8. # input      all  --  anywhere             anywhere


 
Je ne comprend pas l'utilité de mettre les choses dans cet ordre. Le 1er accept est de toutes façons "englobé" dans le 2ème non?
Et quoi qu'il arrive, le 2ème accept laisse tout passer, donc à quoi servent les lignes suivantes?
 
En plus, perso je trouve surprenant de mettre le INPUT en "policy ACCEPT" :o


---------------
Si la vérité est découverte par quelqu'un d'autre,elle perd toujours un peu d'attrait
Reply

Marsh Posté le 16-09-2010 à 15:57:25    

C'est la config par défaut de openwrt, vu que je n'ai jamais touché à cela (ça me dépasse !). Bon j'ai ajouté 2 paquets (qui configurent iptables) en rapport avec pptp, c'est tout.
 
Je vais essayer de supprimer ces paquets et de regarder à nouveau la config, plus la rendre propre, ce sera plus clair.


---------------
Un blog qu'il est bien
Reply

Marsh Posté le 16-09-2010 à 18:49:27    

Tu as essayé de désactive ton parefeu ?

Message cité 1 fois
Reply

Marsh Posté le 16-09-2010 à 18:54:14    

roondar a écrit :

Tu as essayé de désactive ton parefeu ?


Non effectivement, ca permettrait au moins de savoir si c'est lui ou pas. Je testerai, en fait c'est une idée qu'elle est simple et qu'elle est bien  :love:


---------------
Un blog qu'il est bien
Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed