[resolu] nfs à travers un firewall (pf -openbsd)

nfs à travers un firewall (pf -openbsd) [resolu] - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 09-06-2004 à 12:56:22    

Bonjour,
 
J'ai un chtit probleme avec nfs et un firewall.
l'archi est la suivante  
 
 
serveur NFS -------------------openbsd -----------------client 1
                                         \------------------------client 2
 
 
Les clients arrivent bien à monter le nfs, a y accéder pendant 10secondes.  
Au bout de ces 10secondes, la machine cliente indique qu'elles n'arrivent pas à acceder au serveur nfs ... je ne comprends pas du tout [:mlc]
 
 
Sur le serveur NFS j'ai forcé l'utilisation de port particulier pour rpc.nfsd, rpc.statsd et rpc.mountd.
Sur le firewall en "pass all" ca marche impec (merci conti) mais on dirait que nfs utilise d'autre port ... enfin zarb :/
 

Code :
  1. serveur:/home/gug# rpcinfo -p
  2.    program vers proto   port
  3.     100000    2   tcp    111  portmapper
  4.     100000    2   udp    111  portmapper
  5.     100003    2   udp   2049  nfs
  6.     100003    2   tcp   2049  nfs
  7.     100005    1   udp    923  mountd
  8.     100005    2   udp    923  mountd
  9.     100005    1   tcp    923  mountd
  10.     100005    2   tcp    923  mountd
  11.     100024    1   udp   1024  status
  12.     100024    1   tcp   1024  status
  13. serveur:/home/gug#


 
le firewall pf :  
 

Code :
  1. #interfaces
  2. loop= "lo0"
  3. net_if= "de0"
  4. lan_if= "vr0"
  5. dmz_if= "vr1"
  7. #network
  8. lan= "192.168.1.0/24"
  9. dmz= "192.168.0.0/24"
  11. #machine
  12. proxy= "192.168.0.6"
  13. ldap= "192.168.0.5"
  16. #comportement par defaut
  17. set block-policy drop
  20. #normalisation des paquets
  21. #scrub in all
  23. #definition des ports
  24. tcp_dmz_net = "{ 80, 443 }"
  25. #udp_dmz_net = "{ 53 }"
  27. tcp_lan_dmz_proxy = "{ 3128, 22, 5432, 923, 2049, 111, 1024 }"
  28. tcp_lan_dmz_ldap = "{ 389, 22 }"
  29. udp_lan_dmz = "{ 53, 111, 2049, 923, 1024 }"
  31. #adresse non routable
  32. #NO_route= "{ 127.0.0.1/8, 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 255.255.255.255/32 }"
  33. NO_route= "{ 127.0.0.1/8, 172.16.0.0/12, 10.0.0.0/8 }"
  35. #-------------NAT aka TRANSLATION --------------------#
  36. #du proxy vers internet
  37. nat on $net_if from $proxy to any -> $net_if
  39. #des clients vers les serveurs/dmz
  40. #nat on $dmz_if from $lan to $dmz -> $dmz_if
  41. #-------------REGLE DE FILTRAGE-----------------#
  42. #pass all
  43. block all
  45. #Antispoof
  46. antispoof for $loop inet
  47. antispoof for $net_if inet
  49. #Accepte pour le loop
  50. pass in quick on $loop all
  51. pass out quick on $loop all
  53. #Bloque les scans nmap et les tentatives de prise d'empreinte de la pile tcp/ip
  54. block in log quick on $net_if inet proto tcp from any to any flags FUP/FUP
  55. block in log quick on $net_if inet proto tcp from any to any flags SF/SFRA
  56. block in log quick on $net_if inet proto tcp from any to any flags/SFRA
  58. #On bloque les adresses non routables
  59. block in log quick on $net_if from $NO_route to any
  60. block out log quick on $net_if from any to $NO_route
  62. #--------------LOCAL --------------------------#
  63. #Accepte les connections ssh sur lan_if et dmz_if
  64. pass in log quick on $lan_if inet proto tcp from $lan to $lan_if port 22 modulate state
  65. pass in log quick on $dmz_if inet proto tcp from $dmz to $dmz_if port 22 modulate state
  68. #----------- PROXY vers exterieur ----------------#
  69. #TCP tcp_dmz_net
  70. pass in quick on $dmz_if inet proto tcp from $proxy to any port $tcp_dmz_net modulate state
  71. pass out quick on $net_if inet proto tcp from $net_if to any port $tcp_dmz_net modulate state
  73. #UDP udp_dmz_net DNS
  74. pass in quick on $dmz_if inet proto udp from $proxy to any port 53 keep state
  75. pass out quick on $net_if inet proto udp from $net_if to any port 53 keep state
  77. #FTP
  78. pass in quick on $dmz_if inet proto tcp from $proxy to any port 21 modulate state
  79. pass in quick on $dmz_if inet proto tcp from $proxy to any port >1024 modulate state
  81. pass out quick on $net_if inet proto tcp from $net_if to any port 21 modulate state
  82. pass out quick on $net_if inet proto tcp from $net_if to any port >1024 modulate state
  84. #ICMP
  85. pass in quick on $dmz_if inet proto icmp from $proxy to any icmp-type 8 code 0 keep state
  86. pass out quick on $net_if inet proto icmp from $net_if to any icmp-type 8 code 0 keep state
  88. pass in quick on $dmz_if inet proto icmp from $proxy to any icmp-type 11 keep state
  89. pass out quick on $net_if inet proto icmp from $net_if to any icmp-type 11 keep state
  92. #------------ LAN VERS DMZ ---------------------#
  93. #TCP tcp_lan_dmz_proxy
  94. pass in quick on $lan_if inet proto tcp from $lan to $proxy port $tcp_lan_dmz_proxy modulate state
  95. pass out quick on $dmz_if inet proto tcp from $lan to $proxy port $tcp_lan_dmz_proxy modulate state
  97. #TCP LDAP
  98. pass in quick on $lan_if inet proto tcp from $lan to $ldap port $tcp_lan_dmz_ldap modulate state
  99. pass out quick on $dmz_if inet proto tcp from $lan to $ldap port $tcp_lan_dmz_ldap modulate state
  101. #ICMP
  102. pass in quick on $lan_if inet proto icmp from $lan to $dmz icmp-type 8 code 0 keep state
  103. pass out quick on $dmz_if inet proto icmp from $lan to $dmz icmp-type 8 code 0 keep state
  105. pass in quick on $lan_if inet proto icmp from $lan to $dmz icmp-type 11 keep state
  106. pass out quick on $dmz_if inet proto icmp from $lan to $dmz icmp-type 11 keep state
  108. #UDP DNS
  109. pass in quick on $lan_if inet proto udp from $lan to $proxy port $udp_lan_dmz keep state
  110. pass out quick on $dmz_if inet proto udp from $lan to $proxy port $udp_lan_dmz keep state
  113. # ------------ DMZ vers LAN ------------------#
  114. #ICMP
  115. pass in quick on $dmz_if inet proto icmp from $dmz to $lan icmp-type 8 code 0 keep state
  116. pass out quick on $lan_if inet proto icmp from $lan_if to $lan icmp-type 8 code 0 keep state
  118. pass in quick on $dmz_if inet proto icmp from $dmz to $lan icmp-type 11 keep state
  119. pass out quick on $lan_if inet proto icmp from $lan_if to $lan icmp-type 11 keep state
  121. #SSH
  122. pass in quick on $dmz_if inet proto tcp from $dmz to $lan port 22 modulate state
  123. pass out quick on $lan_if inet proto tcp from $lan_if to $lan port 22 modulate state
  126. #----------------- DHCRELAY ------------------#
  127. pass in quick on $lan_if inet proto udp from 0.0.0.0 port 68 to 255.255.255.255 port 67 keep state
  128. #pass out quick on $lan_if inet proto udp from $lan_if port 67 to any port 68
  130. #pass in quick on $dmz_if inet proto udp from 192.168.0.6 to $dmz_if port 67
  131. pass out quick on $dmz_if inet proto udp from $dmz_if port 67 to 192.168.0.6 port 67 keep state
  134. #des serveurs ver le lan
  135. #nat on $lan_if from $dmz to $lan -> $lan_if
  138. #-------------REGLE DE FILTRAGE-----------------#
  139. #pass all
  140. block all
  142. #Antispoof
  143. antispoof for $loop inet
  144. antispoof for $net_if inet
  146. #Accepte pour le loop
  147. pass in quick on $loop all
  148. pass out quick on $loop all
  150. #Bloque les scans nmap et les tentatives de prise d'empreinte de la pile tcp/ip
  151. block in log quick on $net_if inet proto tcp from any to any flags FUP/FUP
  152. block in log quick on $net_if inet proto tcp from any to any flags SF/SFRA
  153. block in log quick on $net_if inet proto tcp from any to any flags/SFRA
  155. #On bloque les adresses non routables
  156. block in log quick on $net_if from $NO_route to any
  157. block out log quick on $net_if from any to $NO_route
  159. #--------------LOCAL --------------------------#
  160. #Accepte les connections ssh sur lan_if et dmz_if
  161. pass in log quick on $lan_if inet proto tcp from $lan to $lan_if port 22 modulate state
  162. pass in log quick on $dmz_if inet proto tcp from $dmz to $dmz_if port 22 modulate state
  165. #----------- PROXY vers exterieur ----------------#
  166. #TCP tcp_dmz_net
  167. pass in quick on $dmz_if inet proto tcp from $proxy to any port $tcp_dmz_net modulate state
  168. pass out quick on $net_if inet proto tcp from $net_if to any port $tcp_dmz_net modulate state
  170. #UDP udp_dmz_net DNS
  171. pass in quick on $dmz_if inet proto udp from $proxy to any port 53 keep state
  172. pass out quick on $net_if inet proto udp from $net_if to any port 53 keep state
  174. #FTP
  175. pass in quick on $dmz_if inet proto tcp from $proxy to any port 21 modulate state
  176. pass in quick on $dmz_if inet proto tcp from $proxy to any port >1024 modulate state
  178. pass out quick on $net_if inet proto tcp from $net_if to any port 21 modulate state
  179. pass out quick on $net_if inet proto tcp from $net_if to any port >1024 modulate state
  181. #ICMP
  182. pass in quick on $dmz_if inet proto icmp from $proxy to any icmp-type 8 code 0 keep state
  183. pass out quick on $net_if inet proto icmp from $net_if to any icmp-type 8 code 0 keep state
  185. pass in quick on $dmz_if inet proto icmp from $proxy to any icmp-type 11 keep state
  186. pass out quick on $net_if inet proto icmp from $net_if to any icmp-type 11 keep state
  189. #------------ LAN VERS DMZ ---------------------#
  190. #TCP tcp_lan_dmz_proxy
  191. pass in quick on $lan_if inet proto tcp from $lan to $proxy port $tcp_lan_dmz_proxy modulate state
  192. pass out quick on $dmz_if inet proto tcp from $lan to $proxy port $tcp_lan_dmz_proxy modulate state
  194. #TCP LDAP
  195. pass in quick on $lan_if inet proto tcp from $lan to $ldap port $tcp_lan_dmz_ldap modulate state
  196. pass out quick on $dmz_if inet proto tcp from $lan to $ldap port $tcp_lan_dmz_ldap modulate state
  198. #ICMP
  199. pass in quick on $lan_if inet proto icmp from $lan to $dmz icmp-type 8 code 0 keep state
  200. pass out quick on $dmz_if inet proto icmp from $lan to $dmz icmp-type 8 code 0 keep state
  202. pass in quick on $lan_if inet proto icmp from $lan to $dmz icmp-type 11 keep state
  203. pass out quick on $dmz_if inet proto icmp from $lan to $dmz icmp-type 11 keep state
  205. #UDP DNS
  206. pass in quick on $lan_if inet proto udp from $lan to $proxy port $udp_lan_dmz keep state
  207. pass out quick on $dmz_if inet proto udp from $lan to $proxy port $udp_lan_dmz keep state
  210. # ------------ DMZ vers LAN ------------------#
  211. #ICMP
  212. pass in quick on $dmz_if inet proto icmp from $dmz to $lan icmp-type 8 code 0 keep state
  213. pass out quick on $lan_if inet proto icmp from $lan_if to $lan icmp-type 8 code 0 keep state
  215. pass in quick on $dmz_if inet proto icmp from $dmz to $lan icmp-type 11 keep state
  216. pass out quick on $lan_if inet proto icmp from $lan_if to $lan icmp-type 11 keep state
  218. #SSH
  219. pass in quick on $dmz_if inet proto tcp from $dmz to $lan port 22 modulate state
  220. pass out quick on $lan_if inet proto tcp from $dmz to $lan port 22 modulate state
  223. #----------------- DHCRELAY ------------------#
  224. pass in quick on $lan_if inet proto udp from 0.0.0.0 port 68 to 255.255.255.255 port 67 keep state
  225. #pass out quick on $lan_if inet proto udp from $lan_if port 67 to any port 68
  227. #pass in quick on $dmz_if inet proto udp from 192.168.0.6 to $dmz_if port 67
  228. pass out quick on $dmz_if inet proto udp from $dmz_if port 67 to 192.168.0.6 port 67 keep state


 
merci d'avance
 
(comment chuis en galere)


Message édité par GUG le 14-06-2004 à 14:21:27
Reply

Marsh Posté le 09-06-2004 à 12:56:22   

Reply

Marsh Posté le 09-06-2004 à 14:37:58    

Au demarrage du client firewall activé, ca monte bien ...
 
J'ai ca :
Jun  9 14:47:47 WKS02 kernel: nfs: server 192.168.0.6 not responding, still trying
Jun  9 14:48:04 WKS02 kernel: nfs: server 192.168.0.6 not responding, still trying
 
 
Lorsque je passe le firewall en pass all :
Jun  9 14:49:17 WKS02 kernel: nfs: server 192.168.0.6 OK
 
:'(
il ne me reste que ca :/


Message édité par GUG le 09-06-2004 à 14:39:55
Reply

Marsh Posté le 09-06-2004 à 18:39:28    

Si en cette chaude soirée, une personne passe par la ;)

Reply

Marsh Posté le 09-06-2004 à 18:42:18    

t'as essaye un sniff histoire de voir quel port il essaye de contacter ???

Reply

Marsh Posté le 09-06-2004 à 18:48:19    

oui mais j'ai rien vu de spécial ...


Message édité par GUG le 09-06-2004 à 18:48:25
Reply

Marsh Posté le 09-06-2004 à 18:49:14    

tu l'as placé à quel niveau ?

Reply

Marsh Posté le 09-06-2004 à 18:52:04    

au niveau du client :/
j'airais du le placer au niveau du firewall plustot :'(

Reply

Marsh Posté le 09-06-2004 à 18:56:27    

ben un peu ouais :D

Reply

Marsh Posté le 09-06-2004 à 18:56:57    

:lol:  
je vais changer de metier moa :'(

Reply

Marsh Posté le 09-06-2004 à 18:57:45    

BTS IG option ARL ?

Reply

Marsh Posté le 09-06-2004 à 18:57:45   

Reply

Marsh Posté le 09-06-2004 à 18:58:34    

oui :/ et j'apprends rien en cours :'(

Reply

Marsh Posté le 09-06-2004 à 21:02:41    

:heink:
C'est quoi ces "block all" et "pass all" dans ton fichier? Je vois pas l'intéret, même pour des tests, étant donné que ce n'est pas stateful.
Tes règles ont l'air ok. Apparement, mountd est bien bindé.
Pour savoir ce qui déconne, utilisation de tcpdump, simultannément (plusieurs consoles) à une visualisation via tcpdump des logs du firewall lorsque tu montes via NFS.
tcpdump -n -e -ttt -i pflog0

Reply

Marsh Posté le 09-06-2004 à 21:55:43    

axey vient de me doner la reponse, je n'avais pas vu honte à moi :'(
 
no-df
    Supprime le bit don't fragment de l'en-tête du paquet IP. Quelques systèmes d'exploitation sont connus pour générer des paquets fragmentés avec le bit don't fragment positionné. Ceci est particulièrement vrai dans le cas de NFS. scrub va bloquer tous les paquets qui sont dans ce cas sauf si l'option no-df est spécifiée. Vu que certains systèmes d'exploitation génèrent des paquets don't fragment avec un champ d'identification à zéeo au niveau de l'en-tête IP, il est recommandé d'utiliser no-df conjointement avec l'option random-id.

Reply

Marsh Posté le 09-06-2004 à 22:18:24    

black_lord a écrit :

BTS IG option ARL ?


 
c'est clair :D je suis passé par là :D
 
sinon bravo axey
 
gourou openBSD [:prosterne]

Reply

Marsh Posté le 09-06-2004 à 22:20:02    

he oui (pour le bts) et clair que axey maitrise bien le bordel :D
 
j'essairais ca lundi ...
 
 
(ps t as cliqué sur le bouton de citation un rang trop haut ;))


Message édité par GUG le 09-06-2004 à 22:20:51
Reply

Marsh Posté le 09-06-2004 à 22:23:20    

GUG a écrit :

he oui (pour le bts) et clair que axey maitrise bien le bordel :D
 
j'essairais ca lundi ...
 
 
(ps t as cliqué sur le bouton de citation un rang trop haut ;))


 
oops [:cupra]
 
c'est quand tes épreuves pratiques ?

Reply

Marsh Posté le 09-06-2004 à 22:24:10    

le 16 soit mercredi :) et demain je part à Limoges  
me restera un ou deux jours pour tout mettre en branle
 
edit : blabla ;)


Message édité par GUG le 09-06-2004 à 22:25:47
Reply

Marsh Posté le 09-06-2004 à 22:26:37    

tu apportes tes machines ?
 
généralement le matos part en couille la veille et le jour même.
 
j'avais eu 19 en pratique :sol:

Reply

Marsh Posté le 09-06-2004 à 22:27:27    

black_lord a écrit :

tu apportes tes machines ?
 
généralement le matos part en couille la veille et le jour même.
 
j'avais eu 19 en pratique :sol:


hehe :) j'ai eu 19 a ma soutenance de stage  :sol:  
J'ai le matos du bahu :/ et en effet c'est pas le pied, je croise les doigts

Reply

Marsh Posté le 09-06-2004 à 22:32:40    

GUG a écrit :

hehe :) j'ai eu 19 a ma soutenance de stage  :sol:  
J'ai le matos du bahu :/ et en effet c'est pas le pied, je croise les doigts


 
pareil :o

Reply

Marsh Posté le 09-06-2004 à 22:39:31    

pas juste :p peut meme pas enfin bref  [:god]  
je vise plustot le 15/16 pour mes pti ;)

Reply

Marsh Posté le 14-06-2004 à 14:20:55    

c'est bon ca marche :) :love:

Reply

Marsh Posté le    

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed