logo Debian Debian Debian-France Debian-Facile Debian-fr.org Forum-Debian.fr Debian ? Communautés logo inclusivité

Debian-facile

Bienvenue sur Debian-Facile, site d'aide pour les nouveaux utilisateurs de Debian.

Vous n'êtes pas identifié(e).

#1 07-12-2020 15:58:39

Denver
Membre
Inscription : 26-10-2020

Iptables FORWARD

Bonjour,
Je dois faire du routage avec iptables.
J'ai un serveur Web dans un réseau 192.168.10.0 et un client dans un réseau 192.168.0.0
Les deux machines sont reliés par un routeur debian.

Je dois autoriser l'accès web uniquement pour mon client.
Je précise que j'utilise links pour faire afficher la page web de mon serveur, juste pour faire des tests.

Voici les iptables que j'ai essayé:

iptables -A FORWARD -p tcp --dport 80 -s 192.168.0.5 -j ACCEPT
iptables -A FORWARD -p tcp --dport 80 -s 192.168.10.5 -j ACCEPT



Je précise que ma table FORWARD est en DROP. Lorsqu'elle est en ACCEPT, ma connexion web à mon serveur fonctionne.
Donc l'erreur doit venir de mes iptables, or je ne vois pas où ..

Pourriez-vous m'aider svp ?
Merci big_smile

Hors ligne

#2 07-12-2020 16:49:51

raleur
Membre
Inscription : 03-10-2014

Re : Iptables FORWARD

L'erreur est dans la règle qui doit accepter les paquets émis par le serveur, qui ont le port source 80 et non le port destination.
D'autre part tes règles ne sont pas très propres car elles permettent au client d'envoyer des paquets vers le port 80 de n'importe quelle machine située de l'autre côté du routeur, et au serveur d'envoyer des paquets depuis le port 80 vers n'importe quelle machine située de l'autre côté du routeur.

Il y a d'autres façons plus fiables d'identifier les paquets de réponse du serveur, en utilisant l'état du suivi de connexion (-m state ou conntrack) ESTABLISHED.
Par exemple :

iptables -A FORWARD -p tcp -s 192.168.0.5 -d 192.168.10.5 --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED -j ACCEPT


La première règle n'autorise que les paquets du client vers le port 80 du serveur, et la seconde autorise seulement les paquets de réponse.


Il vaut mieux montrer que raconter.

Hors ligne

Pied de page des forums