Tag: netfilter

Categories
Computing

Support du suivi de connexion pour IP Virtual Server

Voici la démarche à suivre pour un système sous GNU/Linux Debian avec le noyau 2.6.32 :

  • Ajoutez votre utilisateur dans le groupe src afin de pouvoir travailler dans le répertoire /usr/src :
$ sudo n3oxid src
  • Installez les paquets nécessaires pour la compilation de votre noyau :
$ sudo apt-get install linux-source-2.6.32 \
  kernel-package libncurses5-dev gcc make binutils \
  zlibc zlib1g-dev build-essential
  • Rendez-vous dans le répertoire où se trouve les sources de votre noyau :
$ cd /usr/src
  • Récupérez le patch NFCT correpondant aux sources de votre noyau :
$ wget http://www.ssi.bg/~ja/nfct/ipvs-nfct-2.6.32-1.diff
  • Décompressez les sources de votre noyau, faites un lien symbolique vers le répertoire contenant les sources et rentrer dans le répertoire en question :
$ tar jxvf linux-source-2.6.32.tar.bz2
$ ln –s linux-source-2.6.32 linux
$ cd linux
  • Appliquer le patch NFCT à vos sources :
$ cat ../ipvs-nfct-2.6.32-1.diff | patch –p1
  • Récupérer la configuration actuelle de votre noyau :
$ cp /boot/config-2.6.32-3-686 .config
  • Configurer les sources de votre noyau :
$ make menuconfig
  • Nettoyer de façon préventive les sources de votre noyau :
$ make-kpkg clean
  • Lancez la compilation :
$ make-kpkg --rootcmd fakeroot --initrd \
  --append-to-version=.perso.`date +%Y%m%d` \
  --revision=1.0 kernel-image kernel_headers
  • Installez votre noyau :
$ sudo dpkg -i ../linux-image-2.6.32.csat.20100427_1.1_i386.deb
$ sudo dpkg -i ../linux-headers-2.6.32.csat.20100427_1.1_i386.deb
  • Mettez à jour votre initramfs :
$ sudo update-initramfs -c -k 2.6.32.csat.20100427 –v
  • Mettez à jour les entrées de votre chargeur de démarrage :
$ sudo update-grub


Remarque : les deux dernières actions sont à effectuer uniquement sous GNU/Linux Debian testing suite à un problème rencontré lors de l’installation du noyau via les paquets “.deb” obtenus après compilation ; la mise à jour de l’initramfs ne se fait pas correctement.

Categories
Computing

Gestion du FTP avec NetFilter

Il est sûrement arrivé à plus d’un de vouloir laisser passer un flux FTP sur leur pare-feu NetFilter : Quoi de plus normal ?

Survient alors le fameux épisode du module ip_conntrack_ftp, voir en prime ip_nat_ftp dans le cas d’une translation d’adresse. On se renseigne sur la différence entre active mode et passive mode côté FTP, on rajoute quelques lignes dans NetFilter, puis on finit par tester le tout : ça ne fonctionne pas … Ou tout du moins qu’en partie.

On épluche les logs et on se rend finalement compte que l’authentification s’est correctement effectuée, mais que cela bloque dès lors qu’une commande est envoyée : Mais pourquoi donc ? Vient alors la découverte du module ip_conntrack_ftp, la solution à tous nos soucis. Un suivi de connexion effectué par iptables rien que pour le FTP : n’est ce pas merveilleux ? On s’empresse alors de charger ce fameux module :

# modprobe ip_conntrack_ftp

Puis on relance notre test afin de s’assurer que tout fonctionne.

Cependant nous aimerions bien mettre en place une petite translation de destination. Dans ce cas, nous pensons à bien charger le module adéquat :

# modprobe ip_nat_ftp

Il nous vient soudain une idée : Pourquoi ne pas changer le port par défaut de notre serveur FTP ? 45 au lieu de 21, ça semble pas mal ça ? Sachant qu’en plus de cela nous avons un autre serveur FTP qui est à l’écoute sur le port 44.

On se rend finalement compte que cela ne fonctionne plus, de nouveau. En effet il faut indiquer à ce cher module ip_conntrack_ftp le(s) port(s) que ce dernier doit gérer. Pour ceci, l’option ports est des plus remarquable :

# modprobe ip_conntrack_ftp ports=44,45

Si le module en question était déjà chargé, il est bien sûr nécessaire de le décharger avant de le charger avec la commande précédente :

# rmmod ip_conntrack_ftp

Il peut être enfin appréciable de faire en sorte que tout cela se charge au démarrage de la machine. Sur une distribution telle que GNU/Linux Debian Etch, deux fichiers s’avèrent nécessaires :

  • Le fichier /etc/modules contenant les modules à charger, ligne par ligne, tels que ip_conntrack_ftp et ip_nat_ftp
  • Le fichier /etc/modprob.d/arch/i386 contenant des aliases et options pour les modules à charger. Dans le cas du module ip_conntrack_ftp, il s’agirait d’ajouter la ligne suivante : options ip_conntrack_ftp ports=44,45

On redémarre notre machine et voilà que tout semble fonctionner du premier coup : Que du bonheur !

Categories
Computing

NetFilter : quelques “régles”

Les deux premières leçons à retenir en ce qui concerne NetFilter :

  • Il faut toujours initialiser les cibles par défaut, même pour les chaînes des tables que nous ne pensons peut-être pas utiliser. Il faut en toute situation connaître l’état de de ces cibles. Un script Netfilter devrait donc toujours commencer par :
     # Initialisation de la table FILTER

       iptables -t filter -F

       iptables -t filter -X

       iptables -t filter -P INPUT   DROP

       iptables -t filter -P OUTPUT  DROP

       iptables -t filter -P FORWARD DROP
     # Initialisation de la table NAT

       iptables -t nat -F

       iptables -t nat -X 

       iptables -t nat -P PREROUTING  ACCEPT

       iptables -t nat -P POSTROUTING ACCEPT

       iptables -t nat -P OUTPUT      ACCEPT
     # Initialisation de la table MANGLE

       iptables -t mangle -F

       iptables -t mangle -X 

       iptables -t mangle -P PREROUTING  ACCEPT

       iptables -t mangle -P INPUT       ACCEPT

       iptables -t mangle -P OUTPUT      ACCEPT

       iptables -t mangle -P FORWARD     ACCEPT

       iptables -t mangle -P POSTROUTING ACCEPT
  • En cas de doute, utiliser la commande “iptables -L -v -t table” permettant d’obtenir bon nombre d’informations sur le nombre de paquets pour lesquels s’applique une règle ou un comportement par défaut.