Bonjour, merci pour la réponse, j'ai une règle de type ACCEPT source any destination any. Elle semble fonctionnelle, et je pensais qu'elle prendrait le dessus sur les autres règles déjà présentes. Ce ne serait pas le cas ?
voici ma table OUTPUT : Chain OUTPUT (policy ACCEPT) target prot opt source destination LOGDROP tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,PSH,URG LOGDROP tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,PSH,ACK,URG LOGDROP tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,ACK,URG LOGDROP tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,PSH,ACK,URG/NONE LOGDROP tcp -- anywhere anywhere tcp flags:SYN,RST/SYN,RST LOGDROP tcp -- anywhere anywhere tcp flags:FIN,SYN/FIN,SYN LOGACCEPT all -- anywhere anywhere LOGACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED LOGACCEPT tcp -- monserver.mondomaine.fr server2.mondomaine.fr tcp dpt:8140 LOGACCEPT tcp -- monserver.mondomaine.fr server.mondomaine.fr tcp dpt:ldap [...] LOGACCEPT all -- monserver.mondomaine.fr anywhere LOGDROP all -- anywhere anywhere Quel commande sur iptables permet de traiter/qualifier les paquets 'INVALID' ? D'avance merci Hugo 2010/7/23 Pascal Hambourg <[email protected]> > Salut, > > Hugo Deprez a écrit : > > >> j'ai installé hping3 sur une lenny. Mon serveur est firewallé avec >> iptables, >> j'autorise tout en sortie. >> Par contre quand j'exécute la commande suivante : >> >> $ sudo /usr/sbin/hping3 -V 192.168.0.1 -p 21 >> using eth0, addr: 192.168.0.2, MTU: 1500 >> HPING 192.168.0.1 (eth0 192.168.0.2): NO FLAGS are set, 40 headers + 0 >> data >> bytes >> [send_ip] sendto: Operation not permitted >> >> Voici le log de l'iptables : >> >> Jul 23 11:35:12 monhost kernel: [2990025.691301] [FW-DROP] IN= OUT=eth0 >> SRC=192.168.0.2 DST=192.168.0.1 LEN=40 TOS=0x00 PREC=0x00 TTL=64 >> ID=8599 PROTO=TCP SPT=1655 DPT=21 WINDOW=512 RES=0x00 URGP=0 UID=0 GID=0 >> > > Visiblement cette commande envoie un paquet TCP sans aucu flag (notamment > SYN), donc le suivi de connexion de netfilter le classe probablement dans > l'état INVALID. Il faudrait regarder s'il n'y a pas une règle iptables dans > OUTPUT ou une chaîne utilisateur appelée depuis là qui bloque les paquets > sortants dans l'état INVALID (ce qui serait assez logique quand on fait du > filtrage à état puisqu'une éventuelle réponse reçue serait forcément classée > INVALID elle aussi et bloquée). > > > -- > Lisez la FAQ de la liste avant de poser une question : > http://wiki.debian.org/fr/FrenchLists > > Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" > vers [email protected] > En cas de soucis, contactez EN ANGLAIS [email protected] > Archive: http://lists.debian.org/[email protected] > >
