• [^] # Re: logique

    Posté par . En réponse au message serveur debian. Évalué à 1.

    pour une meilleure lecture :

    mettre des variables au debut du script
    # interface connectée à internet
    INET = eth0
    # interface connectée au LAN
    ILAN = eth1

    je jouerais avec les regles de forward et les ports

    genre

    - je bloque tous les forwards sur les 2 cartes

    iptables - A FORWARD -p all -i $ILAN -o $INET -j DROP
    iptables - A FORWARD -p all -i $INET -o $ILAN -j DROP


    - ensuite j'ouvre uniquement le DNS (53) et le WEB (80) depuis le LAN vers le NET, pas besoin de forcer le retour

    iptables - A FORWARD -p all -dport 53 -i $ILAN -o $INET -j DROP

    iptables - A FORWARD -p all -dport 80 -i $ILAN -o $INET -j DROP


    - enfin, j'active le masquerading

    iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

    echo 1 > /proc/sys/net/ipv4/ip_forward


    et pour memoire sur l'ordre des regles, il me semble qu'en general on a les regles suivantes :

    #
    # PREROUTING -> INPUT -> POSTROUTING
    #
    # PREROUTING -> FORWARD -> POSTROUTING
    #
    # OUTPUT -> POSTROUTING