Forums FUG-FR - Redirection de port avec packet filter

dexinou

Full Member

Offline

BSD forever

Posts: 139
/home/web
Gender: male

Redirection de port avec packet filter
21. Sep 2007 at 17:45

Bonjour,
j'utilise Freebsd depuis quelque temps déjà et j'en suis vraiment heureux.
Je voudrais rediriger un port d'écoute du serveur BSD qui me sert de passerelle/firewall vers un pc en local.
mais je ne sais pas quoi mettre comme règle dans PF.

Le port est le 3389 et l'ip physique locale est 192.168.0.100
Comment faire ?

Merci de votre aide
@ bientôt

Back to top

FreeBSD
6.2-RELEASE /
Apache
1.3.41 (Unix) /
PHP
5.2.6 /
MySQL
5.0.51a&&We'll can do great things...

WWW

IP Logged

fgudin Global Moderator Offline PouetPouetBSD roul3z Posts: 1552 Thonon (74) Gender:	Re: Redirection de port avec packet filter Reply #1 - 21. Sep 2007 at 17:53 Tu peux utiliser une directive 'rdr' (cf. pf.conf(5) en particulier "Translation examples").
Back to top	Tintin à Redmond IP Logged

dexinou

Full Member

Offline

BSD forever

Posts: 139
/home/web
Gender: male

Re: Redirection de port avec packet filter
Reply #2 - 21. Sep 2007 at 17:59

fgudin wrote on 21. Sep 2007 at 17:53:

Tu peux utiliser une directive 'rdr' (cf. pf.conf(5) en particulier "Translation examples").

Merci pour ton attention mais il me met une erreur lorsque je fais ça:

rdr on $ext_if proto tcp from any to any port 3389 -> 192.168.0.100 port 3389

[edit] mea culpa, j'ai mi un O au lieu d'un 0

Back to top

« Last Edit: 21. Sep 2007 at 18:08 by dexinou »

FreeBSD
6.2-RELEASE /
Apache
1.3.41 (Unix) /
PHP
5.2.6 /
MySQL
5.0.51a&&We'll can do great things...

WWW

IP Logged

dexinou Full Member Offline BSD forever Posts: 139 /home/web Gender:	Re: Redirection de port avec packet filter Reply #3 - 21. Sep 2007 at 18:20 mais ça ne marche pas la redirection ne fonctionne pas j'ai du faire un truc qui ne va pas.
Back to top	« Last Edit: 21. Sep 2007 at 18:26 by dexinou » FreeBSD 6.2-RELEASE / Apache 1.3.41 (Unix) / PHP 5.2.6 / MySQL 5.0.51a&&We'll can do great things... WWW IP Logged

fgudin

Global Moderator

Offline

PouetPouetBSD roul3z

Posts: 1552
Thonon (74)
Gender: male

Re: Redirection de port avec packet filter
Reply #4 - 21. Sep 2007 at 18:48

Qu'est-ce qui te fait dire que ça ne fonctionne pas ?: quels tests ? Ton firewall est bien dans un état correct (correctement flushé/reloadé la configuration) ?

Sinon, pour débugger, tu peux jouer avec pfctl(8) -s... ou, encore mieux, mettre un peu de loggage dans ton pf.conf (cf. pflogd(8) pour l'utilisation, car le log doit être utilisé avec tcpdump(1)).

Si tu veux poster ton jeu de règles ici, pense éventuellement à brouiller un peu ce qui pourrait être sensible (en remplacant les IP par d'autres, de façon uniforme, s'entend, sinon on risque d'avoir encore plus de mal pour y voir clair

)

Back to top

Tintin à Redmond

IP Logged

dexinou

Full Member

Offline

BSD forever

Posts: 139
/home/web
Gender: male

Re: Redirection de port avec packet filter
Reply #5 - 21. Sep 2007 at 19:07

fgudin wrote on 21. Sep 2007 at 18:48:

Qu'est-ce qui te fait dire que ça ne fonctionne pas ?: quels tests ? Ton firewall est bien dans un état correct (correctement flushé/reloadé la configuration) ?

Sinon, pour débugger, tu peux jouer avec pfctl(8) -s... ou, encore mieux, mettre un peu de loggage dans ton pf.conf (cf. pflogd(8) pour l'utilisation, car le log doit être utilisé avec tcpdump(1)).

Si tu veux poster ton jeu de règles ici, pense éventuellement à brouiller un peu ce qui pourrait être sensible (en remplacant les IP par d'autres, de façon uniforme, s'entend, sinon on risque d'avoir encore plus de mal pour y voir clair

)

Ben voilà je vais essayer d'expliquer clairement la situation.

J'utilise bsd comme paserrelle/router dans un réseau qui compte plus ou moins 100 pc linux,mac et windows.
On utilise un contrôleur de domaine (Windows server 2003 R2) et les utlisateurs sont géré via active directory.
Ce serveur a comme ip interne 192.168.0.100

Pour diverse raison je dois m'absenter et je dois gérer le contrôleur de domaine par l'extérieur..bah oui.
J'utilise pour ça Remote Desktop ou Connexion à distance si tu veux et via une interface graphique j'accède au bureau du serveur 2003.

Mais voilà par le réseau ça marche à merveille mais par l'extérieur je suis bloqué au niveau du pare-feu, je le sais car j'ai fais un test via un pc de l'extérieur et un nmap via un serveur externe pour m'afficher l'état de mes ports.

Aucune connexion ne se fait via remote desktop et le scan de port ne m'affiche aucun port 3389 ouvert.

Back to top

« Last Edit: 22. Sep 2007 at 07:27 by dexinou »

FreeBSD
6.2-RELEASE /
Apache
1.3.41 (Unix) /
PHP
5.2.6 /
MySQL
5.0.51a&&We'll can do great things...

WWW

IP Logged

fgudin

Global Moderator

Offline

PouetPouetBSD roul3z

Posts: 1552
Thonon (74)
Gender: male

Re: Redirection de port avec packet filter
Reply #6 - 21. Sep 2007 at 20:51

Il me semble que ta règle rdr devrait porter sur ext_if plutôt:
Code:

rdr on $ext_if inet proto tcp from any to ($ext_if) port 3389 -> 192.168.0.100

Au passage: question sécurité, je ne sais pas ce que vaut rdesktop. J'aurais tendance à faire une ouverture pour SSH puis à transporter le flux rdesktop dans un tunnel, d'autant plus que ça permet d'utiliser d'autres mécanismes de sécurité (pub key, white list sur la source de la connexion - que tu pourrais d'ailleurs utiliser également au niveau du filtrage réseau)

Back to top

« Last Edit: 21. Sep 2007 at 20:57 by fgudin »

Tintin à Redmond

IP Logged

dexinou

Full Member

Offline

BSD forever

Posts: 139
/home/web
Gender: male

Re: Redirection de port avec packet filter
Reply #7 - 21. Sep 2007 at 21:05

fgudin wrote on 21. Sep 2007 at 20:51:

Il me semble que ta règle rdr devrait porter sur ext_if plutôt:
Code:

rdr on $ext_if inet proto tcp from any to ($ext_if) port 3389 -> 192.168.0.100

Au passage: question sécurité, je ne sais pas ce que vaut rdesktop. J'aurais tendance à faire une ouverture pour SSH puis à transporter le flux rdesktop dans un tunnel, d'autant plus que ça permet d'utiliser d'autres mécanismes de sécurité (pub key, white list sur la source de la connexion - que tu pourrais d'ailleurs utiliser également au niveau du filtrage réseau)

Merci pour la correction Wink

Ton idée de tunneling via ssh m'intéresse.
Comment indiquer a PF que l'on veut faire du tunneling ?

Back to top

FreeBSD
6.2-RELEASE /
Apache
1.3.41 (Unix) /
PHP
5.2.6 /
MySQL
5.0.51a&&We'll can do great things...

WWW

IP Logged

dexinou Full Member Offline BSD forever Posts: 139 /home/web Gender:	Re: Redirection de port avec packet filter Reply #8 - 21. Sep 2007 at 21:09 ça marche. Merci pour tout. Je vais faire des recherche pour le tunneling via ssh. @ bientôt
Back to top	« Last Edit: 21. Sep 2007 at 21:52 by dexinou » FreeBSD 6.2-RELEASE / Apache 1.3.41 (Unix) / PHP 5.2.6 / MySQL 5.0.51a&&We'll can do great things... WWW IP Logged

fgudin

Global Moderator

Offline

PouetPouetBSD roul3z

Posts: 1552
Thonon (74)
Gender: male

Re: Redirection de port avec packet filter
Reply #9 - 21. Sep 2007 at 21:19

Pas de complication côté FW, tout se fait dans SSH:

à la place de l'ouverture de flux rdesktop, tu fais un 'rdr' vers une machine qui va te servir de point d'accès:
Code:
```
rdr on $ext_if inet proto tcp from chez_toi to ($ext_if) port ssh -> ton_point_d_entree 
```

chez toi:
Code:

ssh -L 3389:192.168.0.100:3389 ext_if_du_firewall

après ça, tu lances ton client RDesktop en le faisant pointer localement:
Code:
```
rdesktop 127.0.0.1... 
```

Back to top

Tintin à Redmond

IP Logged

dexinou Full Member Offline BSD forever Posts: 139 /home/web Gender:	Re: Redirection de port avec packet filter Reply #10 - 21. Sep 2007 at 21:56 Si j'ai bien compris l'astuce... le chez_toi correspond à mon lan. le ton_point_d_entree correspond au point d'accès. et le rdesktop 127.0.0.1 c'est la connexion via le point d'accès vers le serveur ?
Back to top	FreeBSD 6.2-RELEASE / Apache 1.3.41 (Unix) / PHP 5.2.6 / MySQL 5.0.51a&&We'll can do great things... WWW IP Logged

fgudin

Global Moderator

Offline

PouetPouetBSD roul3z

Posts: 1552
Thonon (74)
Gender: male

Re: Redirection de port avec packet filter
Reply #11 - 21. Sep 2007 at 22:05

'chez_toi': l'IP publique que te donne ton ISP (à ton domicile), si elle est statique; sinon, remplace simplement par "any" (c'est une sécurité facultative)
'ton_point_d_entree': ton poste de travail ou une autre machine sur laquelle tu puisses te logger en SSH et qui pourra accéder au OuinOuin en RDesktop
'ton_appli_cliente_rdesktop 127.0.0.1' sera lancée depuis ta machine perso après avoir monté la connexion et le tunnel SSH (ce dernier se mettra en place dès l'authentification réussie, c'est le rôle du paramètre "-L 3389:192.168.0.100:3389")

Back to top

Tintin à Redmond

IP Logged

dexinou

Full Member

Offline

BSD forever

Posts: 139
/home/web
Gender: male

Re: Redirection de port avec packet filter
Reply #12 - 22. Sep 2007 at 07:19

fgudin wrote on 21. Sep 2007 at 22:05:

'chez_toi': l'IP publique que te donne ton ISP (à ton domicile), si elle est statique; sinon, remplace simplement par "any" (c'est une sécurité facultative)
'ton_point_d_entree': ton poste de travail ou une autre machine sur laquelle tu puisses te logger en SSH et qui pourra accéder au OuinOuin en RDesktop
'ton_appli_cliente_rdesktop 127.0.0.1' sera lancée depuis ta machine perso après avoir monté la connexion et le tunnel SSH (ce dernier se mettra en place dès l'authentification réussie, c'est le rôle du paramètre "-L 3389:192.168.0.100:3389")

Bien compris Wink

Et pour le paramètre ext_if_du_firewall je dois mettre une ip ? ou une interface ?
Si c'est l'ip externe du firewall, elle est dynamique et ça pourrais poser problème.

Dans tous les cas merci.

Back to top

« Last Edit: 22. Sep 2007 at 07:30 by dexinou »

FreeBSD
6.2-RELEASE /
Apache
1.3.41 (Unix) /
PHP
5.2.6 /
MySQL
5.0.51a&&We'll can do great things...

WWW

IP Logged

fgudin

Global Moderator

Offline

PouetPouetBSD roul3z

Posts: 1552
Thonon (74)
Gender: male

Re: Redirection de port avec packet filter
Reply #13 - 23. Sep 2007 at 14:08

dexinou wrote on 22. Sep 2007 at 07:19:

Si c'est l'ip externe du firewall, elle est dynamique et ça pourrais poser problème.

Quelques idées: la plus logique, coller un nom de domaine à ton firewall (dyndns.org). Sinon, tu peux (en mode bricole infâme) te mailer l'IP publique du FW lorsqu'elle change (exercice au bon soin du lecteur).
Et peut-être le mieux: trouver un vrai IAP qui te fournisse une IP fixe, au moins (surtout pour un accès d'entreprise). Quelques-uns le font gratuitement, sans même avoir à dire "s'il vous plait"...

Back to top

Tintin à Redmond

IP Logged

	Welcome, Guest. Please Login