Gandi.net Groups

Bonjour, 
   je rencontre un problème sur l'intégration de shorewall sur une
machine virtualisée Xen Gandi. 

Lorsque shorewall n'est pas installé, je ping sans problème les
serveurs. Mais à partir du moment ou j'installe shorewall, et qu'il
charge les modules ip_tables et x_tables, il devient impossible de
pinguer les serveurs.

Avez-vous déjà rencontré ce problème et trouvé une solution ?

Merci à vous

pareil pour moi

Le 14 mai 2008 à 12:02 CEST, Guillaume CHERAMY a écrit :

Bonjour, 
   je rencontre un problème sur l'intégration de shorewall sur une
machine virtualisée Xen Gandi. 

Lorsque shorewall n'est pas installé, je ping sans problème les
serveurs. Mais à partir du moment ou j'installe shorewall, et qu'il
charge les modules ip_tables et x_tables, il devient impossible de
pinguer les serveurs.

Avez-vous déjà rencontré ce problème et trouvé une solution ?

Merci à vous

Le 14 mai 2008 à 12:02 CEST, Guillaume CHERAMY a écrit :

Lorsque shorewall n'est pas installé, je ping sans problème les
serveurs. Mais à partir du moment ou j'installe shorewall, et qu'il
charge les modules ip_tables et x_tables, il devient impossible de
pinguer les serveurs.

Bonjour,

Je n'ai jamais utilisé shorewall, mais plutôt kmyfirewall et j'édite
parfois directement des règles pour netfilter (avec la commande
iptables). Mais je pense que shorewall n'est qu'une interface comme
kmyfirewall pour éditer les règles destinées à netfilter.

J'en déduis qu'il n'y a rien d'anormal en soi à ce qu'une fois
"shorewall actif" il ne soit plus possible de pinguer votre serveur.

Il est tout à fait possible de définir une règle netfilter pour
empêcher les requêtes ping d'obtenir une réponse. Et il n'y a rien
d'étonnant à ce que shorewall fasse une règle par défaut empêchant
les ping. Cela fait en quelque sort parti des règles de bases pour un
firewall.

Pour résumer, je pense que shorewall ne fait que son travail, et qu'il
vous appartient de configurer correctement celui ci si vous voulez
obtenir une réponse de votre serveur aux requêtes ICMP (ping)

J'attire toutefois votre attention sur les manipulations faite sur un
firewall sur une machine distante. Votre seul moyen de dialoguer avec
celle ci est la liaison ethernet. Il est malheureusement très facile de
définir des règles netfilter qui rende la machine totalement "sourde"
aux requêtes extérieures.

Donc avant d'installer un nouveau jeu de règles, vérifier bien celle
ci en les appliquant et en faisant des tests sans les installer.

De cette façon, vous aurez toujours au moins la possibilité de
redémarrer la machine avec l'ancien jeu de règles en rebootant celle
ci par l'interface web Gandi.

Voila, bon courage.

PatDef

PS :
- appliquer des règles Netfilter, c'est utiliser la commande iptables
pour charger les règles de filtrage des paquets ethernet.

- Installer des règles Netfilter, c'est mettre dans les fichiers de
configuration des scripts de chargement automatique au démarrage des
règles Netfilter.

Dans les 2 cas, le filtrage des données ethernet est actif, mais dans
le second cas on ne peux plus les "effacer" par un redémarrage de la
machine, puisque celle ci va les réinstaller automatiquement.