pense-bête de bruno sanchiz

dynamique DNS

bruno — 2023-11-13T21:51:14Z

Utile quand notre ip changez couramment.

ddclient

ddclient - utilitaire de mise à jour d'adresses pour des services DNS dynamiques
https://doc.ubuntu-fr.org/ddclient

Fournisseurs de service de DNS dynamique :

no-ip.com freedns.afraid.org duckdns.org domains.gogole www.dyndns.com www.easydns.com www.dslreports.com www.zoneedit.com

autres programmes

inadyn - simple and small dynamic DNS client with HTTPS support
tinydyndns - pop-before-dyndns service using djbdns
userv-dyndns - dynamic DNS for shell account users

livebox

https://assistance.orange.fr/livebox-modem/toutes-les-livebox-et-modems/installer-et-utiliser/piloter-et-parametrer-votre-materiel/le-parametrage-avance-reseau-nat-pat-ip/dns/livebox-configurer-un-service-dns-dynamique_188820-730441

ipv4 ipv6

bruno — 2023-10-29T15:40:18Z

test de sa connecitivté chez lafibre.info/
fun mooc ipv6
gns3
tutoriel sur GNS3

echo net.ipv6.conf.all.disable_ipv6 = 1 > /etc/sysctl.d/disableipv6.conf echo net.ipv6.conf.default.disable_ipv6 = 1 >> /etc/sysctl.d/disableipv6.conf echo net.ipv6.conf.lo.disable_ipv6 = 1 >> /etc/sysctl.d/disableipv6.conf sysctl -p -f /etc/sysctl.d/disableipv6.conf

#remarque
dans le fichier /etc/avahi/avahi-daemon.conf, on a :

	use-ipv4=yes use-ipv6=yes

fail2ban

bruno — 2019-10-11T13:17:52Z

quelques sites
https://www.debian-fr.org/t/recidive-fail2ban/80355/5
https://www.debian-fr.org/t/fail2ban-ssh/1974/4
https://doc.ubuntu-fr.org/fail2ban

installation

sudo apt-get install fail2ban

quelques configurations à mettre dans /etc/fail2ban/jail.local

précédemment on pouvis utiliser /etc/fail2ban/jail.local jail.d/custom.conf ,

[sshd] ignoreip = 127.0.0.1 255.25.12.24 findtime = 3600 bantime = 8640000 maxretry = 4

Ce qui signifie : totues les heures on vérifie les tentatives d'intrusion et si une ip a plus de 4 erreurs on la bannit pour 8640000 secondes, sauf si c'est 255.25.12.24 ou 127.0.0.1

sudo sed 's#backend = auto#backend = systemd#' -i /etc/fail2ban/jail.local
Vérification de l'utilisation : sudo systemctl status fail2ban

erreur

fail2ban: ERROR Failed during configuration: Have not found any log file for sshd jail
En cas d'utilisation de systemd, il faut mettre backend = systemd dans /etc/fail2ban/jail.conf, par exemple,
sudo sed 's#backend = auto#backend = systemd#' -i /etc/fail2ban/jail.conf

liste des jail :
fail2ban-client status
exemple de résultat : Status |- Number of jail: 1 - Jail list: sshd

débannir :
fail2ban-client set [nom du jail] unbanip [IP concerné]
exemple fail2ban-client set sshd unbanip 255.25.12.24
bannir une ip fail2ban-client set [nom du jail] banip [IP à bannir]
liste des ip bannies pour ssh
sudo fail2ban-client get sshd banned
liste des ip bannies
sudo fail2ban-client banned

infos :
man 5 jail.conf

partage en réseau local : installation de samba

bruno — 2017-07-28T17:22:16Z

Un certain nombre de programmes sont associés : dpkg -l |egrep "samba|smb"

python-samba, python-smbc, python3-smbc : Python bindings for Samba
gadmin-samba interface à samba : à essayer
libsmbclient samba samba-common samba-common-bin samba-dsdb-modules samba-libs samba-vfs-modules smbclient vlc-plugin-samba

Des fichiers de configuration installés sont liés :

/etc/cron.daily/samba
/etc/init/nmbd.conf
/etc/init/reload-smbd.conf
/etc/init/samba-ad-dc.conf
/etc/init/smbd.conf
/etc/init.d/nmbd
/etc/init.d/samba
/etc/init.d/samba-ad-dc
/etc/init.d/smbd
/etc/logrotate.d
/etc/logrotate.d/samba
/etc/ufw
/etc/ufw/applications.d
/etc/ufw/applications.d/samba /etc/samba/tls

Des programmes sont utilisables :
samba :

/usr/bin/eventlogadm
/usr/bin/oLschema2ldif
/usr/bin/pdbedit
/usr/bin/profiles
/usr/bin/sharesec
/usr/bin/smbcontrol
/usr/bin/smbstatus
/usr/sbin/mksmbpasswd
/usr/sbin/nmbd
/usr/sbin/samba
/usr/sbin/samba_dnsupdate
/usr/sbin/samba_spnupdate
/usr/sbin/samba_upgradedns
/usr/sbin/smbd

smbclient :

/usr/bin/cifsdd
/usr/bin/findsmb
/usr/bin/rpcclient
/usr/bin/smbcacls
/usr/bin/smbclient
/usr/bin/smbcquotas
/usr/bin/smbget
/usr/bin/smbspool
/usr/bin/smbtar
/usr/bin/smbtree

samba-common-bin :

/usr/bin/dbwrap_tool
/usr/bin/net
/usr/bin/nmblookup
/usr/bin/samba-regedit
/usr/bin/samba-tool
/usr/bin/smbpasswd
/usr/bin/testparm

En fonctionnement on aura :
ps aux |grep smb :

4 fois usr/sbin/smbd -D
5 fois /usr/lib/gvfs/gvfsd-smb --spawner :1.9 /org/gtk/gvfs/exec_spaw/15
1 fois /usr/lib/gvfs/gvfsd-smb-browse --spawner :1.9 /org/gtk/gvfs/exec_spaw/2

testparm -s

testparm -s
Load smb config files from /etc/samba/smb.conf
rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
WARNING: The "syslog" option is deprecated
Processing section "[homes]"
Processing section "[printers]"
Processing section "[print$]"
Loaded services file OK.
Server role: ROLE_STANDALONE # Global parameters
[global] log file = /var/log/samba/log.%m max log size = 1000 syslog = 0 panic action = /usr/share/samba/panic-action %d usershare allow guests = Yes map to guest = Bad User obey pam restrictions = Yes pam password change = Yes passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* . passwd program = /usr/bin/passwd %u server role = standalone server unix password sync = Yes dns proxy = No idmap config * : backend = tdb [homes] comment = Home Directories browseable = No create mask = 0700 directory mask = 0700 valid users = %S [printers] comment = All Printers path = /var/spool/samba browseable = No printable = Yes printer name = Photosmart-6520-series create mask = 0700 guest ok = Yes read only = No [print$] comment = Printer Drivers path = /var/lib/samba/printers

smbtree ( demande le mot de passe )

WORKGROUP \\ORDISOUSWINDOWS7 \\ORDISOUSLINUXMINT ORDISOUSLINUXMINT server (Samba, Linux Mint) \\ORDISOUSLINUXMINT\Bureau “” \\ORDISOUSLINUXMINT\Bureau-Prec \\ORDISOUSLINUXMINT\Musique “” \\ORDISOUSLINUXMINT\HP-LaserJet-2100-Series-2	HP LaserJet 2100 USB P55A @ OrdiSousDebian9 \\ORDISOUSLINUXMINT\Hewlett-Packard-HP-LaserJet-2100-Series	Hewlett-Packard HP LaserJet 2100 Series \\ORDISOUSLINUXMINT\Stylus-Photo-R1800	EPSON Stylus Photo R1800 @ OrdiSousDebian9 \\ORDISOUSLINUXMINT\PDF PDF \\ORDISOUSLINUXMINT\Photosmart-6520-series	HP Photosmart 6520 series @ OrdiSousDebian9 \\ORDISOUSLINUXMINT\Stylus-SX200-2 EPSON Stylus SX200 @ OrdiSousDebian9 \\ORDISOUSLINUXMINT\HP-Photosmart-6520-series	HP Photosmart 6520 series \\ORDISOUSLINUXMINT\IPC$ IPC Service (ORDISOUSLINUXMINT server (Samba, Linux Mint)) \\ORDISOUSLINUXMINT\print$ Printer Drivers	\\FREEBOX_SERVER Freebox Server \\FREEBOX_SERVER\IPC$ IPC Service (Freebox Server) \\FREEBOX_SERVER\Disque dur AutoShare of fbxhdiskd partition 2 \\OrdiSousDebian9 Samba 4.5.8-Debian \\OrdiSousDebian9\Epson_Epson_Stylus_Photo_R1800	Epson Epson Stylus Photo R1800 \\OrdiSousDebian9\HP-LaserJet-2100-Series-2	HP LaserJet 2100 USB P55A \\OrdiSousDebian9\Stylus-Photo-R1800	EPSON Stylus Photo R1800 \\OrdiSousDebian9\PDF PDF \\OrdiSousDebian9\Photosmart-6520-series	HP Photosmart 6520 series \\OrdiSousDebian9\Stylus-SX200-2 EPSON Stylus SX200 \\OrdiSousDebian9\IPC$ IPC Service (Samba 4.5.8-Debian) \\OrdiSousDebian9\print$ Printer Drivers

https://wiki.debian.org/DebianDesktopHowTo
- adduser sambashare
- create a "sambaguest" user and add the following to the global section of /etc/samba/smb.conf
  guest account = sambaguest
- To ensure that files created by samba guests are locally accessible, add this to the global section of /etc/samba/smb.conf :
  inherit permissions = yes
- Also remember to "chmod g+s" the directories of writable shares to be setguid dirs and set their read/write permissions according to the allowed samba users (i.e. publicly to enable guest access).
- If your router does not resolve local hostnames correctly, and your ISPs DNS servers respond with false IPs instead of returning "unknown", also enable the "name resolve order" line (remove the " ;") and move "host" to the end of the list.

des aides complémentaires ou redondantes se trouvent ici

commandes réseaux en vrac

bruno — 2017-07-03T02:00:11Z

programmes à installer : apt-get install bind9-dnsutils bind9-host ethtool fail2ban ifupdown iproute2 iptables knot-dnsutils lsof net-tools nmap rcpbind tcpdump whois wireshark-qt

ip, ifquery, host, route, dig, kdig, lsof, netstat, nmap, iptables, wireshark, whois, tcpdump

Liste des ip d'un réseau local ; nmap -sn 192.168.1.0/24

anciennes commandes net-tools	commandes iproute2 de remplacement
arp	ip n (ip neighbor)
ifconfig	ip a (ip addr), ip link, ip -s (ip -stats)
iptunnel	ip tunnel
nameif	ip link
netstat	ss, ip route (pour netstat -r), ip -s link (pour netstat -i), ip maddr (pour netstat -g)
route	ip r (ip route)

changer une adresse ip

sudo ifconfig eth0 192.168.1.13
sudo ip addr add 192.168.56.21/24 dev eth1

détruire une adresse ip

sudo ip addr del 192.168.56.21/24 dev eth1

ip a

1: lo:  mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever preferred_lft forever inet6 ::1/128 scope host valid_lft forever preferred_lft forever FIL : 2: eth0:  mtu 1500 qdisc pfifo_fast state UP group default qlen 1000 link/ether aa:bb:cc:dd:ee:ff brd ff:ff:ff:ff:ff:ff inet 192.168.1.100/24 brd 192.168.1.255 scope global eth0 valid_lft forever preferred_lft forever WIFI : 2: wlp4s0:  mtu 1500 qdisc mq state UP group default qlen 1000 link/ether aa:00:11:22:33:44 brd ff:ff:ff:ff:ff:ff inet 192.168.1.46/24 brd 192.168.1.255 scope global dynamic noprefixroute wlp4s0 valid_lft 26668sec preferred_lft 26668sec inet6 aaaa:bbbb:cccc:dddd:1111:2222:3333:4444/64 scope global dynamic noprefixroute valid_lft 85988sec preferred_lft 85988sec inet6 fe80::5555:6666:7777:8888/64 scope link noprefixroute valid_lft forever preferred_lft forever

ip -4 route ( remplace route -vn )

default via 192.168.1.254 dev eth0 onlink 169.254.0.0/16 dev eth0 scope link metric 1000 192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.100

ip -6 route ( pour IPV6 )

::1 dev lo proto kernel metric 256 pref medium aaaa:bbbb:cccc:dddd::/64 dev wlp4s0 proto ra metric 601 pref medium fe80::/64 dev wlp4s0 proto kernel metric 601 pref medium default via fe80::1111:2222:3333:4444 dev wlp4s0 proto ra metric 601 pref medium

sudo ifquery eth0

address: 192.168.1.100 netmask: 255.255.255.0 gateway: 192.168.1.254 broadcast: 192.168.1.255

sudo ifup -a

allumer toutes les interfaces réseau définies dans /etc/network/interfaces qui ont la configuration auto

sudo ifconfig eth0

eth0: flags=4163 mtu 1500 inet 192.168.1.100 netmask 255.255.255.0 broadcast 192.168.1.255 ether aa:bb:cc:dd:ee:ff txqueuelen 1000 (Ethernet) RX packets 1332076 bytes 1722271296 (1.6 GiB) RX errors 0 dropped 12 overruns 0 frame 0 TX packets 653812 bytes 219610481 (209.4 MiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

sudo route : Table de routage IP du noyau

Destination	Passerelle	Genmask	Indic	Metric	Ref	Use	Iface
default	192.168.1.254	0.0.0.0	UG	0	0	0	eth0
link-local	*	255.255.0.0	U	1000	0	0	eth0
192.168.1.0	*	255.255.255.0	U	0	0	0	eth0

host free.fr

free.fr has address 212.27.48.10 free.fr has IPv6 address 2a01:e0c:1::1 free.fr mail is handled by 10 mx1.free.fr. free.fr mail is handled by 20 mx2.free.fr

dig free.fr

Interrogation de servers de nom ( DNS) : voir https://www.bortzmeyer.org/dns-sb.html
exemple :
dig @1.1.1.1 disclose.ngo
kdig +tls @2a09:: disclose.ngo
kdig +https=/dns-query @2001:910:800::12 sci-hub.se

donne entre autre le DNS ( SERVER : 192.168.1.254#53(192.168.1.254))

; <<>> DiG 9.11.5-P4-5.1+deb10u6-Debian <<>> free.fr ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 40693 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1 ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;free.fr. IN	A ;; ANSWER SECTION: free.fr. 64036	IN	A	212.27.48.10 ;; Query time: 8 msec ;; SERVER: 192.168.1.254#53(192.168.1.254) ;; WHEN: ven. janv. 07 02:22:44 CET 2022 ;; MSG SIZE rcvd: 52

sudo lsof -i:22

regarder ce qui se passe sur un port

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME sshd 2679 root 3u IPv4 11626 0t0 TCP *:ssh (LISTEN) sshd 2679 root 4u IPv6 11628 0t0 TCP *:ssh (LISTEN) ssh 6530 moi 3u IPv4 491091 0t0 TCP ordi1:42424->192.168.1.20:ssh (ESTABLISHED)

sudo netstat -latuepn |egrep ":22|PID"

regarder ce qui se passe sur un port

Proto Recv-Q Send-Q Adresse locale Adresse distante Etat Utilisatr Inode PID/Program name tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 0 32857 1160/sshd tcp6 0 0 :::22 :::* LISTEN 0 32859 1160/sshd

tester les ports d'une ip

nmap -PN ip
sur android : à essayer
- Wifi Analyzer par Kevin Yuan : trouve les réseaux
- Net Scan par Nick Circelli : ping le réseau local
- Network Discovery for Android par Aubort Jean-Baptiste

rpcinfo pour connaitre les programmes rpc : obsolète

rpcinfo -s : programme rpc enregistrés
- résultat : 100000 2,3,4 local,udp,tcp,udp6,tcp6 portmapper superuser 100024 1 tcp6,udp6,tcp,udp status 107
rpcinfo -p : programmes rpc
- résultat : 100000 4 tcp 111 portmapper 100000 3 tcp 111 portmapper 100000 2 tcp 111 portmapper 100000 4 udp 111 portmapper 100000 3 udp 111 portmapper 100000 2 udp 111 portmapper 100024 1 udp 39904 status 100024 1 tcp 37805 status

firewall : ip : bloquer débloquer

bloquer une ip : iptables -A INPUT -s 88.190.200.113 -j DROP
débloquer une ip : iptables -D INPUT -s 88.190.200.113 -j DROP
stats (Comment avoir les statistiques iptables sur les bloquages de packets ?) : iptables -L -v
bloquer en entrée une plage d'adresse IP : iptables -A INPUT -p tcp --dport 25 -m iprange --src-range 118.166.0.0-118.166.255.255 -j DROP

associer nom de domaine et ip :

host dindoun.lautre.net
whois dindoun.lautre.net

sudo wireshark -i eth0 -k

sudo tcpdump -i eth0 src net 192.168.0.100

sudo tcpdump -i eth0 src 192.168.0.175 and dst 192.168.0.1 and port 80 and tcp

tcpdump : option -XX When parsing and printing, in addition to printing the headers of each packet,
print the data of each packet, including its link level header, in hex and ASCII.

tcpdump : option -s0 Setting snaplen to 0 means use the required length to catch whole packets.

capturer un mot de passe FTP :
# tcpdump -XX -s0 -i eth0 tcp and port 21 | grep -A1 PASS

– Récupérer un cookie de session, d'un utilisateur authentifié sur un site web :
# tcpdump -XX -s0 -i eth0 port 80 | grep -i -A5 Cookie

– Capturer des emails envoyés sur le réseau (ici on prend une longueur de 20 lignes, à adapter selon la taille du message) :
# tcpdump -XX -s0 -i eth0 port 25 | grep -i -A20 From- capturer des conversations msn (longueur de 10 lignes à adapter aussi selon la taille du message) :
# tcpdump -XX -s0 -i eth0 port 1863 | grep -A10 "text/plain"

fail2ban

/etc/hosts

cat /etc/hosts.deny |grep -v "#"

ALL: .google.,.google,google.

SECURE_LOG = /var/log/auth.log HOSTS_DENY = /etc/hosts.deny PURGE_DENY = BLOCK_SERVICE = sshd DENY_THRESHOLD_INVALID = 5 DENY_THRESHOLD_VALID = 10 DENY_THRESHOLD_ROOT = 1 DENY_THRESHOLD_RESTRICTED = 1 WORK_DIR = /var/lib/denyhosts SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS=YES HOSTNAME_LOOKUP=YES LOCK_FILE = /var/run/denyhosts.pid ADMIN_EMAIL = root@localhost SMTP_HOST = localhost SMTP_PORT = 25 SMTP_FROM = DenyHosts  SMTP_SUBJECT = DenyHosts Report AGE_RESET_VALID=5d AGE_RESET_ROOT=25d AGE_RESET_RESTRICTED=25d AGE_RESET_INVALID=10d DAEMON_LOG = /var/log/denyhosts DAEMON_SLEEP = 30s DAEMON_PURGE = 1h

FTP : transfert de fichiers par le réseau

bruno — 2017-03-23T21:39:00Z

FTP

LFTP

L'idée est de transférer automatiquement un répertoire par ftp

transfert automatique du répertoire local aaaaa dans le répertoire distant bbbbb après l'avoir créé sur le site avec login :motdepasse

lftp ftp://login:motdepasse@site -e "mirror -e -R aaaaa /bbbbb ; quit"

ATTENTION : les deux répertoires seront identiques, les fichiers dans /bbbbb/ sont détruits s'ils n'existent pas dans aaaaa/

EN PARTICULIER :

lftp ftp://login:motdepasse@site -e "mirror -e -R aaaaa / ; quit"

détruit tout sur le site qui n'est pas dans aaaaa/

on peut trouver des infos ici

Connaître ses IP

bruno — 2016-05-01T17:06:35Z

Qu'est-ce que l'IP ?

L'IP est une façon de différencier les ordinateurs les uns des autres sur le réseau internet.
Un ordinateur a toujours plusieurs IP en même temps.

L'IP est peu connue car souvent on préfère taper une adresse avec des lettres plutot que des chiffres.

IP à 4 nombres

L'IP se présente sous la forme de 4 nombres séparés par des points.

Dans le schéma suivant, l'ordinateur et le smartphone peuvent communiquer entre eux. La box est accessible de l'extérieur via l'adresse 88.65.95.125.

Dans le schéma suivant, on montre que chaque ordinateur/smartphone peut communiquer avec lui-même via l'adresse 127.0.0.1.
L'ordinateur et le smartphone peuvent communiquer avec la box via l'adresse 192.168.1.254.

Comment connaître son IP

IP INTERNET :

curl ifconfig.pro
http://monip.org/

A EVITER ( pubs, espions...)

http://www.mon-ip.com/

ne marche pas si ghostery+ublock

IP LOCALE :

Linux : ifconfig -a (obsolète ) ip a
windows : ipconfig

Avoir des informations sur une ip :
http://xxx.xxx.xxx.xxx.ipaddress.com/

CONNAITRE TOUTES LES IPS DE SON RESEAU par ping de 192.168.1.1 à 192.168.1.254 non compris

init=1;fin=254; echo "recherche des ip de 192.168.1."$init" à 192.168.1."$fin" non compris" ; while [ $init -ne $fin ]; do res=$(ping -c 1 192.168.1.$init |grep transmitted |grep "1 received"); echo -n "." ; if [ a"$res" != "a" ]; then echo -n $init;fi; let init=$init+1;done

fontionne avec l'idée que si le ping marche on a :
1 packets transmitted, 1 received, 0% packet loss, time ###ms
et s'il ne marche pas on a
1 packets transmitted, 0 received, +1 errors, 100% packet loss, time ###ms

On peut évidemment créer un alias :

alias pingtout='init=1;fin=254; echo "recherche des ip de 192.168.1."$init" à 192.168.1."$fin" non compris" ; while [ $init -ne $fin ]; do res=$(ping -c 1 192.168.1.$init |grep transmitted |grep "1 received"); echo -n "." ; if [ a"$res" != "a" ]; then echo -n $init;fi; let init=$init+1;done'

pas de carte réseau

bruno — 2007-03-08T20:01:00Z

(2007)

REPERAGE DU MATERIEL

Note : tous les cas possibles ne sont pas présentés : voir aussi art19

* ouvrir un terminal, tapez ifconfig -a : une ligne doit apparaître avec lo, éventuellement une avec sit0 et surtout une avec eth0 ( ou eth1, eth2 ...) : c'est la carte réseau

eth0
Link encap :Ethernet HWaddr 00:04 :ff :ff :ff :ff
inet adr:192.168.0.03 Bcast:192.168.0.255 Masque:255.255.255.0
adr inet6 : fe80 ::ffff :ffff :ffff :ffff/64 Scope :Lien
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Packets reçus:2384 erreurs:0 :0 overruns:0 frame:0
TX packets:2641 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 lg file transmission:1000
Octets reçus:1448971 (1.4 MB) Octets transmis:318858 (318.8 KB)
Interruption:9 Adresse de base:0xec00

ifconfig -a |grep eth * ouvrir un terminal, taper lspci ; recherchez la ligne contenant votre carte ( ethernet )

02:07.0 Ethernet controller : 3Com Corporation 3c905C-TX/TX-M [Tornado] (rev 78)

TEST DU MATERIEL

* s'il n'y a pas cette ligne, tapez en root : gnome-network-preferences qui doit montrer sur la page qui s'ouvre le nom de la carte réseau ( eth0 en ethernet )

* s'il n'y a rien, essayer lspci : s'il n'y a rien, c'est que l'installation a foiré : * 2 solutions

essayer de rajouter noapic nolapic dans le fichier sudo gedit /boot/grub/menu.lst, ce qui donne :

kernel /boot/vmlinuz-2.6.15-27-386 root=/dev/sda1 ro quiet splash

transformé en

kernel /boot/vmlinuz-2.6.15-27-386 root=/dev/sda1 ro quiet splash noapic nolapic

ensuite il faut redémarrer

refaire l'installation, au démarrage du cd live, choisir F6 et rajouter les options noapic nolapic avant les tirets — ce qui fait :

boot=casper initrd=/casper/initrd.gz ramdisk_size=1048576 root=/dev/ram rw quiet splash noapic nolapic

—

* à essayer éventuellement : rajouter l'option acpi=off au même endroit que noapic nolapic

firewall : iptables réseau

bruno — 2006-11-04T03:30:00Z

eth1 est sur internet

eth0 sur le LAN

192.168.0.2 est l'adresse de l'autre ordi

# !/bin/sh

# # Script de démarrage qui lance l'interface réseau internet, # met en place un firewall basique et un partage de connexion # # Inspiré du script de Mjules_at_ifrance.com #

start()

# init du la périphérique internet (ici derriere un modem

ADSL ethernet, DHCP client)

/sbin/ifup eth1

# Dans cette partie, on met en place le firewall

#vidage des chaines

iptables -F

#destruction des chaines personnelles

iptables -X

#stratégies par défaut

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -P OUTPUT ACCEPT

#init des tables NAT et MANGLE (pas forcément nécessaire)

iptables -t nat -F

iptables -t nat -X

iptables -t nat -P PREROUTING ACCEPT

iptables -t nat -P POSTROUTING ACCEPT

iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -F

iptables -t mangle -X

iptables -t mangle -P PREROUTING ACCEPT

iptables -t mangle -P OUTPUT ACCEPT

# Acceptation de toutes les connexions en local (un process avec l'autre)

iptables -A INPUT -i lo -j ACCEPT

iptables -A OUTPUT -o lo -j ACCEPT
# PORT FORWARDING : # attention : on ne peut malheureusement pas mettre un nom de machine en destination, il faut mettre l'adresse IP. # exemple : on veut qu'un serveur HTTP installé sur une machine du réseau local soit visible depuis l'extérieur.

iptables -t nat -A PREROUTING -i eth1 -p tcp —dport 80 -j DNAT —to-destination 192.168.0.2:80

iptables -A FORWARD -p tcp -i eth1 —dport 80 -j ACCEPT

#création d'une nouvelle règle

iptables -N MAregle

#définition de la règle : accepter les nouvelles connexions ne venant pas de l'interface internet # et accepter toutes les connexions établies et reliées (ex : une demande de page HTML provoque l'ouverture # d'une connexion reliée pour acheminer cette page vers l'ordinateur)

iptables -A MAregle -m state —state NEW -i ! eth1 -j ACCEPT

iptables -A MAregle -m state —state ESTABLISHED,RELATED -j ACCEPT

#application de la règle au partage de connexion

iptables -A INPUT -j MAregle

iptables -A FORWARD -j MAregle

#pour vlc
iptables -A INPUT -p udp —dport 1024:65535 -j ACCEPT

# activation du forwarding dans le noyau # mise en place du partage de connexion sur le réseau local

echo 1 >/proc/sys/net/ipv4/ip_forward

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth1 -j MASQUERADE

iptables et ssh

gérer le ssh

samedi 29 mars 2008, par bruno

interdire une adresse

iptables -I INPUT -s 212.146.105.94 -j DROP

bloque celui qui tente de se connecter plus de 4 fois en 60 sec en ssh

iptables -A INPUT -p tcp --dport ssh -m recent --update --seconds 60 --hitcount 4 --name SSH -j DROP

iptables -A INPUT -p tcp --dport ssh -m recent --set --name SSH

iptables -A INPUT -p tcp --dport ssh -j ACCEPT

changer le port de ssh
/etc/ssh/sshd_config

Et changer la ligne port 22

interdire le log en root

/etc/ssh/sshd_config

PermitRootLogin no #changez yes en no

ports a ouvrir sont le 32400 en privé et le 8000 en publique

NON ESSAYÉ !

iptables -A INPUT -p tcp --dport 32400 --jump ACCEPT iptables -I INPUT -s 127.0.0.1 -m tcp -p tcp -j ACCEPT iptables -I OUTPUT -s 127.0.0.1 -m tcp -p tcp -j ACCEPT

ICMP
Stéphane HUC : : IT Log : : iptables accepte de gèrer le ping

Stéphane HUC : : IT Log : : Linux : firewall ICMP

Il faut comprendre que l'important n'est PAS de bloquer mais de limiter le flux des messages « pertinents » et bloquer ceux qui doivent l'être impérativement.
Attention la documentation que j'ai écrite ne traite QUE pour le protocole IPv4 ; concernant IPv6, il est encore plus impératif de VRAIMENT comprendre le sujet et les incidences du filtrage d'ICMPv6 !

( d'après https://www.debian-fr.org/t/empecher-les-requetes-ping-erreur/92231/6 )