Filtrer Sur Adresse Ip Dynamique

[parisbyday]

Bonjour a tous,

J'ai une configuration du firewall statique et je souhaiterais ajouter des entrées de type hostname (dyndns).

Je vois 2 options :

1) modification de eth0.conf dans /etc/firewall mais dans ce cas je sais pas trop comment c'est pris en compte par le firewall

2) ajouter une entrée via iptable dynamique

J'imagine que l'entrée sera effacée au reboot mais c'est pas grave puisqu'un script rajouterais des entrées periodiquement.

quelqu'un aurait il la syntaxe ? et n'y a t'il pas de risque de perturber le fonctionnement du firewall classique si j'utilise iptables en plus ?

Qu'en pensez vous ?

Merci d'avance pour vos conseils.

Jean

[Fravadona]

Hum, je pense qu'il n'est pas possible de filtrer un nom dyndns avec une regle statique car une resolution inverse de nom par rapport a l'@IP retourne le nom d'hote donné par le FAI :

Par exemple

On veut filtrer le nom trouduc.dyndns.net qui a une IP 1.2.3.4 aujourd'hui

Quand le Syno recoit une demande de connexion venant de 1.2.3.4 , il verifie le nom DNS associe a cette IP -> qui sera en fait abonne-122234-nantes.orange.fr (et pas trouduc.dyndns.net)

Modifié le 3 février 2014 par Fravadona

[PiwiLAbruti]

La plus simple et la moins pire des solutions serait de carrément autoriser toute la plage IP du FAI auquel le client est abonné.

C'est ce que j'ai fait par exemple avec Free Mobile avec la plage 37.160/12. Ainsi je n'ai pas à me soucier de l'adresse IP de mon smartphone.

fr.freemobile
    Free Mobile SAS

    20111214	37.1.232.0/21	ALLOCATED PA
    20111214	37.8.160.0/19	ALLOCATED PA
    20120308	37.160.0.0/12	ALLOCATED PA

La liste complète de réservations IP du RIPE NCC (zone Europe) est disponible ici : ftp://ftp.ripe.net/ripe/stats/membership/alloclist.txt

[parisbyday]

La plus simple et la moins pire des solutions serait de carrément autoriser toute la plage IP du FAI auquel le client est abonné.

C'est ce que j'ai fait par exemple avec Free Mobile avec la plage 37.160/12. Ainsi je n'ai pas à me soucier de l'adresse IP de mon smartphone.

fr.freemobile
    Free Mobile SAS

    20111214	37.1.232.0/21	ALLOCATED PA
    20111214	37.8.160.0/19	ALLOCATED PA
    20120308	37.160.0.0/12	ALLOCATED PA

La liste complète de réservations IP du RIPE NCC (zone Europe) est disponible ici : ftp://ftp.ripe.net/ripe/stats/membership/alloclist.txt

Salut,

Mon idée est de develloper un script en perl qui recupere les adresses ip a partir des nom dns que je stocke dans un fichier.

J'utiliserais la commande nslookup puis l'idée est d'ajouter l'ip@ dans les regles du firewall.

D'apres ce que j'ai compris on peut le faire soit via la commande iptable, soit en modifiant le fichier eth0.conf.

Cependant dans ce cas, il faut probablement lancer une commande afin que le firewall prendre en compte dynamiquement le changement.

Je vous tiens au courant de l'avancement de mon projet.

J'ai fait des recherches mais rien encore trouver de concret.

Je n'ai pas trop envie d'autoriser des plages completes d'adresse ip.

jean

[Fravadona]

Si c'est ton script qui gere les associations DNS/@IP alors tu devrais pouvoir te depatouiller

Modifié le 4 février 2014 par Fravadona

[parisbyday]

J'ai commencé a bricoler un script et ca fonctionne.

Pas encore terminé car le script ajoute des entrées dans la table des regles pour la chain INPUT mais efface pas les entrées précédentes pour le meme hostname.

Le script est lancé via le plannificateur de tache toutes les 5 heures et fait un refresh des adresses ip. C'est pas si compliqué au final.

[jlbn]

Bonsoir,

Lorsque tu seras un peu plus avançé, je serais tres interressé par ton script, si tu peux avoir la gentillesse de le partager, je trouve que ça apporte du coup une sécurité supplémentaire vraiment appréciable

Jlbn