/usr/share/doc/HOWTO/fr-html/IP-Masquerade-HOWTO.html is in doc-linux-fr-html 2013.01-2.
This file is owned by root:root, with mode 0o644.
The actual contents of the file can be viewed below.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172 173 174 175 176 177 178 179 180 181 182 183 184 185 186 187 188 189 190 191 192 193 194 195 196 197 198 199 200 201 202 203 204 205 206 207 208 209 210 211 212 213 214 215 216 217 218 219 220 221 222 223 224 225 226 227 228 229 230 231 232 233 234 235 236 237 238 239 240 241 242 243 244 245 246 247 248 249 250 251 252 253 254 255 256 257 258 259 260 261 262 263 264 265 266 267 268 269 270 271 272 273 274 275 276 277 278 279 280 281 282 283 284 285 286 287 288 289 290 291 292 293 294 295 296 297 298 299 300 301 302 303 304 305 306 307 308 309 310 311 312 313 314 315 316 317 318 319 320 321 322 323 324 325 326 327 328 329 330 331 332 333 334 335 336 337 338 339 340 341 342 343 344 345 346 347 348 349 350 351 352 353 354 355 356 357 358 359 360 361 362 363 364 365 366 367 368 369 370 371 372 373 374 375 376 377 378 379 380 381 382 383 384 385 386 387 388 389 390 391 392 393 394 395 396 397 398 399 400 401 402 403 404 405 406 407 408 409 410 411 412 413 414 415 416 417 418 419 420 421 422 423 424 425 426 427 428 429 430 431 432 433 434 435 436 437 438 439 440 441 442 443 444 445 446 447 448 449 450 451 452 453 454 455 456 457 458 459 460 461 462 463 464 465 466 467 468 469 470 471 472 473 474 475 476 477 478 479 480 481 482 483 484 485 486 487 488 489 490 491 492 493 494 495 496 497 498 499 500 501 502 503 504 505 506 507 508 509 510 511 512 513 514 515 516 517 518 519 520 521 522 523 524 525 526 527 528 529 530 531 532 533 534 535 536 537 538 539 540 541 542 543 544 545 546 547 548 549 550 551 552 553 554 555 556 557 558 559 560 561 562 563 564 565 566 567 568 569 570 571 572 573 574 575 576 577 578 579 580 581 582 583 584 585 586 587 588 589 590 591 592 593 594 595 596 597 598 599 600 601 602 603 604 605 606 607 608 609 610 611 612 613 614 615 616 617 618 619 620 621 622 623 624 625 626 627 628 629 630 631 632 633 634 635 636 637 638 639 640 641 642 643 644 645 646 647 648 649 650 651 652 653 654 655 656 657 658 659 660 661 662 663 664 665 666 667 668 669 670 671 672 673 674 675 676 677 678 679 680 681 682 683 684 685 686 687 688 689 690 691 692 693 694 695 696 697 698 699 700 701 702 703 704 705 706 707 708 709 710 711 712 713 714 715 716 717 718 719 720 721 722 723 724 725 726 727 728 729 730 731 732 733 734 735 736 737 738 739 740 741 742 743 744 745 746 747 748 749 750 751 752 753 754 755 756 757 758 759 760 761 762 763 764 765 766 767 768 769 770 771 772 773 774 775 776 777 778 779 780 781 782 783 784 785 786 787 788 789 790 791 792 793 794 795 796 797 798 799 800 801 802 803 804 805 806 807 808 809 810 811 812 813 814 815 816 817 818 819 820 821 822 823 824 825 826 827 828 829 830 831 832 833 834 835 836 837 838 839 840 841 842 843 844 845 846 847 848 849 850 851 852 853 854 855 856 857 858 859 860 861 862 863 864 865 866 867 868 869 870 871 872 873 874 875 876 877 878 879 880 881 882 883 884 885 886 887 888 889 890 891 892 893 894 895 896 897 898 899 900 901 902 903 904 905 906 907 908 909 910 911 912 913 914 915 916 917 918 919 920 921 922 923 924 925 926 927 928 929 930 931 932 933 934 935 936 937 938 939 940 941 942 943 944 945 946 947 948 949 950 951 952 953 954 955 956 957 958 959 960 961 962 963 964 965 966 967 968 969 970 971 972 973 974 975 976 977 978 979 980 981 982 983 984 985 986 987 988 989 990 991 992 993 994 995 996 997 998 999 1000 1001 1002 1003 1004 1005 1006 1007 1008 1009 1010 1011 1012 1013 1014 1015 1016 1017 1018 1019 1020 1021 1022 1023 1024 1025 1026 1027 1028 1029 1030 1031 1032 1033 1034 1035 1036 1037 1038 1039 1040 1041 1042 1043 1044 1045 1046 1047 1048 1049 1050 1051 1052 1053 1054 1055 1056 1057 1058 1059 1060 1061 1062 1063 1064 1065 1066 1067 1068 1069 1070 1071 1072 1073 1074 1075 1076 1077 1078 1079 1080 1081 1082 1083 1084 1085 1086 1087 1088 1089 1090 1091 1092 1093 1094 1095 1096 1097 1098 1099 1100 1101 1102 1103 1104 1105 1106 1107 1108 1109 1110 1111 1112 1113 1114 1115 1116 1117 1118 1119 1120 1121 1122 1123 1124 1125 1126 1127 1128 1129 1130 1131 1132 1133 1134 1135 1136 1137 1138 1139 1140 1141 1142 1143 1144 1145 1146 1147 1148 1149 1150 1151 1152 1153 1154 1155 1156 1157 1158 1159 1160 1161 1162 1163 1164 1165 1166 1167 1168 1169 1170 1171 1172 1173 1174 1175 1176 1177 1178 1179 1180 1181 1182 1183 1184 1185 1186 1187 1188 1189 1190 1191 1192 1193 1194 1195 1196 1197 1198 1199 1200 1201 1202 1203 1204 1205 1206 1207 1208 1209 1210 1211 1212 1213 1214 1215 1216 1217 1218 1219 1220 1221 1222 1223 1224 1225 1226 1227 1228 1229 1230 1231 1232 1233 1234 1235 1236 1237 1238 1239 1240 1241 1242 1243 1244 1245 1246 1247 1248 1249 1250 1251 1252 1253 1254 1255 1256 1257 1258 1259 1260 1261 1262 1263 1264 1265 1266 1267 1268 1269 1270 1271 1272 1273 1274 1275 1276 1277 1278 1279 1280 1281 1282 1283 1284 1285 1286 1287 1288 1289 1290 1291 1292 1293 1294 1295 1296 1297 1298 1299 1300 1301 1302 1303 1304 1305 1306 1307 1308 1309 1310 1311 1312 1313 1314 1315 1316 1317 1318 1319 1320 1321 1322 1323 1324 1325 1326 1327 1328 1329 1330 1331 1332 1333 1334 1335 1336 1337 1338 1339 1340 1341 1342 1343 1344 1345 1346 1347 1348 1349 1350 1351 1352 1353 1354 1355 1356 1357 1358 1359 1360 1361 1362 1363 1364 1365 1366 1367 1368 1369 1370 1371 1372 1373 1374 1375 1376 1377 1378 1379 1380 1381 1382 1383 1384 1385 1386 1387 1388 1389 1390 1391 1392 1393 1394 1395 1396 1397 1398 1399 1400 1401 1402 1403 1404 1405 1406 1407 1408 1409 1410 1411 1412 1413 1414 1415 1416 1417 1418 1419 1420 1421 1422 1423 1424 1425 1426 1427 1428 1429 1430 1431 1432 1433 1434 1435 1436 1437 1438 1439 1440 1441 1442 1443 1444 1445 1446 1447 1448 1449 1450 1451 1452 1453 1454 1455 1456 1457 1458 1459 1460 1461 1462 1463 1464 1465 1466 1467 1468 1469 1470 1471 1472 1473 1474 1475 1476 1477 1478 1479 1480 1481 1482 1483 1484 1485 1486 1487 1488 1489 1490 1491 1492 1493 1494 1495 1496 1497 1498 1499 1500 1501 1502 1503 1504 1505 1506 1507 1508 1509 1510 1511 1512 1513 1514 1515 1516 1517 1518 1519 1520 1521 1522 1523 1524 1525 1526 1527 1528 1529 1530 1531 1532 1533 1534 1535 1536 1537 1538 1539 1540 1541 1542 1543 1544 1545 1546 1547 1548 1549 1550 1551 1552 1553 1554 1555 1556 1557 1558 1559 1560 1561 1562 1563 1564 1565 1566 1567 1568 1569 1570 1571 1572 1573 1574 1575 1576 1577 1578 1579 1580 1581 1582 1583 1584 1585 1586 1587 1588 1589 1590 1591 1592 1593 1594 1595 1596 1597 1598 1599 1600 1601 1602 1603 1604 1605 1606 1607 1608 1609 1610 1611 1612 1613 1614 1615 1616 1617 1618 1619 1620 1621 1622 1623 1624 1625 1626 1627 1628 1629 1630 1631 1632 1633 1634 1635 1636 1637 1638 1639 1640 1641 1642 1643 1644 1645 1646 1647 1648 1649 1650 1651 1652 1653 1654 1655 1656 1657 1658 1659 1660 1661 1662 1663 1664 1665 1666 1667 1668 1669 1670 1671 1672 1673 1674 1675 1676 1677 1678 1679 1680 1681 1682 1683 1684 1685 1686 1687 1688 1689 1690 1691 1692 1693 1694 1695 1696 1697 1698 1699 1700 1701 1702 1703 1704 1705 1706 1707 1708 1709 1710 1711 1712 1713 1714 1715 1716 1717 1718 1719 1720 1721 1722 1723 1724 1725 1726 1727 1728 1729 1730 1731 1732 1733 1734 1735 1736 1737 1738 1739 1740 1741 1742 1743 1744 1745 1746 1747 1748 1749 1750 1751 1752 1753 1754 1755 1756 1757 1758 1759 1760 1761 1762 1763 1764 1765 1766 1767 1768 1769 1770 1771 1772 1773 1774 1775 1776 1777 1778 1779 1780 1781 1782 1783 1784 1785 1786 1787 1788 1789 1790 1791 1792 1793 1794 1795 1796 1797 1798 1799 1800 1801 1802 1803 1804 1805 1806 1807 1808 1809 1810 1811 1812 1813 1814 1815 1816 1817 1818 1819 1820 1821 1822 1823 1824 1825 1826 1827 1828 1829 1830 1831 1832 1833 1834 1835 1836 1837 1838 1839 1840 1841 1842 1843 1844 1845 1846 1847 1848 1849 1850 1851 1852 1853 1854 1855 1856 1857 1858 1859 1860 1861 1862 1863 1864 1865 1866 1867 1868 1869 1870 1871 1872 1873 1874 1875 1876 1877 1878 1879 1880 1881 1882 1883 1884 1885 1886 1887 1888 1889 1890 1891 1892 1893 1894 1895 1896 1897 1898 1899 1900 1901 1902 1903 1904 1905 1906 1907 1908 1909 1910 1911 1912 1913 1914 1915 1916 1917 1918 1919 1920 1921 1922 1923 1924 1925 1926 1927 1928 1929 1930 1931 1932 1933 1934 1935 1936 1937 1938 1939 1940 1941 1942 1943 1944 1945 1946 1947 1948 1949 1950 1951 1952 1953 1954 1955 1956 1957 1958 1959 1960 1961 1962 1963 1964 1965 1966 1967 1968 1969 1970 1971 1972 1973 1974 1975 1976 1977 1978 1979 1980 1981 1982 1983 1984 1985 1986 1987 1988 1989 1990 1991 1992 1993 1994 1995 1996 1997 1998 1999 2000 2001 2002 2003 2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021 2022 2023 2024 2025 2026 2027 2028 2029 2030 2031 2032 2033 2034 2035 2036 2037 2038 2039 2040 2041 2042 2043 2044 2045 2046 2047 2048 2049 2050 2051 2052 2053 2054 2055 2056 2057 2058 2059 2060 2061 2062 2063 2064 2065 2066 2067 2068 2069 2070 2071 2072 2073 2074 2075 2076 2077 2078 2079 2080 2081 2082 2083 2084 2085 2086 2087 2088 2089 2090 2091 2092 2093 2094 2095 2096 2097 2098 2099 2100 2101 2102 2103 2104 2105 2106 2107 2108 2109 2110 2111 2112 2113 2114 2115 2116 2117 2118 2119 2120 2121 2122 2123 2124 2125 2126 2127 2128 2129 2130 2131 2132 2133 2134 2135 2136 2137 2138 2139 2140 2141 2142 2143 2144 2145 2146 2147 2148 2149 2150 2151 2152 2153 2154 2155 2156 2157 2158 2159 2160 2161 2162 2163 2164 2165 2166 2167 2168 2169 2170 2171 2172 2173 2174 2175 2176 2177 2178 2179 2180 2181 2182 2183 2184 2185 2186 2187 2188 2189 2190 2191 2192 2193 2194 2195 2196 2197 2198 2199 2200 2201 2202 2203 2204 2205 2206 2207 2208 2209 2210 2211 2212 2213 2214 2215 2216 2217 2218 2219 2220 2221 2222 2223 2224 2225 2226 2227 2228 2229 2230 2231 2232 2233 2234 2235 2236 2237 2238 2239 2240 2241 2242 2243 2244 2245 2246 2247 2248 2249 2250 2251 2252 2253 2254 2255 2256 2257 2258 2259 2260 2261 2262 2263 2264 2265 2266 2267 2268 2269 2270 2271 2272 2273 2274 2275 2276 2277 2278 2279 2280 2281 2282 2283 2284 2285 2286 2287 2288 2289 2290 2291 2292 2293 2294 2295 2296 2297 2298 2299 2300 2301 2302 2303 2304 2305 2306 2307 2308 2309 2310 2311 2312 2313 2314 2315 2316 2317 2318 2319 2320 2321 2322 2323 2324 2325 2326 2327 2328 2329 2330 2331 2332 2333 2334 2335 2336 2337 2338 2339 2340 2341 2342 2343 2344 2345 2346 2347 2348 2349 2350 2351 2352 2353 2354 2355 2356 2357 2358 2359 2360 2361 2362 2363 2364 2365 2366 2367 2368 2369 2370 2371 2372 2373 2374 2375 2376 2377 2378 2379 2380 2381 2382 2383 2384 2385 2386 2387 2388 2389 2390 2391 2392 2393 2394 2395 2396 2397 2398 2399 2400 2401 2402 2403 2404 2405 2406 2407 2408 2409 2410 2411 2412 2413 2414 2415 2416 2417 2418 2419 2420 2421 2422 2423 2424 2425 2426 2427 2428 2429 2430 2431 2432 2433 2434 2435 2436 2437 2438 2439 2440 2441 2442 2443 2444 2445 2446 2447 2448 2449 2450 2451 2452 2453 2454 2455 2456 2457 2458 2459 2460 2461 2462 2463 2464 2465 2466 2467 2468 2469 2470 2471 2472 2473 2474 2475 2476 2477 2478 2479 2480 2481 2482 2483 2484 2485 2486 2487 2488 2489 2490 2491 2492 2493 2494 2495 2496 2497 2498 2499 2500 2501 2502 2503 2504 2505 2506 2507 2508 2509 2510 2511 2512 2513 2514 2515 2516 2517 2518 2519 2520 2521 2522 2523 2524 2525 2526 2527 2528 2529 2530 2531 2532 2533 2534 2535 2536 2537 2538 2539 2540 2541 2542 2543 2544 2545 2546 2547 2548 2549 2550 2551 2552 2553 2554 2555 2556 2557 2558 2559 2560 2561 2562 2563 2564 2565 2566 2567 2568 2569 2570 2571 2572 2573 2574 2575 2576 2577 2578 2579 2580 2581 2582 2583 2584 2585 2586 2587 2588 2589 2590 2591 2592 2593 2594 2595 2596 2597 2598 2599 2600 2601 2602 2603 2604 2605 2606 2607 2608 2609 2610 2611 2612 2613 2614 2615 2616 2617 2618 2619 2620 2621 2622 2623 2624 2625 2626 2627 2628 2629 2630 2631 2632 2633 2634 2635 2636 2637 2638 2639 2640 2641 2642 2643 2644 2645 2646 2647 2648 2649 2650 2651 2652 2653 2654 2655 2656 2657 2658 2659 2660 2661 2662 2663 2664 2665 2666 2667 2668 2669 2670 2671 2672 2673 2674 2675 2676 2677 2678 2679 2680 2681 2682 2683 2684 2685 2686 2687 2688 2689 2690 2691 2692 2693 2694 2695 2696 2697 2698 2699 2700 2701 2702 2703 2704 2705 2706 2707 2708 2709 2710 2711 2712 2713 2714 2715 2716 2717 2718 2719 2720 2721 2722 2723 2724 2725 2726 2727 2728 2729 2730 2731 2732 2733 2734 2735 2736 2737 2738 2739 2740 2741 2742 2743 2744 2745 2746 2747 2748 2749 2750 2751 2752 2753 2754 2755 2756 2757 2758 2759 2760 2761 2762 2763 2764 2765 2766 2767 2768 2769 2770 2771 2772 2773 2774 2775 2776 2777 2778 2779 2780 2781 2782 2783 2784 2785 2786 2787 2788 2789 2790 2791 2792 2793 2794 2795 2796 2797 2798 2799 2800 2801 2802 2803 2804 2805 2806 2807 2808 2809 2810 2811 2812 2813 2814 2815 2816 2817 2818 2819 2820 2821 2822 2823 2824 2825 2826 2827 2828 2829 2830 2831 2832 2833 2834 2835 2836 2837 2838 2839 2840 2841 2842 2843 2844 2845 2846 2847 2848 2849 2850 2851 2852 2853 2854 2855 2856 2857 2858 2859 2860 2861 2862 2863 2864 2865 2866 2867 2868 2869 2870 2871 2872 2873 2874 2875 2876 2877 2878 2879 2880 2881 2882 2883 2884 2885 2886 2887 2888 2889 2890 2891 2892 2893 2894 2895 2896 2897 2898 2899 2900 2901 2902 2903 2904 2905 2906 2907 2908 2909 2910 2911 2912 2913 2914 2915 2916 2917 2918 2919 2920 2921 2922 2923 2924 2925 2926 2927 2928 2929 2930 2931 2932 2933 2934 2935 2936 2937 2938 2939 2940 2941 2942 2943 2944 2945 2946 2947 2948 2949 2950 2951 2952 2953 2954 2955 2956 2957 2958 2959 2960 2961 2962 2963 2964 2965 2966 2967 2968 2969 2970 2971 2972 2973 2974 2975 2976 2977 2978 2979 2980 2981 2982 2983 2984 2985 2986 2987 2988 2989 2990 2991 2992 2993 2994 2995 2996 2997 2998 2999 3000 3001 3002 3003 3004 3005 3006 3007 3008 3009 3010 3011 3012 3013 3014 3015 3016 3017 3018 3019 3020 3021 3022 3023 3024 3025 3026 3027 3028 3029 3030 3031 3032 3033 3034 3035 3036 3037 3038 3039 3040 3041 3042 3043 3044 3045 3046 3047 3048 3049 3050 3051 3052 3053 3054 3055 3056 3057 3058 3059 3060 3061 3062 3063 3064 3065 3066 3067 3068 3069 3070 3071 3072 3073 3074 3075 3076 3077 3078 3079 3080 3081 3082 3083 3084 3085 3086 3087 3088 3089 3090 3091 3092 3093 3094 3095 3096 3097 3098 3099 3100 3101 3102 3103 3104 3105 3106 3107 3108 3109 3110 3111 3112 3113 3114 3115 3116 3117 3118 3119 3120 3121 3122 3123 3124 3125 3126 3127 3128 3129 3130 3131 3132 3133 3134 3135 3136 3137 3138 3139 3140 3141 3142 3143 3144 3145 3146 3147 3148 3149 3150 3151 3152 3153 3154 3155 3156 3157 3158 3159 3160 3161 3162 3163 3164 3165 3166 3167 3168 3169 3170 3171 3172 3173 3174 3175 3176 3177 3178 3179 3180 3181 3182 3183 3184 3185 3186 3187 3188 3189 3190 3191 3192 3193 3194 3195 3196 3197 3198 3199 3200 3201 3202 3203 3204 3205 3206 3207 3208 3209 3210 3211 3212 3213 3214 3215 3216 3217 3218 3219 3220 3221 3222 3223 3224 3225 3226 3227 3228 3229 3230 3231 3232 3233 3234 3235 3236 3237 3238 3239 3240 3241 3242 3243 3244 3245 3246 3247 3248 3249 3250 3251 3252 3253 3254 3255 3256 3257 3258 3259 3260 3261 3262 3263 3264 3265 3266 3267 3268 3269 3270 3271 3272 3273 3274 3275 3276 3277 3278 3279 3280 3281 3282 3283 3284 3285 3286 3287 3288 3289 3290 3291 3292 3293 3294 3295 3296 3297 3298 3299 3300 3301 3302 3303 3304 3305 3306 3307 3308 3309 3310 3311 3312 3313 3314 3315 3316 3317 3318 3319 3320 3321 3322 3323 3324 3325 3326 3327 3328 3329 3330 3331 3332 3333 3334 3335 3336 3337 3338 3339 3340 3341 3342 3343 3344 3345 3346 3347 3348 3349 3350 3351 3352 3353 3354 3355 3356 3357 3358 3359 3360 3361 3362 3363 3364 3365 3366 3367 3368 3369 3370 3371 3372 3373 3374 3375 3376 3377 3378 3379 3380 3381 3382 3383 3384 3385 3386 3387 3388 3389 3390 3391 3392 3393 3394 3395 3396 3397 3398 3399 3400 3401 3402 3403 3404 3405 3406 3407 3408 3409 3410 3411 3412 3413 3414 3415 3416 3417 3418 3419 3420 3421 3422 3423 3424 3425 3426 3427 3428 3429 3430 3431 3432 3433 3434 3435 3436 3437 3438 3439 3440 3441 3442 3443 3444 3445 3446 3447 3448 3449 3450 3451 3452 3453 3454 3455 3456 3457 3458 3459 3460 3461 3462 3463 3464 3465 3466 3467 3468 3469 3470 3471 3472 3473 3474 3475 3476 3477 3478 3479 3480 3481 3482 3483 3484 3485 3486 3487 3488 3489 3490 3491 3492 3493 3494 3495 3496 3497 3498 3499 3500 3501 3502 3503 3504 3505 3506 3507 3508 3509 3510 3511 3512 3513 3514 3515 3516 3517 3518 3519 3520 3521 3522 3523 3524 3525 3526 3527 3528 3529 3530 3531 3532 3533 3534 3535 3536 3537 3538 3539 3540 3541 3542 3543 3544 3545 3546 3547 3548 3549 3550 3551 3552 3553 3554 3555 3556 3557 3558 3559 3560 3561 3562 3563 3564 3565 3566 3567 3568 3569 3570 3571 3572 3573 3574 3575 3576 3577 3578 3579 3580 3581 3582 3583 3584 3585 3586 3587 3588 3589 3590 3591 3592 3593 3594 3595 3596 3597 3598 3599 3600 3601 3602 3603 3604 3605 3606 3607 3608 3609 3610 3611 3612 3613 3614 3615 3616 3617 3618 3619 3620 3621 3622 3623 3624 3625 3626 3627 3628 3629 3630 3631 3632 3633 3634 3635 3636 3637 3638 3639 3640 3641 3642 3643 3644 3645 3646 3647 3648 3649 3650 3651 3652 3653 3654 3655 3656 3657 3658 3659 3660 3661 3662 3663 3664 3665 3666 3667 3668 3669 3670 3671 3672 3673 3674 3675 3676 3677 3678 3679 3680 3681 3682 3683 3684 3685 3686 3687 3688 3689 3690 3691 3692 3693 3694 3695 3696 3697 3698 3699 3700 3701 3702 3703 3704 3705 3706 3707 3708 3709 3710 3711 3712 3713 3714 3715 3716 3717 3718 3719 3720 3721 3722 3723 3724 3725 3726 3727 3728 3729 3730 3731 3732 3733 3734 3735 3736 3737 3738 3739 3740 3741 3742 3743 3744 3745 3746 3747 3748 3749 3750 3751 3752 3753 3754 3755 3756 3757 3758 3759 3760 3761 3762 3763 3764 3765 3766 3767 3768 3769 3770 3771 3772 3773 3774 3775 3776 3777 3778 3779 3780 3781 3782 3783 3784 3785 3786 3787 3788 3789 3790 3791 3792 3793 3794 3795 3796 3797 3798 3799 3800 3801 3802 3803 3804 3805 3806 3807 3808 3809 3810 3811 3812 3813 3814 3815 3816 3817 3818 3819 3820 3821 3822 3823 3824 3825 3826 3827 3828 3829 3830 3831 3832 3833 3834 3835 3836 3837 3838 3839 3840 3841 3842 3843 3844 3845 3846 3847 3848 3849 3850 3851 3852 3853 3854 3855 3856 3857 3858 3859 3860 3861 3862 3863 3864 3865 3866 3867 3868 3869 3870 3871 3872 3873 3874 3875 3876 3877 3878 3879 3880 3881 3882 3883 3884 3885 3886 3887 3888 3889 3890 3891 3892 3893 3894 3895 3896 3897 3898 3899 3900 3901 3902 3903 3904 3905 3906 3907 3908 3909 3910 3911 3912 3913 3914 3915 3916 3917 3918 3919 3920 3921 3922 3923 3924 3925 3926 3927 3928 3929 3930 3931 3932 3933 3934 3935 3936 3937 3938 3939 3940 3941 3942 3943 3944 3945 3946 3947 3948 3949 3950 3951 3952 3953 3954 3955 3956 3957 3958 3959 3960 3961 3962 3963 3964 3965 3966 3967 3968 3969 3970 3971 3972 3973 3974 3975 3976 3977 3978 3979 3980 3981 3982 3983 3984 3985 3986 3987 3988 3989 3990 3991 3992 3993 3994 3995 3996 3997 3998 3999 4000 4001 4002 4003 4004 4005 4006 4007 4008 4009 4010 4011 4012 4013 4014 4015 4016 4017 4018 4019 4020 4021 4022 4023 4024 4025 4026 4027 4028 4029 4030 4031 4032 4033 4034 4035 4036 4037 4038 4039 4040 4041 4042 4043 4044 4045 4046 4047 4048 4049 4050 4051 4052 4053 4054 4055 4056 4057 4058 4059 4060 4061 4062 4063 4064 4065 4066 4067 4068 4069 4070 4071 4072 4073 4074 4075 4076 4077 4078 4079 4080 4081 4082 4083 4084 4085 4086 4087 4088 4089 4090 4091 4092 4093 4094 4095 4096 4097 4098 4099 4100 4101 4102 4103 4104 4105 4106 4107 4108 4109 4110 4111 4112 4113 4114 4115 4116 4117 4118 4119 4120 4121 4122 4123 4124 4125 4126 4127 4128 4129 4130 4131 4132 4133 4134 4135 4136 4137 4138 4139 4140 4141 4142 4143 4144 4145 4146 4147 4148 4149 4150 4151 4152 4153 4154 4155 4156 4157 4158 4159 4160 4161 4162 4163 4164 4165 4166 4167 4168 4169 4170 4171 4172 4173 4174 4175 4176 4177 4178 4179 4180 4181 4182 4183 4184 4185 4186 4187 4188 4189 4190 4191 4192 4193 4194 4195 4196 4197 4198 4199 4200 4201 4202 4203 4204 4205 4206 4207 4208 4209 4210 4211 4212 4213 4214 4215 4216 4217 4218 4219 4220 4221 4222 4223 4224 4225 4226 4227 4228 4229 4230 4231 4232 4233 4234 4235 4236 4237 4238 4239 4240 4241 4242 4243 4244 4245 4246 4247 4248 4249 4250 4251 4252 4253 4254 4255 4256 4257 4258 4259 4260 4261 4262 4263 4264 4265 4266 4267 4268 4269 4270 4271 4272 4273 4274 4275 4276 4277 4278 4279 4280 4281 4282 4283 4284 4285 4286 4287 4288 4289 4290 4291 4292 4293 4294 4295 4296 4297 4298 4299 4300 4301 4302 4303 4304 4305 4306 4307 4308 4309 4310 4311 4312 4313 4314 4315 4316 4317 4318 4319 4320 4321 4322 4323 4324 4325 4326 4327 4328 4329 4330 4331 4332 4333 4334 4335 4336 4337 4338 4339 4340 4341 4342 4343 4344 4345 4346 4347 4348 4349 4350 4351 4352 4353 4354 4355 4356 4357 4358 4359 4360 4361 4362 4363 4364 4365 4366 4367 4368 4369 4370 4371 4372 4373 4374 4375 4376 4377 4378 4379 4380 4381 4382 4383 4384 4385 4386 4387 4388 4389 4390 4391 4392 4393 4394 4395 4396 4397 4398 4399 4400 4401 4402 4403 4404 4405 4406 4407 4408 4409 4410 4411 4412 4413 4414 4415 4416 4417 4418 4419 4420 4421 4422 4423 4424 4425 4426 4427 4428 4429 4430 4431 4432 4433 4434 4435 4436 4437 4438 4439 4440 4441 4442 4443 4444 4445 4446 4447 4448 4449 4450 4451 4452 4453 4454 4455 4456 4457 4458 4459 4460 4461 4462 4463 4464 4465 4466 4467 4468 4469 4470 4471 4472 4473 4474 4475 4476 4477 4478 4479 4480 4481 4482 4483 4484 4485 4486 4487 4488 4489 4490 4491 4492 4493 4494 4495 4496 4497 4498 4499 4500 4501 4502 4503 4504 4505 4506 4507 4508 4509 4510 4511 4512 4513 4514 4515 4516 4517 4518 4519 4520 4521 4522 4523 4524 4525 4526 4527 4528 4529 4530 4531 4532 4533 4534 4535 4536 4537 4538 4539 4540 4541 4542 4543 4544 4545 4546 4547 4548 4549 4550 4551 4552 4553 4554 4555 4556 4557 4558 4559 4560 4561 4562 4563 4564 4565 4566 4567 4568 4569 4570 4571 4572 4573 4574 4575 4576 4577 4578 4579 4580 4581 4582 4583 4584 4585 4586 4587 4588 4589 4590 4591 4592 4593 4594 4595 4596 4597 4598 4599 4600 4601 4602 4603 4604 4605 4606 4607 4608 4609 4610 4611 4612 4613 4614 4615 4616 4617 4618 4619 4620 4621 4622 4623 4624 4625 4626 4627 4628 4629 4630 4631 4632 4633 4634 4635 4636 4637 4638 4639 4640 4641 4642 4643 4644 4645 4646 4647 4648 4649 4650 4651 4652 4653 4654 4655 4656 4657 4658 4659 4660 4661 4662 4663 4664 4665 4666 4667 4668 4669 4670 4671 4672 4673 4674 4675 4676 4677 4678 4679 4680 4681 4682 4683 4684 4685 4686 4687 4688 4689 4690 4691 4692 4693 4694 4695 4696 4697 4698 4699 4700 4701 4702 4703 4704 4705 4706 4707 4708 4709 4710 4711 4712 4713 4714 4715 4716 4717 4718 4719 4720 4721 4722 4723 4724 4725 4726 4727 4728 4729 4730 4731 4732 4733 4734 4735 4736 4737 4738 4739 4740 4741 4742 4743 4744 4745 4746 4747 4748 4749 4750 4751 4752 4753 4754 4755 4756 4757 4758 4759 4760 4761 4762 4763 4764 4765 4766 4767 4768 4769 4770 4771 4772 4773 4774 4775 4776 4777 4778 4779 4780 4781 4782 4783 4784 4785 4786 4787 4788 4789 4790 4791 4792 4793 4794 4795 4796 4797 4798 4799 4800 4801 4802 4803 4804 4805 4806 4807 4808 4809 4810 4811 4812 4813 4814 4815 4816 4817 4818 4819 4820 4821 4822 4823 4824 4825 4826 4827 4828 4829 4830 4831 4832 4833 4834 4835 4836 4837 4838 4839 4840 4841 4842 4843 4844 4845 4846 4847 4848 4849 4850 4851 4852 4853 4854 4855 4856 4857 4858 4859 4860 4861 4862 4863 4864 4865 4866 4867 4868 4869 4870 4871 4872 4873 4874 4875 4876 4877 4878 4879 4880 4881 4882 4883 4884 4885 4886 4887 4888 4889 4890 4891 4892 4893 4894 4895 4896 4897 4898 4899 4900 4901 4902 4903 4904 4905 4906 4907 4908 4909 4910 4911 4912 4913 4914 4915 4916 4917 4918 4919 4920 4921 4922 4923 4924 4925 4926 4927 4928 4929 4930 4931 4932 4933 4934 4935 4936 4937 4938 4939 4940 4941 4942 4943 4944 4945 4946 4947 4948 4949 4950 4951 4952 4953 4954 4955 4956 4957 4958 4959 4960 4961 4962 4963 4964 4965 4966 4967 4968 4969 4970 4971 4972 4973 4974 4975 4976 4977 4978 4979 4980 4981 4982 4983 4984 4985 4986 4987 4988 4989 4990 4991 4992 4993 4994 4995 4996 4997 4998 4999 5000 5001 5002 5003 5004 5005 5006 5007 5008 5009 5010 5011 5012 5013 5014 5015 5016 5017 5018 5019 5020 5021 5022 5023 5024 5025 5026 5027 5028 5029 5030 5031 5032 5033 5034 5035 5036 5037 5038 5039 5040 5041 5042 5043 5044 5045 5046 5047 5048 5049 5050 5051 5052 5053 5054 5055 5056 5057 5058 5059 5060 5061 5062 5063 5064 5065 5066 5067 5068 5069 5070 5071 5072 5073 5074 5075 5076 5077 5078 5079 5080 5081 5082 5083 5084 5085 5086 5087 5088 5089 5090 5091 5092 5093 5094 5095 5096 5097 5098 5099 5100 5101 5102 5103 5104 5105 5106 5107 5108 5109 5110 5111 5112 5113 5114 5115 5116 5117 5118 5119 5120 5121 5122 5123 5124 5125 5126 5127 5128 5129 5130 5131 5132 5133 5134 5135 5136 5137 5138 5139 5140 5141 5142 5143 5144 5145 5146 5147 5148 5149 5150 5151 5152 5153 5154 5155 5156 5157 5158 5159 5160 5161 5162 5163 5164 5165 5166 5167 5168 5169 5170 5171 5172 5173 5174 5175 5176 5177 5178 5179 5180 5181 5182 5183 5184 5185 5186 5187 5188 5189 5190 5191 5192 5193 5194 5195 5196 5197 5198 5199 5200 5201 5202 5203 5204 5205 5206 5207 5208 5209 5210 5211 5212 5213 5214 5215 5216 5217 5218 5219 5220 5221 5222 5223 5224 5225 5226 5227 5228 5229 5230 5231 5232 5233 5234 5235 5236 5237 5238 5239 5240 5241 5242 5243 5244 5245 5246 5247 5248 5249 5250 5251 5252 5253 5254 5255 5256 5257 5258 5259 5260 5261 5262 5263 5264 5265 5266 5267 5268 5269 5270 5271 5272 5273 5274 5275 5276 5277 5278 5279 5280 5281 5282 5283 5284 5285 5286 5287 5288 5289 5290 5291 5292 5293 5294 5295 5296 5297 5298 5299 5300 5301 5302 5303 5304 5305 5306 5307 5308 5309 5310 5311 5312 5313 5314 5315 5316 5317 5318 5319 5320 5321 5322 5323 5324 5325 5326 5327 5328 5329 5330 5331 5332 5333 5334 5335 5336 5337 5338 5339 5340 5341 5342 5343 5344 5345 5346 5347 5348 5349 5350 5351 5352 5353 5354 5355 5356 5357 5358 5359 5360 5361 5362 5363 5364 5365 5366 5367 5368 5369 5370 5371 5372 5373 5374 5375 5376 5377 5378 5379 5380 5381 5382 5383 5384 5385 5386 5387 5388 5389 5390 5391 5392 5393 5394 5395 5396 5397 5398 5399 5400 5401 5402 5403 5404 5405 5406 5407 5408 5409 5410 5411 5412 5413 5414 5415 5416 5417 5418 5419 5420 5421 5422 5423 5424 5425 5426 5427 5428 5429 5430 5431 5432 5433 5434 5435 5436 5437 5438 5439 5440 5441 5442 5443 5444 5445 5446 5447 5448 5449 5450 5451 5452 5453 5454 5455 5456 5457 5458 5459 5460 5461 5462 5463 5464 5465 5466 5467 5468 5469 5470 5471 5472 5473 5474 5475 5476 5477 5478 5479 5480 5481 5482 5483 5484 5485 5486 5487 5488 5489 5490 5491 5492 5493 5494 5495 5496 5497 5498 5499 5500 5501 5502 5503 5504 5505 5506 5507 5508 5509 5510 5511 5512 5513 5514 5515 5516 5517 5518 5519 5520 5521 5522 5523 5524 5525 5526 5527 5528 5529 5530 5531 5532 5533 5534 5535 5536 5537 5538 5539 5540 5541 5542 5543 5544 5545 5546 5547 5548 5549 5550 5551 5552 5553 5554 5555 5556 5557 5558 5559 5560 5561 5562 5563 5564 5565 5566 5567 5568 5569 5570 5571 5572 5573 5574 5575 5576 5577 5578 5579 5580 5581 5582 5583 5584 5585 5586 5587 5588 5589 5590 5591 5592 5593 5594 5595 5596 5597 5598 5599 5600 5601 5602 5603 5604 5605 5606 5607 5608 5609 5610 5611 5612 5613 5614 5615 5616 5617 5618 5619 5620 5621 5622 5623 5624 5625 5626 5627 5628 5629 5630 5631 5632 5633 5634 5635 5636 5637 5638 5639 5640 5641 5642 5643 5644 5645 5646 5647 5648 5649 5650 5651 5652 5653 5654 5655 5656 5657 5658 5659 5660 5661 5662 5663 5664 5665 5666 5667 5668 5669 5670 5671 5672 5673 5674 5675 5676 5677 5678 5679 5680 5681 5682 5683 5684 5685 5686 5687 5688 5689 5690 5691 5692 5693 5694 5695 5696 5697 5698 5699 5700 5701 5702 5703 5704 5705 5706 5707 5708 5709 5710 5711 5712 5713 5714 5715 5716 5717 5718 5719 5720 5721 5722 5723 5724 5725 5726 5727 5728 5729 5730 5731 5732 5733 5734 5735 5736 5737 5738 5739 5740 5741 5742 5743 5744 5745 5746 5747 5748 5749 5750 5751 5752 5753 5754 5755 5756 5757 5758 5759 5760 5761 5762 5763 5764 5765 5766 5767 5768 5769 5770 5771 5772 5773 5774 5775 5776 5777 5778 5779 5780 5781 5782 5783 5784 5785 5786 5787 5788 5789 5790 5791 5792 5793 5794 5795 5796 5797 5798 5799 5800 5801 5802 5803 5804 5805 5806 5807 5808 5809 5810 5811 5812 5813 5814 5815 5816 5817 5818 5819 5820 5821 5822 5823 5824 5825 5826 5827 5828 5829 5830 5831 5832 5833 5834 5835 5836 5837 5838 5839 5840 5841 5842 5843 5844 5845 5846 5847 5848 5849 5850 5851 5852 5853 5854 5855 5856 5857 5858 5859 5860 5861 5862 5863 5864 5865 5866 5867 5868 5869 5870 5871 5872 5873 5874 5875 5876 5877 5878 5879 5880 5881 5882 5883 5884 5885 5886 5887 5888 5889 5890 5891 5892 5893 5894 5895 5896 5897 5898 5899 5900 5901 5902 5903 5904 5905 5906 5907 5908 5909 5910 5911 5912 5913 5914 5915 5916 5917 5918 5919 5920 5921 5922 5923 5924 5925 5926 5927 5928 5929 5930 5931 5932 5933 5934 5935 5936 5937 5938 5939 5940 5941 5942 5943 5944 5945 5946 5947 5948 5949 5950 5951 5952 5953 5954 5955 5956 5957 5958 5959 5960 5961 5962 5963 5964 5965 5966 5967 5968 5969 5970 5971 5972 5973 5974 5975 5976 5977 5978 5979 5980 5981 5982 5983 5984 5985 5986 5987 5988 5989 5990 5991 5992 5993 5994 5995 5996 5997 5998 5999 6000 6001 6002 6003 6004 6005 6006 6007 6008 6009 6010 6011 6012 6013 6014 6015 6016 6017 6018 6019 6020 6021 6022 6023 6024 6025 6026 6027 6028 6029 6030 6031 6032 6033 6034 6035 6036 6037 6038 6039 6040 6041 6042 6043 6044 6045 6046 6047 6048 6049 6050 6051 6052 6053 6054 6055 6056 6057 6058 6059 6060 6061 6062 6063 6064 6065 6066 6067 6068 6069 6070 6071 6072 6073 6074 6075 6076 6077 6078 6079 6080 6081 6082 6083 6084 6085 6086 6087 6088 6089 6090 6091 6092 6093 6094 6095 6096 6097 6098 6099 6100 6101 6102 6103 6104 6105 6106 6107 6108 6109 6110 6111 6112 6113 6114 6115 6116 6117 6118 6119 6120 6121 6122 6123 6124 6125 6126 6127 6128 6129 6130 6131 6132 6133 6134 6135 6136 6137 6138 6139 6140 6141 6142 6143 6144 6145 6146 6147 6148 6149 6150 6151 6152 6153 6154 6155 6156 6157 6158 6159 6160 6161 6162 6163 6164 6165 6166 6167 6168 6169 6170 6171 6172 6173 6174 6175 6176 6177 6178 6179 6180 6181 6182 6183 6184 6185 6186 6187 6188 6189 6190 6191 6192 6193 6194 6195 6196 6197 6198 6199 6200 6201 6202 6203 6204 6205 6206 6207 6208 6209 6210 6211 6212 6213 6214 6215 6216 6217 6218 6219 6220 6221 6222 6223 6224 6225 6226 6227 6228 6229 6230 6231 6232 6233 6234 6235 6236 6237 6238 6239 6240 6241 6242 6243 6244 6245 6246 6247 6248 6249 6250 6251 6252 6253 6254 6255 6256 6257 6258 6259 6260 6261 6262 6263 6264 6265 6266 6267 6268 6269 6270 6271 6272 6273 6274 6275 6276 6277 6278 6279 6280 6281 6282 6283 6284 6285 6286 6287 6288 6289 6290 6291 6292 6293 6294 6295 6296 6297 6298 6299 6300 6301 6302 6303 6304 6305 6306 6307 6308 6309 6310 6311 6312 6313 6314 6315 6316 6317 6318 6319 6320 6321 6322 6323 6324 6325 6326 6327 6328 6329 6330 6331 6332 6333 6334 6335 6336 6337 6338 6339 6340 6341 6342 6343 6344 6345 6346 6347 6348 6349 6350 6351 6352 6353 6354 6355 6356 6357 6358 6359 6360 6361 6362 6363 6364 6365 6366 6367 6368 6369 6370 6371 6372 6373 6374 6375 6376 6377 6378 6379 6380 6381 6382 6383 6384 6385 6386 6387 6388 6389 6390 6391 6392 6393 6394 6395 6396 6397 6398 6399 6400 6401 6402 6403 6404 6405 6406 6407 6408 6409 6410 6411 6412 6413 6414 6415 6416 6417 6418 6419 6420 6421 6422 6423 6424 6425 6426 6427 6428 6429 6430 6431 6432 6433 6434 6435 6436 6437 6438 6439 6440 6441 6442 6443 6444 6445 6446 6447 6448 6449 6450 6451 6452 6453 6454 6455 6456 6457 6458 6459 6460 6461 6462 6463 6464 6465 6466 6467 6468 6469 6470 6471 6472 6473 6474 6475 6476 6477 6478 6479 6480 6481 6482 6483 6484 6485 6486 6487 6488 6489 6490 6491 6492 6493 6494 6495 6496 6497 6498 6499 6500 6501 6502 6503 6504 6505 6506 6507 6508 6509 6510 6511 6512 6513 6514 6515 6516 6517 6518 6519 6520 6521 6522 6523 6524 6525 6526 6527 6528 6529 6530 6531 6532 6533 6534 6535 6536 6537 6538 6539 6540 6541 6542 6543 6544 6545 6546 6547 6548 6549 6550 6551 6552 6553 6554 6555 6556 6557 6558 6559 6560 6561 6562 6563 6564 6565 6566 6567 6568 6569 6570 6571 6572 6573 6574 6575 6576 6577 6578 6579 6580 6581 6582 6583 6584 6585 6586 6587 6588 6589 6590 6591 6592 6593 6594 6595 6596 6597 6598 6599 6600 6601 6602 6603 6604 6605 6606 6607 6608 6609 6610 6611 6612 6613 6614 6615 6616 6617 6618 6619 6620 6621 6622 6623 6624 6625 6626 6627 6628 6629 6630 6631 6632 6633 6634 6635 6636 6637 6638 6639 6640 6641 6642 6643 6644 6645 6646 6647 6648 6649 6650 6651 6652 6653 6654 6655 6656 6657 6658 6659 6660 6661 6662 6663 6664 6665 6666 6667 6668 6669 6670 6671 6672 6673 6674 6675 6676 6677 6678 6679 6680 6681 6682 6683 6684 6685 6686 6687 6688 6689 6690 6691 6692 6693 6694 6695 6696 6697 6698 6699 6700 6701 6702 6703 6704 6705 6706 6707 6708 6709 6710 6711 6712 6713 6714 6715 6716 6717 6718 6719 6720 6721 6722 6723 6724 6725 6726 6727 6728 6729 6730 6731 6732 6733 6734 6735 6736 6737 6738 6739 6740 6741 6742 6743 6744 6745 6746 6747 6748 6749 6750 6751 6752 6753 6754 6755 6756 6757 6758 6759 6760 6761 6762 6763 6764 6765 6766 6767 6768 6769 6770 6771 6772 6773 6774 6775 6776 6777 6778 6779 6780 6781 6782 6783 6784 6785 6786 6787 6788 6789 6790 6791 6792 6793 6794 6795 6796 6797 6798 6799 6800 6801 6802 6803 6804 6805 6806 6807 6808 6809 6810 6811 6812 6813 6814 6815 6816 6817 6818 6819 6820 6821 6822 6823 6824 6825 6826 6827 6828 6829 6830 6831 6832 6833 6834 6835 6836 6837 6838 6839 6840 6841 6842 6843 6844 6845 6846 6847 6848 6849 6850 6851 6852 6853 6854 6855 6856 6857 6858 6859 6860 6861 6862 6863 6864 6865 6866 6867 6868 6869 6870 6871 6872 6873 6874 6875 6876 6877 6878 6879 6880 6881 6882 6883 6884 6885 6886 6887 6888 6889 6890 6891 6892 6893 6894 6895 6896 6897 6898 6899 6900 6901 6902 | <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2//EN">
<html>
<head>
<meta name="generator" content=
"HTML Tidy for Linux/x86 (vers 25 March 2009), see www.w3.org">
<meta name="GENERATOR" content="LinuxDoc-Tools 0.9.69">
<title>Linux IP Masquerade HOWTO (version française)</title>
</head>
<body>
<h1>Linux IP Masquerade HOWTO (version française)</h1>
<h2>David Ranch (version orginale), <code><a href=
"mailto:dranch@trinnet.net">dranch@trinnet.net</a></code><br>
Pejvan AHMAD-BEIGUI (traduction - v1.95-b : le 28 juin 2001),
<code><a href=
"maito:pejvan.ahmad-beigui@ensimag.imag.fr">pejvan.ahmad-beigui@ensimag.imag.fr</a></code></h2>
v1.95, November 14, 2000
<hr>
<em>Ce document décrit la mise en application de l'IP
Masquerading sur une machine Linux. IP Masq est une forme de
Traduction d'Adresse Reseau (Network Address Translation ou NAT en
anglais) qui permet à un ou plusieurs ordinateurs qui ne
possédent pas d'adresses IP, de communiquer sur Internet
grâce à l'unique adresse IP d'une machine Linux. Ces
ordinateurs étant connectés de manière interne
sur le serveur Linux.</em>
<hr>
<h2><a name="s1">1. Introduction</a></h2>
<h2><a name="ss1.1">1.1 Introduction à l'IP Masquerading ou
IP MASQ en abrégé</a></h2>
<p>Ce document décrit la mise en application de l'IP
Masquerading sur une machine Linux. IP Masq est une forme de
Traduction d'Adresse Reseau (Network Address Translation ou NAT en
anglais) qui permet à un ou plusieurs ordinateurs, qui ne
possèdent pas d'adresses IP, de communiquer sur Internet
grâce à l'unique adresse IP d'une machine Linux. Ces
ordinateurs étant connectés de manière interne
sur le serveur Linux. Cette connexion peut se faire avec les
différentes techonologies LAN (Local Area Networks ou en
français, réseaux locaux) tels que Ethernet,
TokenRing, FDDI mais aussi par d'autres types de connexions tels
que le PPP ou le SLIP. Ce document utilisera Ethernet comme exemple
principal puisque c'est le scenario le plus commun.</p>
<blockquote><em><b>Ce document se destine aux utilisateurs d'un des
deux noyaux stable Linux : 2.0.38+ et 2.2.17+ sur un compatible PC
(NDT : j'utilise comme routeur linux un vieux Sparc Classic et ca
fonctionne parfaitement). Les noyaux plus anciens tels que 1.2.x,
1.3.x, et 2.1.x NE sont PAS traités dans ce document et,
peuvent être considérés comme défectueux
pour certaines versions. Nous vous recommandons de faire la mise
à jour vers un des noyaux Linux stables avant d'utiliser
l'IP Masquerading. Les nouveaux noyaux 2.3 et 2.4 avec le nouveau
code NetFilter ne sont pas encore traités mais les URLs sont
fournis ci-dessous. Une fois que les caractéristiques de
Netfilter seront finalisées, le nouveau code sera
traité dans ce HOWTO.</b></em>
<p><em><b>Si vous voulez configurer IP Masq sur un Macintosh,
contactez par email (en anglais) Taro Fukunaga, <a href=
"mailto:tarozax@earthlink.net">tarozax@earthlink.net</a> pour
recevoir une copie de sa version abregée du HOWTO pour
MkLinux.</b></em></p>
</blockquote>
<h2><a name="ss1.2">1.2 Avant-Propos, Feedback &
Credits</a></h2>
<p>En tant que nouvel utilisateur, j'ai trouvé la
configuration de l'IP masquerade sous Linux très
déroutante (noyau 1.2.x à cette époque). Bien
qu'il y ait eu une FAQ et une mailing list, il n'avait pas de
document dedié. Il y avait aussi de la demande sur la
mailing list pour un tel HOWTO. J'ai alors decidé
d'écrire ce HOWTO comme point de départ pour les
nouveaux utilisateurs et de poser les fondations qui permettraient
aux autres utilisateurs de l'étoffer dans le futur. Si vous
avez des suggestions, des corrections, etc. à nous soumettre
au sujet de ce document pour nous permettre de l'améliorer,
n'hesitez pas.</p>
<p>Ce document était basé sur la FAQ originale de Ken
Eves, et des nombreux messages salutaires de la mailing list de
l'IP Masquerade. Je remercie tout particulierement M. Matthew
Driver dont le message sur la mailing list m'a inspiré
l'organisation et finalement la rédaction de ce document.
Dernièrement, David Ranch a réécrit ce HOWTO
et a ajouté un nombre conséquent de sections pour le
rendre aussi complet que possible.</p>
<p>Envoyez nous vos feedbacks et commentaires (en anglais) à
<a href="mailto:ambrose@writeme.com">ambrose@writeme.com</a> et
<a href="mailto:dranch@trinnet.net">dranch@trinnet.net</a> si vous
avez des corrections à nous soumettre ou si des
information/URLS/etc. manquent. Si vous avez des commentaires sur
la traduction de ce document, ou des erreurs/améliorations
à signaler, vous pouvez me contacter a : <a href=
"mailto:pejvan.ahmad-beigui@ensimag.imag.fr">pejvan.ahmad-beigui@ensimag.imag.fr</a>.
Votre aide inestimable va certainement influencer la prochaine
version de ce HOWTO !</p>
<p><b>Ce HOWTO est destiné à être aussi complet
que possible pour permettre la mise en place de votre réseau
ipmasqueradée aussi rapidement que possible. David n'est pas
un rédacteur technique professionnel. Vous pourrez donc
trouver les informations de ce document pas assez
généraux et/ou objectifs. Les dernières news
et infos concernant ce HOWTO et les autres détails sur l'IP
MASQ se trouvent à l' <a href="http://ipmasq.cjb.net/">IP
Masquerade Resource</a>, site web que nous mettons à jour
activement. Si vous avez des questions techniques sur l'IP
Masquerade, contactez SVP la Mailing List plutôt que
d'envoyer un email à David. La plupart des problèmes
sur l'IP MASQ sont les mêmes pour TOUS et peuvent être
facilement résolus par quelqu'un sur la Mailing List. De
plus, la réponse vous parviendra bien plus rapidement sur la
liste que le reply de David.</b></p>
<p>La dernière version de ce document se trouve (sous
differents formats dont l'HTML et le PostScript) sur les sites
suivants</p>
<ul>
<li><a href="http://ipmasq.cjb.net/">http://ipmasq.cjb.net/: The IP
Masquerade Resources</a></li>
<li><a href="http://ipmasq2.cjb.net/">http://ipmasq2.cjb.net/: The
IP Masquerade Resources MIRROR</a></li>
<li><a href="http://www.linuxdoc.org">The Linux Documentation
Project</a></li>
<li><a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#ipmasq">
Dranch's Linux page</a></li>
<li>Vous pouvez aussi consulter l' <a href=
"http://ipmasq.cjb.net/index.html#mirror">IP Masquerade Resource
Mirror Sites Listing</a> pour obtenir la liste de nos sites
mirroirs.</li>
</ul>
<h2><a name="ss1.3">1.3 Copyright & Désistement</a></h2>
<p>Ce document est <code>copyright(c) 2000 David Ranch</code> pour
la version originale et <code>copyright(c) 2001 Pejvan
AHMAD-BEIGUI</code> pour la version française et est un
document GRATUIT. Vous pouvez le redistribuer suivant les termes de
la GNU General Public License.</p>
<p>Les informations contenues dans ce document, sont à notre
connaissance, corrects. Cependant, lIP Masquerading de Linux est
écrits par des humains et peut donc contenir des erreurs,
bugs, etc.</p>
<p>Aucune personne, groupe ou autre organisme ne peut etre tenu
responsable des dommages causés à votre (vos)
ordinateur(s) ou des pertes dus à l'utiisations des
informations de ce document. i.e :</p>
<blockquote><b>LES AUTHEURS ET LES PERSONNES PARTICIPANT AU
DEVELOPPEMENT DE CE DOCUMENT NE PEUVENT ETRE TENUS RESPONSABLES DES
DOMMAGES CAUSES PAR L'UTILISATION DES INFORMATIONS CONTENUES DANS
CE DOCUMENT.</b></blockquote>
<p>Ok, avec tout ca dernière nous... que le spectacle
commence.</p>
<h2><a name="s2">2. Connaissances Préliminaires</a></h2>
<h2><a name="ss2.1">2.1 Qu'est-ce que l'IP Masquerade?</a></h2>
<p>L'IP Masquerade est une fonctionnalité réseau de
Linux similaire à la Translation d'Adresse Réseau
un-vers-plusieurs que l'on trouve dans beaucoup de firewalls et de
routeurs commerciaux. Par exemple, si une machine Linux est
connectée à Internet via PPP, Ethernet, etc., l'IP
Masquerading permet aux ordinateurs "internes" connectés
à cette machine Linux (via PPP, Ethernet, etc.)
d'accéder aussi à Internet. L'IP Masquerading
fonctionne même si ces machines internes n'ont pas
d'<em>adresses IP officielles</em>.</p>
<p>MASQ permet à un groupe de machines d'avoir accès
à Internet via la passerelle MASQ de manière
<em>transparente</em>. Pour les autres ordinateurs connectés
à Internet, tout le traffic généré va
sembler provenir du serveur Linux IP MASQ lui-même. En plus
de ces fonctionnalités, IP Masquerade fournit les bases de
la création d'un environnement réseau de HAUTE
sécurité. Avec un firewall bien configuré,
casser la securité d'un système de masquerading et
d'un LAN interne bien configuré devrait être
très difficile.</p>
<p>Si vous voulez savoir en quoi MASQ diffère des solutions
1:1 NAT and Proxy, reportez vous à la partie <a href=
"#what-is-masq">what-is-masq</a> de la FAQ.</p>
<h2><a name="ss2.2">2.2 Situation Actuelle</a></h2>
<p>IP Masquerade est sorti il y a plusieurs années
maintenant et il est plutôt mature depuis les noyaux 2.2.x.
Depuis le noyau 1.3.x, Linux est fourni avec MASQ. Aujourd'hui de
nombreuses personnes et entreprises l'utilisent avec d'excellents
résultats.</p>
<p>Les utilisations courantes du réseau tels que la
navigation Web, les TELNET, PING, TRACEROUTE, etc. fonctionnent
bien avec IP Masquerade. D'autres types de communications, tels que
FTP, IRC, et Real Audio fonctionnent bien avec les modules IP MASQ
appropriés chargés en memoire. Certains programmes
réseaux tels que les streaming audio (MP3s, True Speech,
etc.) fonctionnent aussi. Quelques personnes sur la mailing list
ont même réussi à obtenir de bons
résultats avec des logiciels de video conferencing.</p>
<p>A noter aussi que faire de l'IP Masquerading avec UNE seule
carte réseau (NIC) pour MASQuer entre des réseaux
Ethernet interne et externe N'est PAS recommandé. Pour plus
de détails, reportez vous SVP à la partie <a href=
"#aliasing">aliasing</a> de la FAQ.</p>
<p>Dans tous les cas, reportez vous SVP à la partie <a href=
"#Supported%20Client%20Software">Supported Client Software</a> pour
une liste plus complète des logiciels fonctionnant sous IP
MASQ.</p>
<p>IP Masquerade fonctionne bien comme serveur pour des 'machines
clientes' tournant sous différents systèmes
d'exploitations (operating sytems ou OS en anglais) et
différents materiels dont :</p>
<ul>
<li>Unix: Sun Solaris, *BSD, Linux, Digital UNIX, etc.</li>
<li>Microsoft Windows 2000, NT (3.x et 4.x), 95/98/ME, Windows for
Workgroups (avec le package TCP/IP)</li>
<li>IBM OS/2</li>
<li>ordinateurs Apple Macintosh sous MacOS avec soit MacTCP soit
Open Transport</li>
<li>systèmes sous DOS avec les packet drivers et le package
NCSA Telnet</li>
<li>VAXen</li>
<li>Compaq/Digital Alpha sous Linux et NT</li>
<li>même les ordinateurs Amiga avec AmiTCP ou la pile
AS225.</li>
</ul>
<p>Cette liste continue encore et toujours mais ce qu'il faut bien
comprendre, c'est que si votre OS comprend le TCP/IP, il devrait
fonctionner avec l'IP Masquerade !</p>
<h2><a name="ss2.3">2.3 Qui Peut Profiter de l'IP
Masquerade?</a></h2>
<ul>
<li>Si vous avez un serveur Linux connecté à
Internet</li>
<li>Si vous avez des ordinateurs connectés à ce
serveur dans un sous-réseau local et si ces ordinateurs
"parlent" le TCP/IP et/ou</li>
<li>si votre serveur Linux a un ou plusieurs modems et se comporte
comme un serveur PPP ou SLP pour connecter d'autres
ordinateurs</li>
<li>ces <b>AUTRES</b> ordinateurs n'ont pas d'adresses IP
officielles ou publiques (i.e. avec des adresses
privées).</li>
<li>Et bien sûr, si vous voulez que ces <b>AUTRES</b>
ordinateurs communiquent sur Internet sans depenser d'argent
supplémentaire pour l'acquisition d'adresses IP publiques /
officielles ou, soit configurer Linux pour en faire un routeur soit
acheter un routeur externe.</li>
</ul>
<h2><a name="ss2.4">2.4 Qui n'a pas besoin d'IP Masquerade
?</a></h2>
<ul>
<li>Si vous avez une ordinateur Linux isolé connecté
à Internet (bien que mettre en place un firewall serait une
bonne idée), ou</li>
<li>si vous avez déjà des adresses IP publiques pour
vos <b>AUTRES</b> machines, et</li>
<li>et bien sûr, si vous n'aimez pas trop l'idée de
devoir utiliser Linux en 'free ride' et vous vous sentez plus
à l'aise avec des outils commerciaux mais chers qui font
exactement la même chose.</li>
</ul>
<h2><a name="ss2.5">2.5 Comment fonctionne IP Masquerade ?</a></h2>
<p>Tiré de la FAQ sur l'IP Masquerade de Ken Eves:</p>
<pre>
Voici un dessin de la configuration la plus simple:
SLIP/PPP +------------+ +-------------+
vers votre FAI | Linux | SLIP/PPP | un |
<---------- modem1| #1 |modem2 ----------- modem3| ordinateur |
111.222.121.212 | | 192.168.0.100 | |
+------------+ +-------------+
Sur le dessin ci-desus, une machine Linux, Linux #1, avec IP_MASQUERADING d'installe
est connecte a Internet par le modem1 via SLIP/ou/PPP. Elle a une adresse IP publique :
111.222.121.212. Elle a aussi un modem2 qui permet a l'appelant des connexions SLIP/ou/PPP.
La seconde machine (qui n'a pas besoin de tourner sous Linux) ce connecte a la machine
Linux #1 et commence une session SLIP/ou/PPP. Elle N'a PAS d'adresse IP publique
sur Internet c'est pourquoi elle utilise l'adresse privee 192.168.0.100 (voir ci-dessous).
Avec IP Masquerade et une configuration de routage correcte, la machine "un ordinateur"
peut interagir avec Internet comme si elle y etait directement connectee (a quelques
petites exceptions pres).
Citons Pauline Middelink:
N'oublions pas de mentionner le fait que la machine "un ordinateur" doit avoir Linux #1
configure comme sa passerelle (que ca soit la route par defaut ou juste un sous reseau
n'a pas d'importance). Si la machine "un ordinateur" ne peut pas faire ca, alors la
machine Linux doit etre configuree de telle sorte que le proxy arp fonctionne pour toute
les adresses de routage. Mais la mise en place et la configuration d'un proxy arp depasse
le cadre de ce document.
L'extrait suivant est tire d'un post sur comp.os.linux.networking qui a ete modifie
de facon a tenir compte des noms utilises dans l'exemple precedent :
o Je dis a la machine "un ordinateur" que mon Linux, connecte via PPP ou SLIP, est
sa passerelle.
o Quand un paquet provenant d"un ordinateur" arrive a ma machine Linux, elle va lui
assigner un nouveau numero de port source TCP/IP et va coller sa propre adresse IP
dans l'entete du paquet, tout en sauvegardant l'entete originale. Le server MASQ
va ensuite envoyer le paquet ainsi modifie sur Internet via son interface SLIP/PPP.
o Quand un paquet arrive d'Internet vers la machine Linux, Linux va examiner si son
numero de port est l'un des numeros qu'il avait assigne precedement. Si c'est le cas,
le server MASQ va recuperer le port et l'adresse IP originale et les remettre dans
l'entete de paquet qui est revenu. Enfin Linux va renvoyer ce paquet a la machine
"un ordinateur".
o La machine qui a envoye le paquet ne fera pas la difference.
</pre>
<p><b>Un Autre Exemple d'IP Masquerading :</b></p>
<p>Un exemple typique est donné dans le diagramme ci-dessous
:</p>
<pre>
+----------+
| | Ethernet
| A |::::::
| |.2 : 192.168.0.x
+----------+ :
: +----------+ PPP
+----------+ : .1 | Linux | link
| | :::::::| Masq-Gate|:::::::::::::::::::// Internet
| B |:::::: | | 111.222.121.212
| |.3 : +----------+
+----------+ :
:
+----------+ :
| | :
| C |::::::
| |.4
+----------+
| | |
| <- Reseau Interne --> | | <- Reseau Externe ---->
| | |
</pre>
<p>Dans cet exemple, il y a (4) ordinateurs qui méritent
notre attention. Il y a aussi sans doute quelque chose tout
à droite d'où provient votre connexion PPP à
Internet (serveur terminal, etc.) et il y a aussi un serveur
distant (très très loin de la droite de cette page)
sur Internet avec qui vous voulez communiquer. Le serveur Linux
<b><code>Masq-Gate</code></b> est la passerelle d'IP Masquerading
pour TOUT le réseau interne constitué des machines
<b><code>A</code></b>, <b><code>B</code></b> et
<b><code>C</code></b>. C'est par là que se fera leur
accès à Internet. Le réseau interne utilise
une des <a href=
"http://www.cis.ohio-state.edu/htbin/rfc/rfc1918.html">adresses
reservées pour les réseaux privés par le
RFC-1918</a>. Dans notre cas, c'est les adresses de Classe C
192.168.0.0. Le serveur Linux a l'adresse 192.168.0.1 alors que les
autres ordinateurs ont les adresses suivantes :</p>
<ul>
<li>A: 192.168.0.2</li>
<li>B: 192.168.0.3</li>
<li>C: 192.168.0.4</li>
</ul>
<p>Les trois machines, <code>A</code>, <code>B</code> et
<code>C</code>, peuvent tourner sous n'importe quel système
d'exploitation pour peu qu'ils puissent communiquer par TCP/IP. Les
OS tels que <b>Windows 95</b>, <b>Macintosh MacTCP ou
OpenTransport</b> et <b>Linux</b> peuvent se connecter à
d'autres machines sur Internet. Lorsqu'il est lancé, le
serveur IP Masquerade ou <code>portail MASQ</code> convertit toutes
les connexions internes de telle sorte qu'ells semblent provenir du
<code>passerelle MASQ</code> lui même. MASQ reconvertit
ensuite les données qui lui reviennent sur un port
masqueradé et ces données sont renvoyées vers
la machine qui en est à l'origine. A cause de cela, les
ordinateurs du réseau interne voient une route directe vers
Internet et ne sont pas au courant que leurs données sont
masqueradées. C'est ce que l'on appelle une connexion
"transparente".</p>
<p>NB: Vous pouvez vous reporter à <a href="#FAQ">FAQ</a>
pour de plus amples détails sur les sujets tels que :</p>
<ul>
<li>les différences entre NAT, MASQ, et les serveurs
Proxy.</li>
<li>le fonctionnement des firewalls pour les trames</li>
</ul>
<p><a name="2.2.x-Requirements"></a></p>
<h2><a name="ss2.6">2.6 Configurations Requises pour IP Masquerade
sous Linux 2.2.x</a></h2>
<blockquote><b>** Reportez vous SVP à l' <a href=
"http://ipmasq.cjb.net/">IP Masquerade Resource</a> pour les
informations les plus récentes**</b></blockquote>
<ul>
<li>Les sources du noyau 2.2.x disponible sur le site : <a href=
"http://www.kernel.org/">http://www.kernel.org/</a><br>
NOTE #1: Les noyaux Linux 2.2.x inférieurs à 2.2.16
ont un trou de sécurité (TCP root exploit) et les
versions inférieures à 2.2.11 ont un bug de
fragmentation dans IPCHAINS. Pour cette raison, les personnes qui
utilisent des règles IPCHAINS très restrictives sont
attaquables. Mettez à jour votre noyau vers une version
corrigée.
<p>NOTE #2: La plupart des nouvelles distributions compatibles
<a href=
"#MASQ-supported-Distributions">MASQ-supported-Distributions</a>
tels que Redhat 5.2 peuvent ne pas correspondre à
l'installation de Linux 2.2.x requise. Des utilitaires tels que
DHCP, NetUtils, etc. vont devoir être mis à jour. Vous
pourrez trouver plus de details dans ce HOWTO.</p>
</li>
<li>Modules noyau, de préférénce 2.1.121 ou
mieux, disponibles sur les sites suivants : <a href=
"http://www.pi.se/blox/modutils/index.html">http://www.pi.se/blox/modutils/index.html</a>
or <a href=
"ftp://ftp.ocs.com.au/pub/modutils/">ftp://ftp.ocs.com.au/pub/modutils/</a></li>
<li>Un réseau fonctionnant sous TCP/IP ou un LAN
traité dans <a href=
"http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html">Linux NET-3-4
HOWTO</a> et le <a href=
"http://www.linuxdoc.org/LDP/nag/nag.html">Network Administrator's
Guide</a><br>
Vous pouvez aussi regarder le document <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS</a>. TrinityOS est un guide très complet pour le
réseau sous linux. Il traite de nombreux thèmes dont
: l'IP MASQ, la sécurité,les DNS, DHCP, Sendmail,
PPP, Diald, NFS, VPNs basés sur IPSEC et possède une
section sur les performances. Il contient plus de 50 sections au
total !</li>
<li>La connexion de votre machine Linux à Internet est
traitée dans : <a href=
"http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html">Linux ISP
Hookup HOWTO</a>, <a href=
"http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html">Linux PPP HOWTO</a>,
<a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS</a>, <a href=
"http://www.linuxdoc.org/HOWTO/mini/DHCP/index.html">Linux DHCP
mini-HOWTO</a>, <a href=
"http://www.linuxdoc.org/HOWTO/Cable-Modem/index.html">Linux Cable
Modem mini-HOWTO</a> and <a href=
"http://www.linuxdoc.org/HOWTO/mini/ADSL.html">http://www.linuxdoc.org/HOWTO/mini/ADSL.html</a></li>
<li>IP Chains 1.3.9 ou supérieur est disponible ici :
<a href=
"http://netfilter.filewatcher.org/ipchains/">http://netfilter.filewatcher.org/ipchains/</a>.<br>
Des informations supplémentaires sur les versions requises
et les dernières mises à jour de IPCHAINS HOWTO etc.
se trouvent à l'URL suivant : <a href=
"http://netfilter.filewatcher.org/ipchains/">Linux IP Chains
page</a></li>
<li>La configuration, la compilation et l'installation d'un nouveau
noyau Linux sont expliquées dans le <a href=
"http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html">Linux Kernel
HOWTO</a></li>
<li>Vous pouvez télécharger de nombreux utilitaires
optionnels pour IP Masquerade qui permettent des
fonctionnalités supplémentaires tels que :
<ul>
<li>port-forwarder ou re-diriger des ports TCP/IP :
<ul>
<li><a href="http://juanjox.kernelnotes.org/">IP PortForwarding
(IPMASQADM) - RECOMMENDED</a> ou l'ancien <a href=
"http://www.geocities.com/SiliconValley/Campus/4869/">mirror</a>.</li>
</ul>
</li>
</ul>
<p>module ICQ MASQ</p>
<ul>
<li><a href="http://members.tripod.com/~djsf/masq-icq/">module ICQ
MASQ d'Andrew Deryabin</a></li>
</ul>
<p>Solutions de PORTFW pour FTP:</p>
<ul>
<li>Les deux noyaux 2.2.x et 2.0.x ont un Module MASQ pour PORTFWer
un FTP vers une machine MASQuée. Reportez vous SVP à
la page relative aux applications ( <a href=
"http://ipmasq.cjb.net">IPMASQ WWW site</a>) pour les
détails complets.</li>
<li>Il y a un proxy FTP complet fait par SuSE qui possède
une fonction similaire au PORTFWing pour accéder à un
serveur FTP interne. Pour plus de details, reportez vous SVP
à l'URL : <a href=
"http://www.suse.de/en/support/proxy_suite/index.html">SuSe Proxy
URL</a></li>
</ul>
<p>IPROUTE2 pour la vraie 1:1 NAT, le routage basé sur la
source (Policy-based / source routing), et le façonnage du
Traffic :</p>
<ul>
<li><a href=
"ftp://ftp.inr.ac.ru/ip-routing/">ftp://ftp.inr.ac.ru/ip-routing</a></li>
<li>La documentation se trouve ici : <a href=
"http://www.compendium.com.ar/policy-routing.txt">http://www.compendium.com.ar/policy-routing.txt</a></li>
<li>L' <a href=
"http://www.linuxdoc.org/HOWTO/Adv-Routing-HOWTO.html">Advanced
Routing HOWTO</a></li>
<li><a href=
"http://defiant.coinet.com/iproute2/">http://defiant.coinet.com/iproute2/</a>
<p>Voici quelques serveurs mirroirs pour le code source:</p>
<p><a href=
"ftp://linux.wauug.org/pub/net">ftp://linux.wauug.org/pub/net</a>
<a href=
"ftp://ftp.nc.ras.ru/pub/mirrors/ftp.inr.ac.ru/ip-routing/">ftp://ftp.nc.ras.ru/pub/mirrors/ftp.inr.ac.ru/ip-routing/</a>
<a href=
"ftp://ftp.gts.cz/MIRRORS/ftp.inr.ac.ru/">ftp://ftp.gts.cz/MIRRORS/ftp.inr.ac.ru/</a>
<a href=
"ftp://ftp.funet.fi/pub/mirrors/ftp.inr.ac.ru/ip-routing/">ftp://ftp.funet.fi/pub/mirrors/ftp.inr.ac.ru/ip-routing/
(STM1 to USA)</a> <a href=
"ftp://sunsite.icm.edu.pl/pub/Linux/iproute/">ftp://sunsite.icm.edu.pl/pub/Linux/iproute/</a>
<a href=
"ftp://ftp.sunet.se/pub/Linux/ip-routing/">ftp://ftp.sunet.se/pub/Linux/ip-routing/</a>
<a href=
"ftp://ftp.nvg.ntnu.no/pub/linux/ip-routing/">ftp://ftp.nvg.ntnu.no/pub/linux/ip-routing/</a>
<a href=
"ftp://ftp.crc.ca/pub/systems/linux/ip-routing/">ftp://ftp.crc.ca/pub/systems/linux/ip-routing/</a>
<a href="ftp://ftp.paname.org">ftp://ftp.paname.org (France)</a>
<a href=
"ftp://donlug.ua/pub/mirrors/ip-route/">ftp://donlug.ua/pub/mirrors/ip-route/</a>
<a href=
"ftp://omni.rk.tusur.ru/mirrors/ftp.inr.ac.ru/ip-routing/">ftp://omni.rk.tusur.ru/mirrors/ftp.inr.ac.ru/ip-routing/</a></p>
<p>les RPMs sont disponibles ici : <a href=
"ftp://omni.rk.tusur.ru/Tango/">ftp://omni.rk.tusur.ru/Tango/</a>
et la : <a href=
"ftp://ftp4.dgtu.donetsk.ua/pub/RedHat/Contrib-Donbass/KAD/">ftp://ftp4.dgtu.donetsk.ua/pub/RedHat/Contrib-Donbass/KAD/</a></p>
</li>
</ul>
<p>Reportez vous SVP à l' <a href=
"http://ipmasq.cjb.net/">IP Masquerade Resource</a> pour plus
d'informations sur ces patches ou d'autres éventuels
patches.</p>
</li>
</ul>
<p><a name="2.3.x/2.4.x-Requirements"></a></p>
<h2><a name="ss2.7">2.7 Configurations Requises pour IP Masquerade
sous Linux 2.3.x and 2.4.x</a></h2>
<blockquote><b>** Reportez vous SVP à l' <a href=
"http://ipmasq.cjb.net/">IP Masquerade Resource</a> pour les
informations les plus récentes**</b></blockquote>
<p><a name="NetFilter"></a></p>
<ul>
<li>Les nouveaux noyaux 2.3.x et 2.4.x utilisent un nouveau
système appelé NetFilter (un peu à la
manière des noyaux 2.2.x qui utilisèrent IPCHAINS).
Heureusement, <b>contrairement</b> à la migration vers
IPCHAINS, le nouvel utilitaire NetFilter arrive avec des modules
noyaux qui permettent d'utiliser de façon NATIVE la syntaxe
d'IPCHAINS et d'IPFWADM et donc il n'est pas nécessaire de
réecrire tous vos anciens scripts. Mais il pourrait y avoir
quelques avantages à le faire (vitesse, nouvelles
fonctionnalités, etc.) mais tout ca dépend de la
qualité de vos anciennes règles. De nombreux
changements d'architectures ont eu lieu dans ce nouveau code et
permettent beaucoup plus de flexibilité, et de
fonctionnalités à venir, etc.
<p>Voici quelques avantages et inconvenients des nouvelles
fonctionnalités :</p>
<p><b>avantages:</b></p>
<ul>
<li>VRAIE 1:1 NAT pour ceux qui veulent avoir des sous-reseaux
TCP/IP et qui veulent jouer avec</li>
<li>PORTFWing integré. IPMASQADM n'est donc plus
obligatoire</li>
<li>le PORTFWing integré fonctionne pour le traffic externe
et interne. Ce qui signifie que les utilisateurs qui utilisaient
PORTFW pour le traffic externe et le REDIR pour le traffic interne
ne vont plus avoir à utiliser deux utilitaires !</li>
<li>Capacité de routage Policy-Based complète
(routage d'adresse TCP/IP base sur la source)</li>
<li>Compatible avec les capacités FastRoute de Linux pour
obtenir un packet forwarding beaucoup plus rapide (changement de
réseau Linux)</li>
<li>compatibilité complète avec TCP/IP v4, v6, et
même DECnet (ack!)</li>
<li>compatible avec les wildcard pour les noms d'interface comme :
ppp* pour PPP0, PPP1, etc.</li>
<li>permet le filtrage des entrées et des sorties sur les
INTERFACES</li>
<li>Filtrage Ethernet MAC</li>
<li>limitation du taux des paquets de type Denial of Service
(DoS)</li>
<li>fonctionnalité très simple,
générique, de type stateful d'inspection</li>
<li>la fonction Packet REJECT possède maintenant un renvoie
de messages ICMP configurable par l'utilisateur</li>
<li>Différents niveaux de logging (différents paquets
peuvent aller dans differents niveaux de SYSLOG)</li>
</ul>
<p><b>inconvénients:</b></p>
<ul>
<li>Puisque NetFilter est une architecture toute neuve, la plupart
des anciens modules noyaux de MASQ vont devoir être
réécrits. C'est à dire que pour le moment,
seul le module FTP a été mis à jour et les
modules suivants ont encore besoin de l'eêtre :
<p>ip_masq_cuseeme.o ip_masq_icq.o ip_masq_quake.o ip_masq_user.o
ip_masq_irc.o ip_masq_raudio.o ip_masq_vdolive.o</p>
<p>Il existe un document expliquant comment faire ce portage ici :
<a href=
"http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO-5.html">
http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO-5.html</a>,
Si vous avez le temps, votre talent serait d'une grande aide pour
porter ces modules plus rapidement.</p>
</li>
</ul>
<p>Dans la version actuelle de ce HOWTO, NetFilter N'est PAS
traité. Une fois que les fonctionnalité de NetFilter
seront fixées, NetFilter sera traité dans -ce- HOWTO
ou peut être éventuellement dans un nouveau HOWTO.
D'ici là, vous pouvez vous tournez vers ces liens pour la
documentation de NetFilter. Pour le moment, la configuration et la
résolution des conflits et problèmes du nouveau
NetFilter va être similaire à 95% à celles du
IPCHAINS actuel. En raison de tout ça, ce HOWTO va
être utile aux utilisateurs de firewall NetFilter et de
NAT.</p>
<p><a href=
"http://netfilter.filewatcher.org/unreliable-guides/index.html">http://netfilter.filewatcher.org/unreliable-guides/index.html</a>
et plus spécifiquement <a href=
"http://netfilter.filewatcher.org/unreliable-guides/NAT-HOWTO.html">
http://netfilter.filewatcher.org/unreliable-guides/NAT-HOWTO.html</a></p>
</li>
</ul>
<p>Reportez vous SVP à l' <a href=
"http://ipmasq.cjb.net/">IP Masquerade Resource</a> pour plus
d'informations sur ces patches ou d'autres eventuels patches.</p>
<p><a name="2.0.x-Requirements"></a></p>
<h2><a name="ss2.8">2.8 Configurations Requises pour IP Masquerade
sous Linux 2.0.x</a></h2>
<blockquote><b>** Reportez vous SVP à l' <a href=
"http://ipmasq.cjb.net/">IP Masquerade Resource</a> pour les
informations les plus récentes**</b></blockquote>
<ul>
<li>Tout ordinateur convenable. Reportez vous SVP à la
section <a href="#FAQ-Hardware">FAQ-Hardware</a> pour de plus
amples détails.</li>
<li>les sources du noyau 2.0.x disponibles ici : <a href=
"http://www.kernel.org/">http://www.kernel.org/</a><br>
(La plupart des Linux modernes <a href=
"#MASQ-supported-Distributions">MASQ-supported-Distributions</a>
tels que RedHat 5.2 ont un noyau modulaire compilé avec
toutes les options nécessaires à IP Masquerade. Dans
de tels cas, il n'y a pas besoin de recompiler un nouveau noyau. Si
vous UPGRADEZ votre noyau, il est possible que d'autres programmes
puissent être requis et/ou mis à jour (ces programmes
sont mentionnés plus loin dans ce HOWTO).</li>
<li>Modules noyaux, de préférénce 2.1.85 ou
mieux, disponible sur les sites suivants : <a href=
"http://www.pi.se/blox/modutils/index.html">http://www.pi.se/blox/modutils/index.html</a>
ou <a href=
"ftp://ftp.ocs.com.au/pub/modutils/">ftp://ftp.ocs.com.au/pub/modutils/</a><br>
(les modules-1.3.57 sont le minimum requis)</li>
<li>Un réseau fonctionnant sous TCP/IP ou un LAN
traité dans <a href=
"http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html">Linux NET-3-4
HOWTO</a> et le <a href=
"http://www.linuxdoc.org/LDP/nag/nag.html">Network Administrator's
Guide</a><br>
Vous pouvez aussi regarder le document <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS</a>. TrinityOS est un guide très complet pour le
réseau sous linux. Il traite de nombreux thèmes dont
: l'IP MASQ, la sécurité, les DNS, DHCP, Sendmail,
PPP, Diald, NFS, VPNs basés sur IPSEC et contient une
section sur les performances. Il contient plus de 50 sections au
total !</li>
<li>La connexion de votre machine Linux à Internet est
traitée dans : <a href=
"http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html">Linux ISP
Hookup HOWTO</a>, <a href=
"http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html">Linux PPP HOWTO</a>,
<a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS</a>, <a href=
"http://www.linuxdoc.org/HOWTO/mini/DHCP/index.html">Linux DHCP
mini-HOWTO</a>, <a href=
"http://www.linuxdoc.org/HOWTO/Cable-Modem/index.html">Linux Cable
Modem mini-HOWTO</a> et <a href=
"http://www.linuxdoc.org/HOWTO/mini/ADSL.html">http://www.linuxdoc.org/HOWTO/mini/ADSL.html</a></li>
<li>Ipfwadm 2.3 ou supérieur est disponible ici : <a href=
"ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.0.tar.gz">ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz</a><br>
Des informations supplémentaires sur les versions requises
sont disponible ici : <a href=
"http://www.xos.nl/linux/ipfwadm/">Linux IPFWADM page</a>
<ul>
<li>Si vous voulez faire tourner IPCHAINS sur un noyau 2.0.38+,
reportez vous ici : <a href=
"http://www-miaif.lip6.fr/willy/pub/linux-patches/">Willy Tarreau's
IPCHAINS enabler for 2.0.36</a> ou ici : <a href=
"http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html">Rusty's
IPCHAINS for 2.0.x kernels</a></li>
</ul>
</li>
<li>Savoir configurer, compiler, et installer un nouveau noyau
Linux comme expliqué ici : <a href=
"http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html">Linux Kernel
HOWTO</a></li>
<li>Vous pouvez aussi appliquer plusieur patches optionnel à
IP Masquerade pour lui 'apprendre' des fonctionnalités
telles que :
<ul>
<li>port-forwarder ou re-diriger des ports TCP/IP : Avec ces
utilitaires, vous pouvez faire fonctionner des programmes qui
normalement ne fonctionne pas dernière un server MASQ. De
plus, vous pouvez configurer le server MASQ de façon
à permettre aux internautes de contacter des servers WWW,
TELNET, SMTP, FTP (avec un patch), etc. internes. Reportez vous SVP
à la section <a href="#Forwarders">Forwarders</a> de ce
HOWTO pour de plus amples informations. Voici une liste des
différents patches IP Masquerade disponibles pour le noyau
2.0.x :
<ul>
<li>Steven Clarke's <a href=
"http://www.ox.compsoc.org.uk/~steve/portforwarding.html">IP
PortForwarding (IPPORTFW)</a> - <b>RECOMMANDE</b></li>
<li><a href="http://ipmasq.cjb.net/ipautofw.tar.gz">IP
AutoForward</a> et <a href=
"ftp://ftp.netis.com/pub/members/rlynch/ipautofw.tar.gz">un
mirroir</a> (IPAUTOFW) - <a href=
"http://ipmasq.cjb.net/tcpdeath.html">NON Recommande</a></li>
<li><a href="http://ipmasq.cjb.net/redir_0.7.orig.tar.gz">REDIR</a>
pour TCP (REDIR) - NON Recommandé</li>
<li><a href="http://ipmasq.cjb.net/udpred.c.gz">UDP redirector</a>
(UDPRED) - NON Recommandé</li>
</ul>
<p>Solutions de PORTFW pour FTP: :</p>
<ul>
<li>Si vous voulez utiliser le PORTFW pour renvoyer le traffic FTP
vers un server FTP interne, vous aurez sans doute besoin de :
<a href="http://ipmasq.cjb.net/patches/portfw-ftp-patch.tgz">Fred
Viles's FTP server patch via HTTP</a> ou <a href=
"ftp://ftp.e-infomax.com/ipmasq/patches/portfw-ftp-patch.tgz">Fred
Viles's FTP server patch via FTP</a>. De plus amples details sont
disponibles à la section <a href=
"#Forwarders">Forwarders</a> de ce HOWTO.</li>
</ul>
<p>forwarder des écrans X-Window :</p>
<ul>
<li><a href=
"ftp://sunsite.unc.edu/pub/Linux/X11/compress/dxpc-3.7.0.tar.gz">X-windows
forwarding (DXCP)</a></li>
</ul>
<p>module MASQ ICQ :</p>
<ul>
<li><a href="http://members.tripod.com/~djsf/masq-icq/">Andrew
Deryabin's ICQ MASQ module</a></li>
</ul>
<p>forwarders PPTP (GRE) et VPNs SWAN (IPSEC) tunneling :</p>
<ul>
<li><a href=
"ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html">John
Hardin's VPN Masquerade forwarders</a> ou bien l'ancien patch
uniquement pour le <a href=
"http://ipmasq.cjb.net/ip_masq_pptp.patch.gz">PPTP</a>.</li>
</ul>
<p>Patches spécifiques aux jeux:</p>
<ul>
<li>Glenn Lamb's <a href=
"ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz">LooseUDP
for 2.0.36+</a> patch.
<p>Jetez un coup d'oeil à la <a href=
"http://www.alumni.caltech.edu/~dank/peer-nat.html">Page NAT</a> de
Dan Kegel pour plus d'informations. De plus amples informations se
trouvent à la section <a href=
"#Game-Clients">Game-Clients</a> et dans la section <a href=
"#FAQ">FAQ</a> .</p>
</li>
</ul>
</li>
</ul>
<p>Reportez vous SVP à l' <a href=
"http://ipmasq.cjb.net/">IP Masquerade Resource</a> pour plus
d'informations sur ces patches ou d'autres éventuels
patches.</p>
</li>
</ul>
<h2><a name="s3">3. Installer IP Masquerade</a></h2>
<blockquote><b>Si votre réseau privé contient
quelqu'information vitale, vous devez soigneusement
réflechir en terme de SECURITE avant d'utiliser IP
Masquerade. Par defaut, IP MASQ devient une passerelle pour vous
permettre d'acceder à Internet mais il peut aussi permettre
à quelqu'un de s'introduire à partir d'Internet sur
votre réseau interne.</b>
<p>Une fois que vous avez IP MASQ qui fonctionne, il est VIVEMENT
recommandé d'utiliser un jeu de règles du
sécurité largement supérieur, que nous
appellerons STRONG (STRONG IPFWADM/IPCHAINS firewall ruleset en
anglais) dans la suite. Vous pouvez vous reportez aux sections
<a href="#Strong-IPFWADM-Rulesets">Strong-IPFWADM-Rulesets</a> et
<a href="#Strong-IPCHAINS-Rulesets">Strong-IPCHAINS-Rulesets</a>
plus loin dans le texte pour plus de détails.</p>
</blockquote>
<h2><a name="ss3.1">3.1 Compiler un noyau avec les
fonctionnalités d'IP Masquerade</a></h2>
<p><a name="Kernel-Compile"></a></p>
<blockquote><b>Si votre distribution Linux possède
déjà toutes les fonctions nécessaires tels que
:</b>
<ul>
<li>IPFWADM/IPCHAINS</li>
<li>IP forwarding</li>
<li>IP masquerading</li>
<li>IP Firewalling</li>
<li>etc.</li>
</ul>
et que tous les modules relatif à MASQ y soient
compilés (la plupart des noyaux modulaires vont avoir ce
dont vous avez besoin), vous N'aurez PAS besoin de recompiler un
noyau. Si vous ne savez pas si votre distribution Linux est pret
pour MASQ, reportez vous à la section <a href=
"#MASQ-supported-Distributions">MASQ-supported-Distributions</a> .
Si vous ne faites pas confiance à cette liste, ou que votre
distribution n'y est pas listée, essayez les tests suivants
:
<ul>
<li>logguez vous sur votre machine linux et lancez la commande
suivante : "ls /proc/sys/net/ipv4".</li>
<li>Regardez si les fichiers tels que "ip_forward",
"ip_masq_debug", "ip_masq_udp_dloose"(optionnel), et
"ip_always_defrag"(optionnel) existent.</li>
</ul>
Si oui, c'est que votre noyau est fin pret !
<p>Si vous ne trouvez aucun des fichiers précités ou
si votre distribution ne permet pas l'IP Masquerading par
défaut, SUPPOSEZ QU'IL NE PERMET PAS l'utilisation de MASQ
par defaut ! Dans ce cas, vous allez devoir compiler un noyau...
mais ne vous inquietez pas, ce n'est pas difficile.</p>
<p>Que la compatibilité soit native ou pas sur votre
distribution, la lecture de cette section est VIVEMENT
recommandée parce qu'elle contient d'autres informations
utiles.</p>
</blockquote>
<h3>Noyaux Linux 2.2.x</h3>
<p><b>Reportez vous à la section <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> pour les logiciels
nécessaires, les patches, etc.</b></p>
<ul>
<li>D'abord, vous aurez besoin des sources du noyau 2.2.x (de
préférence la dernière version 2.2.16 ou
mieux)
<p>NB #1: Les noyaux Linux 2.2.x inférieurs à 2.2.16
ont un trou de securité (TCP root exploit) et les versions
inférieurs à 2.2.11 ont un bug de fragmentation dans
IPCHAINS. Pour cette raison, les personnes qui utilisent des jeux
de règles IPCHAINS très restrictives sont
attaquables. Mettez à jour votre noyau vers une version
corrigée.</p>
<p>NB #2: Pendant les mises à jour des noyaux 2.2.x, les
options de compilations n'ont cessé de changer. Ici nous
allons vous montrer les réglages pour la version 2.2.15. Si
vous utilisez une version antérieure du noyau, les dialogues
peuvent paraître différents. Nous vous recommandons de
faire la mise à jour vers la dernière version du
noyau en raison des nouvelles fonctionnalités et de la
stabilité accrue qu'elle procure.</p>
</li>
<li>Ne soyez pas effrayé si c'est la première fois
que vous compilez un noyau. En fait c'est plutôt facile et
plusieurs URLs que vous trouverez dans la section <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> traitent de
ça.</li>
<li>Decompressez les sources du noyau dans le répertoire
<code>/usr/src/</code> en utilisant la commande <code>tar xvzf
linux-2.2.x.tar.gz -C /usr/src</code> ou "x" représente la
version de votre noyau 2.2. Une fois ceci terminé,
vérifiez que le dossier ou le lien symbolique vers
<code>/usr/src/linux/</code> existe bien.</li>
<li>Appliquez tous les patches, optionnels ou non, au source de
votre noyau. Pour le 2.2.1, IP Masq n'a pas pas besoin de patch
pour fonctionner correctement. Des fonctionnalités telles
que PPTP ou le forwarding de X-Window sont optionnels. Vous pouvez
vous reporter à la section <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> pour les URLs et
à l' <a href="http://ipmasq.cjb.net/">IP Masquerade
Resources</a> pour les informations les plus récentes et les
liens vers les patches.</li>
<li>Voici les options de compilations MINIMALES dont vous allez
avoir besoin lors de la compilation de votre noyau. Vous aurez
aussi besion de configurer votre noyau pour utiliser vos interfaces
reseaux. Reportez vous au <a href=
"http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html">Linux Kernel
HOWTO</a> et le fichier README qui se trouve dans le dossier des
sources du noyau pour de plus amples informations sur la
compilation du noyau.
<p>Répondez par <b><em>YES ou NO</em></b> aux questions
suivantes. Toutes les options ne seront pas disponibles si votre
noyau n'est pas patché convenablement comme décrit
ci-dessous dans ce HOWTO :</p>
</li>
</ul>
<blockquote>
<pre>
<code>
* Prompt for development and/or incomplete code/drivers (CONFIG_EXPERIMENTAL) [Y/n/?]
- YES: Bienque non requis par IP MASQ, cette option permet au noyau de creer les
modules MASQ et d'activer l'option 'port forwarding'
-- Les options ne correspondant a MASQ sont omis --
* Enable loadable module support (CONFIG_MODULES) [Y/n/?]
- YES: Permet de charger les modules noyau d'IP MASQ
-- Les options ne correspondant a MASQ sont omis --
* Networking support (CONFIG_NET) [Y/n/?]
- YES: Active les capacites reseau
-- Les options ne correspondant a MASQ sont omis --
* Sysctl support (CONFIG_SYSCTL) [Y/n/?]
- YES: vous donne le pouvoir d'activer/desactiver des options tels que le forwarding,
les IP dynamiques, le LooseUDP, etc.
-- Les options ne correspondant a MASQ sont omis --
* Packet socket (CONFIG_PACKET) [Y/m/n/?]
- YES: Bienque ca soit OPTIONNEL, il est recommande d'activer cette fontionnalite
qui permet d'utiliser TCPDUMP pour
debugguer les eventuels problems d'IP MASQ
* Kernel/User netlink socket (CONFIG_NETLINK) [Y/n/?]
- YES: Bienque ca soit OPTIONNEL, cette fonctionnalite permet de creer des logs
des problemes du firewall avance tel que le routage des messages etc.
* Routing messages (CONFIG_RTNETLINK) [Y/n/?]
- NO: Cette option n'a rien a voir avec les logs du packet firewall
-- Les options ne correspondant a MASQ sont omis --
* Network firewalls (CONFIG_FIREWALL) [Y/n/?]
- YES: Permet de configurer le noyau avec l'utilitaire de firewall IPCHAINS
* Socket Filtering (CONFIG_FILTER) [Y/n/?]
- OPTIONAL: Bienque cette option n'ai rien a voir avec IPMASQ, si vous
comptez installer un serveur DHCP sur votre reseau interne, vous AUREZ besoin
de cette option.
* Unix domain sockets (CONFIG_UNIX) [Y/m/n/?]
- YES: Active les mecanismes de sockets TCP/IP d'UNIX.
* TCP/IP networking (CONFIG_INET) [Y/n/?]
- YES: Active les protocoles TCP/IP
-- Les options ne correspondant a MASQ sont omis --
* IP: advanced router (CONFIG_IP_ADVANCED_ROUTER) [Y/n/?]
- YES: Permet de configurer les options avances de MASQ que nous verrons plus loins
* IP: policy routing (CONFIG_IP_MULTIPLE_TABLES) [N/y/?]
- NO: Pas necessaire pour MASQ mais les utilisateurs qui ont besoin de fonctions avancees telles
que le source address-based TCP/IP ou le routage par TOS doivent activer cette option.
* IP: equal cost multipath (CONFIG_IP_ROUTE_MULTIPATH) [N/y/?]
- NO: Pas necessaire pour les fonctions usuelles de MASQ
* IP: use TOS value as routing key (CONFIG_IP_ROUTE_TOS) [N/y/?]
- NO: Pas necessaire pour les fonctions usuelles de MASQ
* IP: verbose route monitoring (CONFIG_IP_ROUTE_VERBOSE) [Y/n/?]
- YES: Necessaire si vous voulez utiliser les codes de routage pour eliminer les paquets
IP spoofes (vivement recommande) et si vous voulez les mettres dans les logs.
* IP: large routing tables (CONFIG_IP_ROUTE_LARGE_TABLES) [N/y/?]
- NO: Pas necessaire pour les fonctions usuelles de MASQ
* IP: kernel level autoconfiguration (CONFIG_IP_PNP) [N/y/?] ?
- NO: Pas necessaire pour les fonctions usuelles de MASQ
* IP: firewalling (CONFIG_IP_FIREWALL) [Y/n/?]
- YES: Active les capacites de firewalling.
* IP: firewall packet netlink device (CONFIG_IP_FIREWALL_NETLINK) [Y/n/?]
- OPTIONAL: Bienqu'OPTIONNELLE, cette fonction permet a IPCHAINS de copier quelques paquets
vers l'utilitaire UserSpace pour des verifications supplementaires.
* IP: transparent proxy support (CONFIG_IP_TRANSPARENT_PROXY) [N/y/?]
- NO: Pas necessaire pour les fonctions usuelles de MASQ
* IP: masquerading (CONFIG_IP_MASQUERADE) [Y/n/?]
- YES: Permet a IP Masquerade de readresser certains paquets TCP/IP specifiques de l'interieur
vers l'exterieur
* IP: ICMP masquerading (CONFIG_IP_MASQUERADE_ICMP) [Y/n/?]
- YES: Permet de masquerader les paquets ICMP de ping (dans tous les cas, les codes d'erreur
d'ICMP sont MASQues). Cette fonction est importante pour regler les problemes de connexion.
* IP: masquerading special modules support (CONFIG_IP_MASQUERADE_MOD) [Y/n/?]
- YES: Bienqu'OPTIONNELLE, cette option permet d'activer plus loin le port forwarding de
TCP/IP qui permet aux ordinateurs exterieurs de ce connecter vers des machines MASQuees
specifiques (donc internes).
* IP: ipautofw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPAUTOFW) [N/y/m/?]
- NO: IPautofw est une methode heritee du port forwardinf. C'est essentiellement du vieux
code qui est reconnu pour avoir des problemes. NON recommande.
* IP: ipportfw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPPORTFW) [Y/m/n/?]
- YES: Active IPPORTFV qui permet a des ordinateurs externe se trouvant sur Internet de
communiquer avec un ordinateur MASQue interne specifique. Cette fonctionnalite est typiquement
utilisee pour acceder a des serveurs SMTP, TELNET et WWW. Le port forwarding pour le FTP aura
besoin d'un patch supplementaire dont nous avons donne la description dans la FAQ de ce HOWTO.
Des informations supplementaires sont disponibles dans la section Forwards de ce HOWTO.
* IP: ip fwmark masq-forwarding support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_MFW) [Y/m/n/?]
- OPTIONAL: C'est une nouvelle methode pour faire du PORTFW. Avec elle, IPCHAINS peut marquer
les paquets sur lesquels il faut faire du travail supplementaire. Avec l'utilitaire UserSpace,
qui ressemble a IPMASQADM ou IPPORTFW, IPCHAINS pourra alors automatiquement readresser les paquets.
Pour le moment, cette partie du code est moins testee que PORTFW mais reste neanmoins tres
prometteur. Nous vous recommandons d'utiliser pour le l'instant IPMASQADM et IPPORTFW. Si vous
avez des reflexions sur MFW, envoyez les moi par email SVP.
* IP: optimize as router not host (CONFIG_IP_ROUTER) [Y/n/?]
- YES: Optimise le noyau pour le reseau bienque nous ne sachions pas si les gains de performance
sont significatives ou pas.
* IP: tunneling (CONFIG_NET_IPIP) [N/y/m/?]
- NO: OPTIONNEL pour le tunneling IPIP a traver IP Masq. Si vous avez besoin de fonctionnalites
VPN/tunneling, il est recommande d'utiliser soit les tunnels GRE soit les tunnels IPSEC
* IP: GRE tunnels over IP (CONFIG_NET_IPGRE) [N/y/m/?]
- NO: OPTIONNEL. Permet l'activation de tunnels GRE et PPTP a travers IP MASQ.
-- Les options ne correspondant a MASQ sont omis --
* IP: TCP syncookie support (not enabled per default) (CONFIG_SYN_COOKIES) [Y/n/?]
- YES: VIVEMENT recommande pour la securite TCP/IP de base.
-- Les options ne correspondant a MASQ sont omis --
* IP: Allow large windows (not recommended if <16Mb of memory) * (CONFIG_SKB_LARGE) [Y/n/?]
- YES: Ceci est recommande pour optimiser les fenetres TCP de Linux
-- Les options ne correspondant a MASQ sont omis --
* Network device support (CONFIG_NETDEVICES) [Y/n/?]
- YES: active la sous couche materielle du reseau sous Linux
-- Les options ne correspondant a MASQ sont omis --
* Dummy net driver support (CONFIG_DUMMY) [M/n/y/?]
- YES: Bienqu'OPTIONNELLE, cette option peut aider pendant le debuggage
== N'oubliez pas d'activer les drivers de votre carte reseau !! ==
-- Les options ne correspondant a MASQ sont omis --
== N'oubliez pas d'actiner la comptabiliter PPP/SLIP si vous voulez un modem RPC ou PPPoE/DSL !! ==
-- Les options ne correspondant a MASQ sont omis --
* /proc filesystem support (CONFIG_PROC_FS) [Y/n/?]
- YES: Necessaire pour activer le system de forwarding sous Linux
</code>
</pre></blockquote>
<p>NB: Nous n'avons activé ici que les options
nécessaires pour l'IP Masquerade. Vous devez
sélectionner en plus les options spécifiques à
votre installation.</p>
<ul>
<li>Apres la compilation du noyau, vous devrez compiler et
installer les modules IP MASQ grâce aux commandes :
<blockquote>
<pre>
<code> make modules; make modules_install
</code>
</pre></blockquote>
</li>
<li>Vous devrez ensuite ajouter quelques lignes à votre
fichier <code>/etc/rc.d/rc.local</code> pour charger
automatiquement les modules IP Masquerades et activer IP MASQ
après chaque redémarrage :
<blockquote>
<pre>
<code> .
.
.
#rc.firewall script - Lance IPMASQ et le firewall
/etc/rc.d/rc.firewall
.
.
.
</code>
</pre></blockquote>
</li>
</ul>
<h3>Noyaux Linux 2.0.x</h3>
<p><b>Reportez vous à la section <a href=
"#2.0.x-Requirements">2.0.x-Requirements</a> pour les logiciels
nécessaires, les patches, etc.</b></p>
<ul>
<li>D'abord, vous aurez besoin des sources du noyau 2.0.x (de
préférence la dernière version 2.0.38 ou
mieux)</li>
<li>Ne soyez pas effrayé si c'est la première fois
que vous compilez un noyau. En fait c'est plutôt facile et
plusieurs URLs que vous trouverez dans la section <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> traitent de ca.</li>
<li>Décompressez les sources du noyau dans le repertoire
<code>/usr/src/</code> en utilisant la commande <code>tar xvzf
linux-2.2.x.tar.gz -C /usr/src</code> ou "x" représente la
version de votre noyau 2.2. Une fois ceci terminé,
vérifiez que le dossier ou le lien symbolique vers
<code>/usr/src/linux/</code> existe.</li>
<li>Appliquez tous les patches, optionnels ou non, au source de
votre noyau. Des fonctionnalites telles que PPTP ou le forwarding
de X-Window sont optionnels. Vous pouvez vous reporter à la
section <a href="#2.0.x-Requirements">2.0.x-Requirements</a> pour
les URLs et à l' <a href="http://ipmasq.cjb.net/">IP
Masquerade Resources</a> pour les informations les plus
récentes et les liens vers les patches.</li>
<li>Voici les options de compilations MINIMALES dont vous allez
avoir besoin lors de la compilation de votre noyau. Vous aurez
aussi besion de configurer votre noyau pour utiliser vos interfaces
reseaux. Reportez vous au <a href=
"http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html">Linux Kernel
HOWTO</a> et le fichier README qui se trouve dans le dossier des
sources du noyau pour de plus amples informations sur la
compilation du noyau.
<p>Repondez par <b><em>YES ou NO</em></b> aux questions suivantes.
Toutes les options ne seront pas disponibles si votre noyau n'est
pas patché convenablement comme décrit ci-dessus dans
ce HOWTO :</p>
</li>
</ul>
<blockquote>
<pre>
<code> * Prompt for development and/or incomplete code/drivers (CONFIG_EXPERIMENTAL) [Y/n/?]
- YES: cette option permet selectionner les fonctionnalites IP Masquerade
* Enable loadable module support (CONFIG_MODULES) [Y/n/?]
- YES: Permet de charger les modules noyau d'IP MASQ
* Networking support (CONFIG_NET) [Y/n/?]
- YES: Active les capacites reseau
* Network firewalls (CONFIG_FIREWALL) [Y/n/?]
- YES: Active l'utilitaire de firewall IPFWADM
* TCP/IP networking (CONFIG_INET)
- YES: Active les protocoles TCP/IP
* IP: forwarding/gatewaying (CONFIG_IP_FORWARD)
- YES: Permet le forwarding et le routage des paquets - Controle par IPFWADM
* IP: syn cookies (CONFIG_SYN_COOKIES) [Y/n/?]
- YES: VIVEMENT recommande pour la securite TCP/IP de base.
* IP: firewalling (CONFIG_IP_FIREWALL) [Y/n/?]
- YES: Active les capacites de firewalling.
* IP: firewall packet logging (CONFIG_IP_FIREWALL_VERBOSE) [Y/n/?]
- YES: (OPTIONNEL mais VIVEMENT recommande): Permet de rapporter les chocs contre le firewall
* IP: masquerading (CONFIG_IP_MASQUERADE [Y/n/?]
- YES: Permet a IP Masquerade de readresser certains paquets TCP/IP specifiques de l'interieur
vers l'exterieur
* IP: ipautofw masquerade support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPAUTOFW) [Y/n/?]
- NO: IPautofw est une methode heritee du port forwardinf. C'est essentiellement du
vieux code qui est reconnu pour avoir des problemes. NON recommande.
* IP: ipportfw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPPORTFW) [Y/n/?]
- YES: Cette option est DISPONIBLE UNIQUEMENT GRACE A UN PATCH pour les noyaux 2.0.x
Cette option permet a des ordinateurs externe se trouvant sur Internet de communiquer
avec un ordinateur MASQue interne specifique. Cette fonctionnalite est typiquement
utilisee pour acceder a des serveurs SMTP, TELNET et WWW. Le port forwarding pour le
FTP aura besoin d'un patch supplementaire dont nous avons donne la description dans
la FAQ de ce HOWTO. Des informations supplementaires sont disponibles dans la section
Forwards de ce HOWTO.
* IP: ICMP masquerading (CONFIG_IP_MASQUERADE_ICMP) [Y/n/?]
- YES: Permet de masquerader les paquets ICMP. Bienqu'optionnelles, de nombreux programmes
ne vont PAS fonctionnement correctement sans cette option.
* IP: loose UDP port managing (EXPERIMENTAL) (CONFIG_IP_MASQ_LOOSE_UDP) [Y/n/?]
- YES: Cette option est DISPONIBLE UNIQUEMENT GRACE A UN PATCH pour les noyaux 2.0.x
Avec cette option, des ordinateurs internes (ie MASQues) pourrons jouer au
jeux compatibles NAT sur Internet. Des details supplementaires sont donnes
dans la section FAQ de ce HOWTO.
* IP: always defragment (CONFIG_IP_ALWAYS_DEFRAG) [Y/n/?]
- YES: Cette option optimise les connexions IP MASQ - VIVEMENT recommande
* IP: optimize as router not host (CONFIG_IP_ROUTER) [Y/n/?]
- YES: Optimise le noyau pour le reseau
* IP: Drop source routed frames (CONFIG_IP_NOSR) [Y/n/?]
- YES: HIGHLY recommended for basic network security
* Dummy net driver support (CONFIG_DUMMY) [M/n/y/?]
- YES: VIVEMENT recommande pour la securite TCP/IP de base.
* /proc filesystem support (CONFIG_PROC_FS) [Y/n/?]
- YES: Necessaire pour activer les capacites de forwarding de Linux
</code>
</pre></blockquote>
<p>NB: Nous n'avons activé ici que les options
nécessaire pour IP Masquerade. Vous devez
sélectionner en plus les options spécifiques à
votre installation.</p>
<ul>
<li>Après la compilation du noyau, vous devrez compiler et
installer les modules IP MASQ grâce aux commandes :
<blockquote>
<pre>
<code>make modules; make modules_install
</code>
</pre></blockquote>
</li>
<li>Vous devrez ensuite ajouter quelques lignes à votre
fichier <code>/etc/rc.d/rc.local</code> pour charger
automatiquement les modules IP Masquerades et activer IP MASQ
après chaque redémarrage :
<blockquote>
<pre>
<code> .
.
.
#rc.firewall script - Lance IPMASQ et le firewall
/etc/rc.d/rc.firewall
.
.
.
</code>
</pre></blockquote>
</li>
</ul>
<h3>Noyaux Linux 2.3.x / 2.4.x</h3>
<p><b>Les noyaux 2.3.x et 2.4.x ne sont PAS traités dans ce
HOWTO pour le moment. Reportez vous à la section <a href=
"#2.3.x/2.4.x-Requirements">2.3.x/2.4.x-Requirements</a> pour les
URLs etc. jusqu'à ce que ces noyaux soient traités
dans un nouveau HOWTO.</b></p>
<h2><a name="ss3.2">3.2 Affecter des adresses IP privées au
LAN interne</a></h2>
<p>Puisque toutes les machines <b>INTERNES MASQées</b> ne
devraient pas avoir d'adresses IP officielles, il doit exister une
façon spécifique et reconnue d'affecter des adresses
à ces machines sans entrer en conflit avec l'adresse IP de
quelqu'un d'autre.</p>
<p>Tiré de la FAQ IP Masquerade originelle :</p>
<p><a href=
"http://www.cis.ohio-state.edu/htbin/rfc/INDEX.rfc.html">RFC
1918</a> est un document officiel traitant des adresses IP qui
doivent être utilisées pour des réseaux
non-connectés ou "privés". Il y a 3 blocs de nombres
mis de côtés exprès dans ce but.</p>
<blockquote>
<pre>
<code>
Section 3: L'espace des Adresses Privees
L'Internet Assigned Numbers Authority (IANA) a reserve les trois blocs d'adresses IP suivants
pour les reseaux prives :
10.0.0.0 - 10.255.255.255
172.16.0.0 - 172.31.255.255
192.168.0.0 - 192.168.255.255
Le premier bloc sera designe comme le "24-bit block", le second comme "20-bit block", et le
dernier comme "16-bit block". Remarquez que le premier bloc n'est rien d'autres qu'un simple reseau
de Classe A, alors que le second est un espace de 16 reseaux contigus de classe B, et le troisieme
est un blocs de 255 reseaux contigus de Classe C.
</code>
</pre></blockquote>
Je préfère utiliser le réseau 192.168.0.0 avec
un masque de sous-réseau de classe C : 255.255.255.0 et ce
HOWTO refléte cette préférence. Mais, chacun
des réseaux privés ci-dessus est valide. Assurez vous
simplement d'utiliser le bon masque de sous-réseau.
<p>Donc, si vous utiliser le réseau de Classe C, vous devrez
numéroter vos machines TCP/IP ainsi : 192.168.0.1,
192.168.0.2, 192.168.0.3, ..., 192.168.0.x</p>
<p>192.168.0.1 est habituellement la passerelle interne ou la
machine MASQ Linux. Notez aussi ques les adresses 192.168.0.0 et
192.168.0.255 sont les adresses du réseau et de broadcast
respectivement (et sont donc RESERVES). Evitez d'utiliser ces
adresses sur vos machines sinon votre réseau risque de ne
pas fonctionner correctement.</p>
<p><a name="firewall-examples"></a></p>
<h2><a name="ss3.3">3.3 Politiques de configuration de l'IP
FORWARDING</a></h2>
<p>A partir d'ici, vous devrez avoir votre noyau et les autres
packages nécessaires d'installés. Toutes les adresses
IP du réseau, la passerelle, et le DNS devront aussi
être configurés dans votre serveur Linux MASQ. Si vous
ne savez pas configurer vos cartes réseau, reportez vous SVP
aux HOWTOs listés dans les sections <a href=
"#2.0.x-Requirements">2.0.x-Requirements</a> ou <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> .</p>
<p>Maintenant, la seule chose qui reste à faire, c'est de
configurer l'IP firewalling pour permettre le FORWARD et le
MASQUERADE des paquets appropriés vers les machines
appropriées :</p>
<blockquote>** Ceci peut être accomplis de différentes
façons. Les suggestions et les examples suivants ont
fonctionné chez moi, mais vous aurez peut-être des
besoins ou des idées différents.</blockquote>
<blockquote>** Cette section fournit seulement le MINIMUM de
règles de firewall pour faire fonctionner l'IP Masquerade.
Une fois que vous aurez testé IP MASQ (comme décrit
plus loin dans ce HOWTO), reportez vous aux sections <a href=
"#Strong-IPFWADM-Rulesets">Strong-IPFWADM-Rulesets</a> et <a href=
"#Strong-IPCHAINS-Rulesets">Strong-IPCHAINS-Rulesets</a> pour des
jeux de règles de firewalling plus sûres. Vous pouvez
aussi lire en plus les manuels de IPFWADM (2.0.x) et/ou
IPCHAINS(2.2.x) pour de plus amples détails.</blockquote>
<p><a name="rc.firewall-2.2.x"></a></p>
<h3>Noyaux Linux 2.2.x</h3>
<p>NB : <b>IPFWADM n'est plus un utilitaire de firewall</b> qui
permette de manipuler les règles d'IP Masquerade pour les
noyaux 2.1.x et 2.2.x. Ces nouveaux noyaux utilisent maintenant
l'utilitaire IPCHAINS. Pour de plus amples détails sur les
raisons de ce changement, vous pouvez vous reporter à la
section <a href="#FAQ">FAQ</a> .</p>
<p>Créez le fichier /etc/rc.d/rc.firewall avec les
règles naives suivantes :</p>
<blockquote>
<pre>
<code>
#!/bin/sh
#
# rc.firewall - test IP Masquerade naif pour les noyaux 2.1.x et 2.2.x
# avec IPCHAINS
#
# Charge les modules necessaires a IP MASQ
#
# NB: Charger uniquement les modules IP MASQ dont vous avez besoin. Tous les modules
# IP MASQ actuels sont montres ci-dessous mais sont commentes pour les empecher
# de se charger.
# Necessaire pour le chargement initial des modules
#
/sbin/depmod -a
# Permet le masquerading correct des transfert de fichier par FTP avec la methode PORT
/sbin/modprobe ip_masq_ftp
# Permet le masquerading de RealAudio par UDP. Sans ce module,
# RealAudio FONCTIONNERA mais en mode TCP. Ce qui peu causer une baisse
# dans la qualite du son
#
#/sbin/modprobe ip_masq_raudio
# Permet le masquerading des transferts de fichier par DCC pour les IRC
#/sbin/modprobe ip_masq_irc
# Permet le masquerading de Quake et QuakeWorld par defaut. Ce module est
# necessaire pour les utilisateurs multiples derriere un server Linux MASQ. Si vous voulez jouer
# a Quake I, II, et III, utilisez le second exemple.
#
# NB: si vous rencontrez des ERREURs lors de chargement du module QUAKE, c'est que vous utilisez
# un ancien noyau buggue. Mettez a jour votre noyau pour supprimer l'erreur.
#
#Quake I / QuakeWorld (ports 26000 et 27000)
#/sbin/modprobe ip_masq_quake
#
#Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960)
#/sbin/modprobe ip_masq_quake 26000,27000,27910,27960
# Permet le masquerading du logiciel CuSeeme pour la video conference
#
#/sbin/modprobe ip_masq_cuseeme
# Permet le masquerading du logiciel VDO-live pour la video conference
#
#/sbin/modprobe ip_masq_vdolive
#CRITIQUE: Active l'IP forwarding puisqu'il est desactive par defaut
#
# Utilisateurs Redhat: vous pourrez essayer en changeant les options dans
# /etc/sysconfig/network de:
#
# FORWARD_IPV4=false
# a
# FORWARD_IPV4=true
#
echo "1" > /proc/sys/net/ipv4/ip_forward
#CRITIQUE: Active automatiquement l'IP defragmenting puisqu'il est desactive par defaut
# dans les noyaux 2.2.x. Ceci etait une option de compilation mais ca a change
# depuis le noyau 2.2.12
#
echo "1" > /proc/sys/net/ipv4/ip_always_defrag
# Utilisateurs d'IP Dynamiques:
#
# Si vous recevez votre adresse IP de maniere dynamique a partir d'un server SLIP, PPP,
# ou DHCP, activez option suivante qui active le hacking (au bon sens du terme NDT) des
# adresses IP dynamique dans IP MASQ, rendant ainsi les choses plus faciles pour les
# programmes du type Diald.
#
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr
# Active le patch LooseUDP dont certains jeux reseaux ont besoin
#
# Si vous etes en train d'essayer de faire fonctionner un jeu sur Internet au travers votre
# serveur MASQ, et vous l'avez configure le mieux que vous pouviez mais que ca fonctionne
# toujours pas, essayez d'activer cette option (en supprimant le # en debut de ligne).
# Cette option est desactivee par defaut pour eviter une probable vulnerabilite au port
# scanning UDP en interne.
#
#echo "1" > /proc/sys/net/ipv4/ip_masq_udp_dloose
# MASQ timeouts
#
# timeout de 2 heures pour les sessions TCP
# timeout de 10 sec pour le traffic apres que le paquet TCP/IP "FIN" est recu
# timeout de 160 sec pour le traffic UDP (Important pour les utilisateur d'ICQ MASQues)
#
/sbin/ipchains -M -S 7200 10 160
# DHCP: Pour les personnes qui recoivent leur adresse IP externe par DHCP ou
# BOOTP tels que les utilisateurs d'ADSL ou Cable, il est necessaire de lancer cette
# commande avec celle du 'deny'. "nom_interface_cliente_bootp"
# doit etre remplace par le nom de l'interface qui va recevoir l'adresse externe par
# le serveur DHCP/BOOTP. C'est souvent quelquechose du style "eth0",
# "eth1", etc.
#
# Cet exemple est commante (desactive) ici :
#
#/sbin/ipchains -A input -j ACCEPT -i nom_interface_cliente_bootp -s 0/0 67 -d 0/0 68 -p udp
# Active l'IP forwarding et Masquerading simpliste
#
# NB: L'exemple suivant est donne pour le LAN interne 192.168.0.x avec un masque
# de sous reseau de 255.255.255.0 soit un masque de sous reseau "24 bits"
# connecte a Internet par l'interface eth0.
#
# ** Changez les adreesse reseau et masque de sous reseau, et l'interface de
# ** votre connexion a Internet de telle sorte qu'ils correspondent aux reglages de votre LAN
#
/sbin/ipchains -P forward DENY
/sbin/ipchains -A forward -i eth0 -s 192.168.0.0/24 -j MASQ
</code>
</pre></blockquote>
<p>Une fois que vous aurez terminé de rédiger les
règles de /etc/rc.d/rc.firewall, rendez ce dernier
exécutable en tapant <code>chmod 700
/etc/rc.d/rc.firewall</code></p>
<p>Maintenant que vos règles de firewall sont prêts,
vous devez faire en sorte qu'ils soient actifs après chaque
redémarrage. Vous pouvez soit décider de le lancer
à la main à chaque fois (une vraie galère) ou
bien de le rajouter dans vos scripts de boot. Nous vous montrons
comment faire pour chacune des deux methodes ci-dessous :</p>
<ul>
<li>Pour les distribs RedHat ou derivées de la RedHat:</li>
<li>Il y a deux manières de faire charger des trucs dans
RedHat : /etc/rc.d/rc.local ou le mettre le script d'init dans
/etc/rc.d/init.d/. La première méthode est la plus
simple. Tout ce que vous avez à faire c'est de rajouter
cette ligne :
<ul>
<li>echo "Chargement des regles de rc.firewall..."
/etc/rc.d/rc.firewall</li>
</ul>
<p>à la fin de votre /etc/rc.d/rc.local et c'est tout. Le
problème de cette approche est que si vous tournez avec le
jeu de règles STRONG du firewall, le firewall n'est pas
actif avant les dernières phases du démarrage. La
meilleure approche est d'avoir le firewall chargé juste
après que le réseau est lancé. A partir de ce
point, ce HOWTO ne traite que de l'approche /etc/rc.d/rc.local. Si
vous voulez le système STRONG, je vous recommande de vous
reportez à la section 10 de TrinityOS dont vous trouverez le
lien à la fin de ce HOWTO.</p>
</li>
</ul>
<ul>
<li>Slackware :</li>
<li>Il y a deux manière de faire charger des trucs dans la
Slackware: /etc/rc.d/rc.local ou modifier le fichier
/etc/rc.d/rc.inet2. La première methode est la plus simple.
Tout ce que vous avez à faire c'est de rajouter cette ligne
:
<ul>
<li>echo "Chargement des regles de rc.firewall..."
<p>/etc/rc.d/rc.firewall</p>
</li>
</ul>
<p>à la fin de votre /etc/rc.d/rc.local et c'est tout. Le
problème de cette aproche est que si vous tournez avec les
jeux de règles STRONG du firewall, le firewall n'est pas
actif avant les dernières phases du demarrage. La meilleure
approche est d'avoir le firewall chargé juste après
que le réseau est lancé. A partir de ce point, ce
HOWTO ne traite que de l'approche /etc/rc.d/rc.local. Si vous
voulez le système STRONG, je vous recommande de vous
reporter à la section 10 de TrinityOS dont vous trouverez le
lien à la fin de ce HOWTO.</p>
</li>
</ul>
<p><b>Remarques sur la manière dont les utilisateurs doivent
s'y prendre s'il veulent modifier les règles de firewall que
nous avons vues ci-dessus :</b></p>
<p>Vous pouvez aussi activer l'IP Masquerading sur une base de cas
par cas suivant la machine au lieu de la methode ci-dessus qui
active le reseau TCP/IP entier. Par exemple, disons que je veux que
seuls les machines 192.168.0.2 et 192.168.0.8 puissent
accéder à Internet et AUCUN autre ordinateur interne.
Je changerais les règles dans la section "Active l'IP
forwarding et Masquerading simpliste" (voir ci-dessus) dans les
règles qui se trouvent dans le fichier
/etc/rc.d/rc.firewall.</p>
<blockquote>
<pre>
<code>
#!/bin/sh
#
# Active l'IP forwarding et Masquerading simpliste
#
# NB: L'exemple suivant est donne pour l'activation de l'IP Masquerading pour les
# machines 192.168.0.2 et 192.1680.0.8 avec un masque
# de sous reseau de 255.255.255.0 soit un masque de sous reseau "24 bits"
# connecte a Internet par l'interface eth0.
#
# ** Changez les adreesse reseau et masque de sous reseau, et l'interface de
# ** votre connexion a Internet de telle sorte qu'ils correspondent aux reglages de votre LAN
#
/sbin/ipchains -P forward DENY
/sbin/ipchains -A forward -i eth0 -s 192.168.0.2/32 -j MASQ
/sbin/ipchains -A forward -i eth0 -s 192.168.0.8/32 -j MASQ
</code>
</pre></blockquote>
<p><b>Erreurs courantes :</b></p>
<p>Une erreur qui paraît courante pour les nouveaux
utilisateurs d'IP Masq est de faire de la commande suivante :</p>
<p>/sbin/ipchains -P forward masquerade</p>
<p>la premiere commande.</p>
<p>Ne faites <b>PAS</b> du MASQUERADING votre politique par defaut.
Sinon une personne qui peut manipuler ses tables de routage sera
capable de s'infiltrer directement à travers votre
passerelle, en l'utilisant pour masquerader sa propre
identité !</p>
<p>Encore une fois, vous pouvez ajouter ces lignes dans votre
fichier <code>/etc/rc.d/rc.firewall</code>, ou bien dans l'un de
vos autres fichiers rc de votre convenance, ou bien le lancer
manuellement à chaque fois que vous avez besoin de l'IP
Masquerade.</p>
<p>Reportez vous SVP aux sections <a href=
"#Strong-IPFWADM-Rulesets">Strong-IPFWADM-Rulesets</a> et <a href=
"#Strong-IPCHAINS-Rulesets">Strong-IPCHAINS-Rulesets</a> pour un
guide detaillé d'IPCHAINS et un exemple de règles
STRONG pour IPCHAINS. Pour des détails
supplémentaires sur l'utilisation d'IPCHAINS, vous pouvez
vous reporter au site principal d'IPCHAINS <a href=
"http://netfilter.filewatcher.org/ipchains/">http://netfilter.filewatcher.org/ipchains/</a>
ou au site <a href=
"http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html">Linux IP CHAINS
HOWTO Backup</a>.</p>
<p><a name="rc.firewall-2.0.x"></a></p>
<h3>Noyau Linux 2.0.x</h3>
<p>Créez le fichier /etc/rc.d/rc.firewall avec les
règles naives suivantes :</p>
<blockquote>
<pre>
<code>
# rc.firewall - Initial SIMPLE IP Masquerade setup for 2.0.x kernels using
# IPFWADM
# rc.firewall - test IP Masquerade naif pour les noyaux 2.0.x
# avec IPFWADM
#
# Charge les modules necessaires a IP MASQ
#
# NB: Charger uniquement les modules IP MASQ dont vous avez besoin. Tous les modules IP MASQ
# actuels sont montres ci-dessous mais sont commentes pour les empecher de se charger.
#
# Necessaire pour le chargement initial des modules
#
/sbin/depmod -a
# Permet le masquerading correct des transfert de fichier par FTP avec la methode PORT
/sbin/modprobe ip_masq_ftp
# Permet le masquerading de RealAudio par UDP. Sans ce module,
# RealAudio FONCTIONNERA mais en mode TCP. Ce qui peu causer une baisse
# dans la qualite du son
#
#/sbin/modprobe ip_masq_raudio
# Permet le masquerading des transferts de fichier par DCC pour les IRC
#/sbin/modprobe ip_masq_irc
# Permet le masquerading de Quake et QuakeWorld par defaut. Ce module est
# necessaire pour les utilisateurs multiples derriere un server Linux MASQ. Si vous voulez jouer
# a Quake I, II, et III, utilisez le second exemple.
#
# NB: si vous rencontrez des ERREURs lors de chargement du module QUAKE, c'est que vous utilisez
# un ancien noyau buggue. Mettez a jour votre noyau pour supprimer l'erreur.
#
#Quake I / QuakeWorld (ports 26000 et 27000)
#/sbin/modprobe ip_masq_quake
#
#Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960)
#/sbin/modprobe ip_masq_quake 26000,27000,27910,27960
# Permet le masquerading du logiciel CuSeeme pour la video conference
#
#/sbin/modprobe ip_masq_cuseeme
# Permet le masquerading du logiciel VDO-live pour la video conference
#
#/sbin/modprobe ip_masq_vdolive
#CRITIQUE: Active l'IP forwarding puisqu'il est desactive par defaut
#
# Utilisateurs Redhat: vous pourrez essayer en changeant les options dans
# /etc/sysconfig/network de:
#
# FORWARD_IPV4=false
# a
# FORWARD_IPV4=true
#
echo "1" > /proc/sys/net/ipv4/ip_forward
#CRITIQUE: Active automatiquement l'IP defragmenting puisqu'il est desactive par defaut
# dans les noyaux 2.2.x. Ceci etait une option de compilation mais ca a change
# depuis le noyau 2.2.12
#
echo "1" > /proc/sys/net/ipv4/ip_always_defrag
# Utilisateurs d'IP Dynamiques:
#
# Si vous recevez votre adresse IP de maniere dynamique a partir d'un server SLIP, PPP,
# ou DHCP, activez option suivante qui active le hacking (au bon sens du terme NDT) des
# adresses IP dynamique dans IP MASQ, rendant ainsi les choses plus faciles pour les
# programmes du type Diald.
#
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr
# MASQ timeouts
#
# 2 hrs timeout for TCP session timeouts
# 10 sec timeout for traffic after the TCP/IP "FIN" packet is received
# 160 sec timeout for UDP traffic (Important for MASQ'ed ICQ users)
#
/sbin/ipchains -M -S 7200 10 160
# DHCP: For people who receive their external IP address from either DHCP or
# BOOTP such as ADSL or Cablemodem users, it is necessary to use the
# following before the deny command. The "bootp_client_net_if_name"
# should be replaced the name of the link that the DHCP/BOOTP server
# will put an address on to? This will be something like "eth0",
# "eth1", etc.
#
# This example is currently commented out.
#
#
#/sbin/ipchains -A input -j ACCEPT -i bootp_clients_net_if_name -s 0/0 67 -d 0/0 68 -p udp
# Active l'IP forwarding et Masquerading simpliste
#
# NB: L'exemple suivant est donne pour le LAN interne 192.168.0.x avec un masque
# de sous reseau de 255.255.255.0 soit un masque de sous reseau "24 bits"
# connecte a Internet par l'interface eth0.
#
# ** Changez les adreesse reseau et masque de sous reseau, et l'interface de
# ** votre connexion a Internet de telle sorte qu'ils correspondent aux reglages de votre LAN
#
/sbin/ipfwadm -F -p deny
/sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.0/24 -D 0.0.0.0/0
</code>
</pre></blockquote>
<p>Une fois que vous aurez terminé de rédiger les
règles de /etc/rc.d/rc.firewall, rendez le exécutable
en tapant <code>chmod 700 /etc/rc.d/rc.firewall</code></p>
<p>Maintenant que vos règles de firewall sont prêts,
vous devez faire en sorte qu'ils soient actifs après chaque
redémarrage. Vous pouvez soit décider de le lancer
à la main à chaque fois (une vraie galère) ou
bien de le rajouter dans vos scripts de boot. Nous vous montrons
comment faire pour chacune des deux methodes ci-dessous :</p>
<ul>
<li>Pour les distribs RedHat ou derivées de la RedHat:</li>
<li>Il y a deux manières de faire charger des trucs dans
RedHat : /etc/rc.d/rc.local ou le mettre le script d'init dans
/etc/rc.d/init.d/. La première methode est la plus simple.
Tout ce que vous avez à faire c'est de rajouter cette ligne
:
<ul>
<li>echo "Chargement des regles de rc.firewall..."
/etc/rc.d/rc.firewall</li>
</ul>
<p>à la fin de votre /etc/rc.d/rc.local et c'est tout. Le
problème de cette approche est que si vous tournez avec les
règles de STRONG firewall, le firewall n'est pas actif avant
les dernières phases du démarrage. La meilleure
approche est d'avoir le firewall chargé juste après
que le reseau est lancé. A partir de ce point, ce HOWTO ne
traite que de l'approche /etc/rc.d/rc.local. Si vous voulez le
système STRONG, je vous recommande de vous reporter à
la section 10 de TrinityOS dont vous trouverez le lien à la
fin de ce HOWTO.</p>
</li>
</ul>
<ul>
<li>Slackware :</li>
<li>Il y a deux manières de faire charger des trucs dans la
Slackware: /etc/rc.d/rc.local ou modifier le fichier
/etc/rc.d/rc.inet2. La première methode est la plus simple.
Tout ce que vous avez à faire c'est de rajouter cette ligne
:
<ul>
<li>echo "Chargement des regles de rc.firewall..."
<p>/etc/rc.d/rc.firewall</p>
</li>
</ul>
<p>à la fin de votre /etc/rc.d/rc.local et c'est tout. Le
problème de cette aproche est que si vous tournez avec les
règles de STRONG firewall, le firewall n'est pas actif avant
les dernières phases du démarrage. La meilleure
approche est d'avoir le firewall chargé juste apres que le
reseau est lancé. A partir de ce point, ce HOWTO ne traite
que de l'approche /etc/rc.d/rc.local. Si vous voulez le
système STRONG, je vous recommande de vous reporter à
la section 10 de TrinityOS dont vous trouverez le lien à la
fin de ce HOWTO.</p>
</li>
</ul>
<p><b>Remarques sur la manière dont les utilisateurs doivent
s'y prendre s'il veulent modifier les règles de firewall que
nous avons vues ci-dessus :</b></p>
<p>Vous pouvez aussi activer l'IP Masquerading sur une base de cas
par cas suivant la machine au lieu de la methode ci-dessus qui
active le reseau TCP/IP entier. Par exemple, disons que je veux que
seuls les machines 192.168.0.2 et 192.168.0.8 puisssent
accéder à Internet et AUCUN autre ordinateur interne.
Je changerais les règles dans la section "Active l'IP
forwarding et Masquerading simpliste" (voir ci-dessus) dans les
règles qui se trouvent dans le fichier
/etc/rc.d/rc.firewall.</p>
<blockquote>
<pre>
<code>
#!/bin/sh
#
# Active l'IP forwarding et Masquerading simpliste
#
# NB: L'exemple suivant est donne pour l'activation de l'IP Masquerading pour les
# machines 192.168.0.2 et 192.1680.0.8 avec un masque
# de sous reseau de 255.255.255.0 soit un masque de sous reseau "24 bits"
# connecte a Internet par l'interface eth0.
#
# ** Changez les adresse reseau et masque de sous reseau, et l'interface de
# ** votre connexion a Internet de telle sorte qu'ils correspondent aux reglages de votre LAN
#
/sbin/ipfwadm -F -p deny
/sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.2/32 -D 0.0.0.0/0
/sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.8/32 -D 0.0.0.0/0
</code>
</pre></blockquote>
<p><b>Erreurs courrantes :</b></p>
<p>Une erreur qui parait courante pour les nouveaux utilisateurs
d'IP Masq est de faire de la commande suivante :</p>
<pre>
ipfwadm -F -p masquerade
</pre>
la premiere commande.
<p>Ne faites <b>PAS</b> du MASQUERADING votre politique par
défaut. Sinon une personne qui peut manipuler ses tables de
routage sera capable de s'infiltrer directement à travers
votre passerelle, en l'utilisant pour masquerader sa propre
identité !</p>
<p>Encore une fois, vous pouvez ajouter ces lignes dans votre
fichier <code>/etc/rc.d/rc.firewall</code>, ou bien dans l'un de
vos autres fichiers rc de votre convenance, ou bien le lancer
manuellement à chaque fois que vous avez besoin de l'IP
Masquerade.</p>
<p>Vous pouvez vous reporter aux sections <a href=
"#Strong-IPCHAINS-Rulesets">Strong-IPCHAINS-Rulesets</a> et
<a href="#Strong-IPFWADM-Rulesets">Strong-IPFWADM-Rulesets</a> pour
un guide detaillé et des examples de règles STRONG
pour IPCHAINS et IPFWADM.</p>
<p><a name="Configuring-clients"></a></p>
<h2><a name="s4">4. Configurer les autres machines internes qui
doivent être MASQuées</a></h2>
<p>En plus des réglages d'adresses IP appropriés pour
chaque machine MASQuée, vous devez régler pour chaque
machine interne l'adresse IP de la passerelle (le serveur Linux
MASQ) et les adresses des serveurs DNS. En général,
ca découle de source. Vous entrez simplement l'adresse IP de
votre serveur Linux (192.168.0.1 en général) dans le
champ réservé à la passerelle.</p>
<p>Pour les Domain Name Service (Service de Nom de Domaine ou DNS
en anglais), vous pouvez utiliser n'importe quel serveur DNS
disponible. Le plus évident, c'est celui qu'utilise votre
serveur Linux. Vous pouvez aussi ajouter n'importe quel domaine de
recherche (facultatif).</p>
<p>Apres avoir reconfiguré correctement les machines
internes MASQuées, n'oubliez pas de relancer leurs 'network
services' (pour tenir compte des changements) ou bien de les
redémarrer.</p>
<p>Les instructions suivantes supposent que vous utilisez un
réseau de Classe C avec 192.168.0.1 comme IP pour votre
serveur Linux MASQ. Rappelez vous aussi que les adresses sont des
adresses 192.168.0.0 et 192.168.0.255 TCP/IP reservées.</p>
<p>Les plateformes ci-dessous ont été testées
comme machines internes MASQuées. Voici juste un EXEMPLE de
tous les systèmes d'exploitations compatibles :</p>
<ul>
<li>ordinateurs Apple Macintosh sous MacOS avec soit MacTCP soit
Open Transport</li>
<li>Commodore Amiga avect AmiTCP ou la pile AS225</li>
<li>Stations Digital VAX 3520 et 3100 avec UCX (pile TCP/IP pour
VMS)</li>
<li>Digital Alpha/AXP sous Linux/Redhat</li>
<li>IBM AIX sur un RS/6000</li>
<li>IBM OS/2 (dont Warp v3)</li>
<li>IBM OS400 sur un AS/400</li>
<li>Linux 1.2.x, 1.3.x, 2.0.x, 2.1.x, 2.2.x</li>
<li>Microsoft DOS (avec les packet drivers et le package NCSA
Telnet, DOS Trumpet fonctionne partiellement)</li>
<li>Microsoft Windows 3.1 (avec le package Netmanage
Chameleon)</li>
<li>Microsoft Windows For Workgroup 3.11 (avec le package
TCP/IP)</li>
<li>Microsoft Windows 95, OSR2, 98, 98se</li>
<li>Microsoft Windows NT 3.51, 4.0, 2000 (workstation et
server)</li>
<li>Novell Netware 4.01 Server avec les services TCP/IP</li>
<li>SCO Openserver (v3.2.4.2 et 5)</li>
<li>Sun Solaris 2.51, 2.6, 7</li>
</ul>
<h2><a name="ss4.1">4.1 Configuration de Microsoft Windows
95</a></h2>
<p>NDT : je n'ai accès à AUCUN windows, je ne peux
donc pas tester ce que je traduis. Merci de me faire parvenir les
incorrections. Ceci reste valable pour toute la suite de ce
document. Merci de ne pas m'en tenir rigueur.</p>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau ou ses drivers, faites le maintenant. L'explication
de ces étapes sort du cadre de ce document.</li>
<li>Allez dans <em>'Panneaux de Configuration'</em> -->
<em>'Network'</em>.</li>
<li>Cliquez sur <em>Ajouter</em> --> <em>Protocole</em> -->
<em>Manufacture: Microsoft</em> --> <em>Protocole:</em>
<em>'TCP/IP protocol'</em> Si vous ne l'avez pas encore.</li>
<li>Selectionnez le TCP/IP sur votre carte réseau de
Windows95 et sélectionnez <em>'Proprietes'</em>. Maintenant
allez sur <em>'IP Adresse IP'</em> et rentrez comme Adresse IP
192.168.0.x, (1 < x < 255), et comme Masque de
sous-réseau 255.255.255.0</li>
<li>Maintenant sélectionnez <em>"Passerelle"</em> et ajoutez
192.168.0.1 comme passerelle dans <em>'Passerelle'</em> et cliquer
sur "Ajouter".</li>
<li>Sous la languette <em>'Configuration DNS'</em>, mettez un nom
pour votre machine et entrez le nom de domaine officiel. Si vous ne
savez pas quel est votre nom de domaine, mettez celui de votre FAI.
Maintenant, ajoutez tous les serveurs DNS que votre serveur Linux
utilise (vous pouvez les trouver en général dans
<code>/etc/resolv.conf</code>). En general, ces serveurs DNS sont
ceux de votre FAI, bienque vous puissiez utiliser vos propres
CACHING ou serveur Authoritative DNS sur votre seveur Linux MASQ.
Vous pouvez aussi ajouter n'importe quel domaine de recherche
(facultatif).</li>
<li>Laissez tous les autres réglages inchangés
à moins que vous sachiez ce que vous faites.</li>
<li>Cliquez sur <em>'OK'</em> sur toutes les fenêtres de
dialogues et rédemarrez votre ordinateur.</li>
<li><code>Ping</code>uez le serveur Linux pour tester la connexion
réseau: <em>'Executer'</em>, entrez: <code>ping
192.168.0.1</code><br>
(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore
<code>ping</code>uer le monde exterieur.) Si vous ne recevez pas de
réponses de vos PINGs, vérifiez votre configuration
réseau.</li>
<li>Vous pouvez aussi créer un fichier <code>HOSTS</code>
dans the C:\Windows et pouvoir ainsi utiliser des noms de machines
de votre LAN sans avoir besoin de serveur DNS. Il y a un exemple
appelé <code>HOSTS.SAM</code> dans le repertoire
C:\windows.</li>
</ol>
<h2><a name="ss4.2">4.2 Configuring Windows NT</a></h2>
<p>NDT : je n'ai accès à AUCUN Windows, je ne peux
donc pas tester ce que je traduis. Merci de me faire parvenir les
incorrections. Ceci reste valable pour toute la suite de ce
document. Merci de ne pas m'en tenir rigueur.</p>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau ou ses drivers, faites le maintenant. L'explication
de ces étapes sort du cadre de ce document.</li>
<li>Allez dans <em>'Panneaux de Configuration'</em> -->
<em>'Network'</em>.</li>
<li>Cliquez sur <em>Ajouter</em> --> <em>Protocole</em> -->
<em>Manufacture: Microsoft</em> --> <em>Protocole:</em>
<em>'TCP/IP protocol'</em> Si vous ne l'avez pas encore.</li>
<li>Dans la section <em>'Logiciels et Cartes Reseaux'</em>,
sélectionnez le <em>'Protocle TCP/IP'</em> dans la boite de
sélection<em>'Logiciels Reseaux Insatalles'</em>.</li>
<li>Dans <em>'Configuration TCP/IP'</em>, selectionnez la carte
appropriee, i.e. <code>[1]Novell NE2000 Adapter</code>. Reglez
ensuite l'adresse IP : 192.168.0.x (1 < x < 255), et le
masque de sous-réseau : 255.255.255.0 et la Passerelle par
Défaut à 192.168.0.1</li>
<li>N'activez aucune des options suivantes (à moins que vous
sachiez exactement ce que vous faites) :
<ul>
<li><em>'Configuration Automatique DHCP'</em> : A moins que vous
ayiez un serveur DHCP sur votre réseau.</li>
<li>Rentrez n'importe quoi dans <em>'Sever WINS'</em> champs
d'entrée : A moins que vous ayiez configuré un ou
plusieurs serveurs WINS.</li>
<li><em>Activer l'IP Forwarding</em> : A moins que vous routiez
vers votre serveur NT et que vous sachiez vraiment -VRAIMENT- ce
que vous faites PRECISEMENT.</li>
</ul>
</li>
<li>Cliquez sur <em>'DNS'</em>, saisissez les informations que
votre serveur Linux utilise (généralement dans
/etc/resolv.conf) et cliquez sur <em>'OK'</em>quand vous avez
fini.</li>
<li>Cliquez sur <em>'Advances'</em>, et DESACTIVEZ <em>'DNS pour la
Résolution des Noms Windows'</em> et <em>'Activer la
Recherche LMHOSTS'</em> à moins que vous sachiez ce que font
ces options. Si vous voulez utiliser un fichier LMHOSTS, ils sont
rangés dans C:\winnt\system32\drivers\etc.</li>
<li>Cliquez sur <em>'OK'</em> sur toutes les boites de dialogue et
redémarrer votre ordinateur.</li>
<li><code>Ping</code>uez le serveur Linux pour tester la connexion
réseau: <em>'Executer'</em>, entrez: <code>ping
192.168.0.1</code><br>
(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore
<code>ping</code>uer le monde extérieur.) Si vous ne recevez
pas de réponses de vos PINGs, vérifiez votre
configuration réseau.</li>
</ol>
<h2><a name="ss4.3">4.3 Configuration de Windows for Workgroup
3.11</a></h2>
<p>NDT : je n'ai accès à AUCUN Windows, je ne peux
donc pas tester ce que je traduis. Merci de me faire parvenir les
incorrections. Ceci reste valable pour toute la suite de ce
document. Merci de ne pas m'en tenir rigueur.</p>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau ou ses drivers, faites le maintenant. L'explication
de ces étapes sort du cadre de ce document.</li>
<li>Installez le package TCP/IP 32b si vous ne l'avez pas encore
fait.</li>
<li>Dans <em>'Main'/'Reglages Windows'/'Reglages Reseaux'</em>,
cliquez sur <em>'Drivers'</em>.</li>
<li>Sélectionnez <em>'Microsoft TCP/IP-32 3.11b'</em> dans
la section <em>'Drivers Reseaux'</em>, cliquez sur
<em>'Regler'</em>.</li>
<li>Réglez ensuite l'adresse IP : 192.168.0.x (1 < x <
255), et le masque de sous-réseau : 255.255.255.0 et la
Passerelle par Défaut a 192.168.0.1</li>
<li>N'activez aucune des options suivantes (à moins que vous
sachiez exactement ce que vous faites) :
<ul>
<li><em>'Configuration Automatique DHCP'</em> : A moins que vous
ayiez un serveur DHCP sur votre réseau.</li>
<li>Rentrez n'importe quoi dans <em>'Sever WINS'</em> champs
d'entree : A moins que vous ayiez configuré un ou plusieurs
serveurs WINS.</li>
</ul>
</li>
<li>Cliquez sur <em>'DNS'</em>, saisissez les informations que
votre serveur Linux utilise (généralement dans
/etc/resolv.conf) et cliquez sur <em>'OK'</em>quand vous avez
fini.</li>
<li>Cliquez sur <em>'Avances'</em>, activez <em>'DNS pour la
Resolution des Noms Windows'</em> et <em>'Activer la Recherche
LMHOSTS'</em> que vous trouverez dans c:\windows.</li>
<li>Cliquez sur <em>'OK'</em> sur toutes les boites de dialogue et
redémarrer votre ordinateur.</li>
<li><code>Ping</code>uez le serveur Linux pour tester la connexion
réseau: <em>'Executer'</em>, entrez: <code>ping
192.168.0.1</code><br>
(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore
<code>ping</code>uer le monde extérieur.) Si vous ne recevez
pas de réponses de vos PINGs, vérifiez votre
configuration réseau.</li>
</ol>
<h2><a name="ss4.4">4.4 Configuration des Systèmes
Basés sur UNIX</a></h2>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau et recompilé votre noyau avec les drivers
correspondants, faites le maintenant. L'explication de ces
étapes sort du cadre de ce document.</li>
<li>Installez le réseau TCP/IP, tel que le package
net-tools, si vous ne l'avez pas encore fait.</li>
<li>Changez <em>IPADDR</em> en 192.168.0.x (1 < x < 255), et
changez ensuite <em>NETMASK</em> en 255.255.255.0, <em>GATEWAY</em>
en 192.168.0.1, et <em>BROADCAST</em> en 192.168.0.255
<p>Par exemple avec les Linux Redhat, vous pouvez modifier le
fichier <code>/etc/sysconfig/network-scripts/ifcfg-eth0</code>, ou
simplement le faire grâce au Tableau de Bord. Ces changement
se font différemment sur les autres UNIXes tels que SunOS,
BSDi, Slackware Linux, Solaris, SuSe, Debian, etc.). Reportez vous
à la documentation de votre UNIX pour de plus amples
informations.</p>
</li>
<li>Ajoutez votre DNS et votre domaine de recherche dans
<code>/etc/resolv.conf</code> et suivant la version de votre UNIX,
modifiez le fichier /etc/nsswitch.conf pour activer les DNS.</li>
<li>Vous pouvez aussi mettre à jour votre fichier
<code>/etc/networks</code> suivant vos reglages.</li>
<li>Redémarrer les services consernés ou plus
simplement, redémarrez votre machine.</li>
<li>Faites un <code>ping</code> : <code>ping 192.168.0.1</code>
pour tester votre connexion avec la passerelle.<br>
(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore
<code>ping</code>uer le monde exterieur.) Si vous ne recevez pas de
réponses de vos PINGs, vérifiez votre configuration
réseau.</li>
</ol>
<h2><a name="ss4.5">4.5 Configuration de DOS avec le package NCSA
Telnet</a></h2>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau ou ses drivers, faites le maintenant. L'explication
de ces étapes sort du cadre de ce document.</li>
<li>Chargez les drivers correspondants. Par exemple : pour la carte
Ethernet NE2000 sur le port d'E/S 300 et d'IRQ 10, tappez
<code>nwpd 0x60 10 0x300</code></li>
<li>Créez un nouveau répertoire et dezippez le
package NCSA Telnet : <code>pkunzip tel2308b.zip</code></li>
<li>Utilisez un éditeur de texte pour ouvrir le fichier
<code>config.tel</code></li>
<li>Modifiez <code>myip=192.168.0.x</code> (1 < x < 255), et
netmask=255.255.255.0</li>
<li>Dans cet exemple, vous devriez mettre : <code>hardware=packet,
interrupt=10, ioaddr=60</code></li>
<li>Vous devriez avoir au moins une machine comme passerelle, i.e.
la machine Linux :
<blockquote>
<pre>
<code>name=default
host=votreMachineLinux
hostip=192.168.0.1
gateway=1
</code>
</pre></blockquote>
</li>
<li>Entrez aussi les spécifications de votre serveur DNS :
<blockquote>
<pre>
<code>name=dns.domain.com ; hostip=123.123.123.123; nameserver=1
</code>
</pre></blockquote>
<p>NB : remplacez les information ci-dessus par les informations
DNS qu'utilisent le serveur Linux</p>
</li>
<li>Sauvegarder votre fichier <code>config.tel</code></li>
<li>Faites un telnet vers le serveur linux pour tester la connexion
reseau : <code>telnet 192.168.0.1</code>. Si vous ne recevez pas de
réponse, vérifiez votre configuration
réseau.</li>
</ol>
<h2><a name="ss4.6">4.6 Configuration d'une machine tournant sous
MacOS et MacTCP</a></h2>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau ou ses drivers, faites le maintenant. L'explication
de ces étapes sort du cadre de ce document.</li>
<li>Ouvrez le <em>tableau de bord MacTCP</em>. Sélection les
bons drivers réseaux (Ethernet, PAS EtherTalk) et cliquez
sur le bouton <em>'More...'</em>.</li>
<li>Dans <em>'Obtain Address:'</em>, cliquez sur
<em>'Manually'</em>.</li>
<li>Dans <em>'Adresse IP:'</em>, sélectionnez <em>class
C</em> du menu déroulant. Ignorez le reste de cette boite de
dialogue.</li>
<li>Remplissez les informations nécessaires dans
<em>'Adresses Serveurs de Noms :'</em>.</li>
<li>Dans <em>'Adresse Passerelle :'</em>, entrez 192.168.0.1</li>
<li>Cliquez sur <em>'OK'</em> pour sauvegarder vos réglages.
Dans la fenêtre principale de <em>MacTCP</em>, entrez
l'adresse IP de votre Mac (192.168.0.x, 1 < x < 255) dans le
champs <em>'Adresse IP :'</em>.</li>
<li>Fermez le <em>Tableau de Bord MacTCP</em>. Si un dialogue vous
demande de redémarrer, faites le.</li>
<li>Vous pouvez aussi faire un ping vers le serveur Linux pour
tester la connexion de votre réseau. Si vous avez le
freeware <em>MacTCP Watcher</em>, cliquez sur le bouton
<em>'Ping'</em>, et entrez l'adresse de votre serveur linux
(192.168.0.1) dans le dialogue qui apparaît. (Ceci est juste
un test du LAN INTERNE, vous ne pouvez pas encore
<code>ping</code>uer le monde exterieur.) Si vous ne recevez pas de
réponses de vos PINGs, vérifiez votre configuration
réseau.</li>
<li>Vous pouvez eventuellement créer un fichier
<code>Hosts</code> dans le Dossier Système pour pouvoir
utiliser des noms de machines sur votre LAN. Ce fichier existe
probablement déjà dans votre Dossier Système
et devrait contenir quelques exemples (en commentaire donc
désactives) que vous pouvez modifier suivant vos
besoins.</li>
</ol>
<h2><a name="ss4.7">4.7 Configuration d'une machine tournant sous
MacOS et Open Transport</a></h2>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau ou ses drivers, faites le maintenant. L'explication
de ces étapes sort du cadre de ce document.</li>
<li>Ouvrez le <em>Tableau de Bord TCP/IP</em> et choisissez
<em>'Mode Utilisateur...'</em> dans le menu <em>Edit</em>. Verifiez
que le mode en cours est au moins sur <em>'Avancé'</em> et
cliquez sur le bouton <em>'OK'</em>.</li>
<li>Choisissez ensuite <em>'Configurations...'</em> dans le menu
<em>Fichier</em>. Sélectionnez la configuration <em>'Par
Defaut'</em> et cliquer sur <em>'Dupliquer...'</em>. Entrez 'IP
Masq' (ou quelquechose que vous reconnaitrez comme une
configuration spéciale) dans le dialogue de <em>'Dupliquer
la Configuration'</em>, qui vous dit sans doute quelquechose du
style <em>'Par Defaut copie'</em>. Cliquez ensuite sur le bouton
<em>'OK'</em>, et finalement sur le bouton
<em>'Selectionner'</em></li>
<li>Selectionnez <em>'Ethernet'</em> dans le menu deroulant
<em>'Connexion :'</em>.</li>
<li>Selectonnez l'article approprié dans le menu
déroulant <em>'Configuration:'</em>. Si vous ne savez pas ce
qu'il faut choisir, c'est que vous devez probablement choisir le
même article celui de votre configuration <em>'Par
Defaut'</em> et quittez. Moi j'utilise
<em>'Manuellement'</em>.</li>
<li>Entrez l'adresse IP de votre Mac (192.168.0.x, 1 < x <
255) dans le champ <em>'Adresse IP :'</em>.</li>
<li>Entrez 255.255.255.0 dans le champ <em>'Masque sous-reseau
:'</em>.</li>
<li>Entrez 192.168.0.1 dans le champ <em>'Adresse du Routeur
:'</em>.</li>
<li>Entrez les Adresses IP de vos serveurs DNS dans le champ
<em>'Adr. Serv. de Noms :'</em>.</li>
<li>Entrez votre nom domaine de recherche Internet (ex :
'microsoft.com') dans le champ <em>'Domaine de Départ'</em>
en dessous de <em>'Domaine de recherche implicite :'</em>.</li>
<li>Les procédures qui suivent sont optionnels. Des valeurs
incorrects peuvent causer un comportement erratique. Si vous
n'êtes pas sûr de ce que vous faites, c'est sans doute
plus sûr de les laisser vides, non-cochés et/ou non
sélectionnés. Retirez les informations de ces champs
si nécessaire. A ma connaissance, il n'est pas possible, au
travers des dialogues de TCP/IP, de dire au système de ne
pas utiliser un fichier "Hosts" précédement
sélectionné. Si vous savez comment faire, faites moi
en part.
<p>Cochez la case <em>'802.3'</em> si votre réseau a besoin
des fenêtres de type 802.3.</p>
</li>
<li>Cliquez sur <em>'Options...'</em>et vérifiez que TCP/IP
est actif. J'utilise l'option <em>'Charger uniquement au
besoin'</em>. Si vous lancez et quittez souvent des applications
TCP/IP sans redémarrer, vous trouverez sans doute, que
décocher l'option <em>'Charger uniquement au besoin'</em>va
empêcher/réduire les effets de la gestion de la
mémoire sur vos machines. Quand cette option est
décochée, les piles du protocole TCP/IP sont toujours
chargées et disponibles. Quand cette option est
cochée, les piles TCP/IP sont chargées
automatiquement quand il le faut et sont ensuite
déchargées (unloaded). C'est ce
chargement/déchargement qui provoque la fragmentation de la
mémoire de vos machines.</li>
<li>Vous pouvez aussi faire un ping vers le serveur Linux pour
tester la connexion de votre réseau. Si vous avez le
freeware <em>MacTCP Watcher</em>, cliquez sur le bouton
<em>'Ping'</em>, et entrez l'adresse de votre serveur linux
(192.168.0.1) dans le dialogue qui apparaît. (Ceci est juste
un test du LAN INTERNE, vous ne pouvez pas encore
<code>ping</code>uer le monde extérieur.) Si vous ne recevez
pas de réponses de vos PINGs, vérifiez votre
configuration réseau.</li>
<li>Vous pouvez eventuellement créer un fichier
<code>Hosts</code> dans le Dossier Système pour pouvoir
utiliser des noms de machines sur votre LAN. Ce fichier existe
probablement déjà dans votre Dossier Système
et devrait contenir quelques exemples (en commentaire donc
désactivés) que vous pouvez modifier suivant vos
besoins. Sinon, vous pouvez récupérer une copie d'une
machine qui tourne sous MacTCP ou simplement créer le votre
(il suit un sous format des fichiers UNIX <code>/etc/hosts</code>,
décrit dans la RFC952). Une fois ce fichier
créé, ouvrez le <em>Tableau de Bord TCP/IP</em>,
cliquez sur bouton <em>'Choisir un fichier "Hosts"...'</em>, et
choisissez le fichier <code>Hosts</code>.</li>
<li>Cliquez sur la case de fermeture ou choisissez
<em>'Fermer'</em> ou <em>'Quitter'</em> dans le menu
<em>Fichier</em>, et cliquez ensuite sur <em>'Sauvegarder'</em>
pour enregistrer vos changements.</li>
<li>Les changements prennent effet immediatement mais un petit
redémerrage ne ferait pas de mal non plus.</li>
</ol>
<h2><a name="ss4.8">4.8 Configuration du réseau Novell sous
DNS</a></h2>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau ou ses drivers, faites le maintenant. L'explication
de ces étapes sort du cadre de ce document.</li>
<li>Téléchargez tcpip16.exe ici : <a href=
"ftp.novell.com/pub/updates/unixconn/lwp5">The Novell LanWorkPlace
page</a></li>
<li>
<pre>
edit c:\nwclient\startnet.bat
</pre>
: (voici une copie du mien)
<pre>
SET NWLANGUAGE=ENGLISH
LH LSL.COM
LH KTC2000.COM
LH IPXODI.COM
LH tcpip
LH VLM.EXE
F:
</pre></li>
<li>
<pre>
edit c:\nwclient\net.cfg
</pre>
: (changer le lien du driver vers le votre i.e. NE2000)
<pre>
Link Driver KTC2000
Protocol IPX 0 ETHERNET_802.3
Frame ETHERNET_802.3
Frame Ethernet_II
FRAME Ethernet_802.2
NetWare DOS Requester
FIRST NETWORK DRIVE = F
USE DEFAULTS = OFF
VLM = CONN.VLM
VLM = IPXNCP.VLM
VLM = TRAN.VLM
VLM = SECURITY.VLM
VLM = NDS.VLM
VLM = BIND.VLM
VLM = NWP.VLM
VLM = FIO.VLM
VLM = GENERAL.VLM
VLM = REDIR.VLM
VLM = PRINT.VLM
VLM = NETX.VLM
Link Support
Buffers 8 1500
MemPool 4096
Protocol TCPIP
PATH SCRIPT C:\NET\SCRIPT
PATH PROFILE C:\NET\PROFILE
PATH LWP_CFG C:\NET\HSTACC
PATH TCP_CFG C:\NET\TCP
ip_address 192.168.0.xxx
ip_router 192.168.0.1
</pre>
<pre>
Changez votre adresse IP dans le champs "ip_address" si dessus (192.168.0.x, 1 < x < 255)
et créez enfin le fichier c:\bin\resolv.cfg:
SEARCH DNS HOSTS SEQUENTIAL
NAMESERVER xxx.xxx.xxx.xxx
NAMESERVER yyy.yyy.yyy.yyy
</pre></li>
<li>Maintenant modifiez les entrées "NAMESERVER" et
remplacez less avec les adresses IP correctes pour votre serveur
DNS local.</li>
<li>Faites un <code>ping</code> : <code>ping 192.168.0.1</code>
pour tester votre connexion avec la passerelle.<br>
(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore
<code>ping</code>uer le monde extérieur.) Si vous ne recevez
pas de réponses de vos PINGs, vérifiez votre
configuration réseau.</li>
</ol>
<h2><a name="ss4.9">4.9 Configuration d'OS/2 Warp</a></h2>
<p>NDT : je ne connais pas OS/2 et ne sais pas s'il existe une
version francaise de ce système.</p>
<ol>
<li>Si vous n'avez pas encore installé votre carte
réseau et recompilé votre noyau avec les drivers
correspondants, faites le maintenant. L'explication de ces
étapes sort du cadre de ce document.</li>
<li>Installez le protocole TCP/IP si vous ne l'avez pas
déjà fait.</li>
<li>Allez dans <em>Programs/TCP/IP (LAN) / TCP/IP</em>
Settings</li>
<li>Dans le champ <em>'Network'</em> ajoutez votre Adresse TCP/IP
(192.168.0.x) et réglez votre masque de sous-réseau
(255.255.255.0)</li>
<li>Sous <em>'Routing'</em> cliquez sur <em>'Add'</em>. Comme
<em>Type</em> mettez <em>'default'</em> et tappez l'Adresse IP de
votre serveur Linux dans le champ <em>'Router Address'</em>.
(192.168.0.1).</li>
<li>Mettez les adresses des serveurs DNS (Serveurs de Noms)
qu'utilisent votre serveur Linux dans <em>'Hosts'</em>.</li>
<li>Fermez le tableau de bord TCP/IP. Répondez par oui aux
questions qui suivent.</li>
<li>Redémarrez votre système</li>
<li>Vous pouvez faire un ping vers votre serveur Linux pour tester
votre configuration réseau. Tappez <code>'ping
192.168.0.1'</code> dans la fenetre de prompt d'OS/2. Si vous
recevez les packets ping, c'est que tout ce passe bien.</li>
</ol>
<h2><a name="ss4.10">4.10 Configuration d'OS/400 sur un IBM
AS/400</a></h2>
<p>La configuration de TCP/IP sur OS/400 version V4R1M0 sur un
AS/400 dépasse le cadre de ce document.</p>
<p>1) Pour pouvoir configurer toute tâche de communication
sur votre AS/400, vous devez avoir le privilège
spécial *IOSYSCFG (I/O System Configuration) dans votre
profile utilisateur. Vous pouvez verifier les
caractéristiques de votre profil utilisateur avec la
commande DSPUSRPRF</p>
<p>2) Tappez la commande GO CFGTCP pour accéder au menu de
configuration de TCP/IP.</p>
<p>3) Selectionnez Option 2 - Work with TCP/IP Routes.</p>
<p>4) Entrer un 1 dans le champs Opt pour ajouter une route * dans
Route Destination (Route de Destination) tappez *DFTROUTE * dans
Subnet Mask (Masque de sous reseau) tappez *NONE * dans Type of
Service (Type de Service) tappez *NORMAL * dans Next Hop (Prochain
saut) tappez l'adresse IP de votre passerelle (le serveur
linux)</p>
<h2><a name="ss4.11">4.11 Configuration des autres
Systèmes</a></h2>
<p>La même logique devrait s'appliquer pour les
réglages sur les autres plateformes. Consultez les sections
précédentes. Si vous êtes
intéréssés par la rédaction des
méthodes pour les systèmes qui n'ont pas encore
été traités, vous pouvez envoyer par email les
instructions détaillés à <a href=
"mailto:ambrose@writeme.com">ambrose@writeme.com</a> et <a href=
"mailto:dranch@trinnet.net">dranch@trinnet.net</a>.</p>
<h2><a name="s5">5. Tester IP Masquerade</a></h2>
<p><a name="Testing"></a></p>
<p>Enfin, il est temps de faire un essai officiel de l'IP
Masquerading après ce dur labeur. Si vous n'avez pas encore
redémarré votre serveur Linux, faites le pour
être sur que la machine démarre bien, exécute
les scripts /etc/rc.d/rc.firewall etc. Ensuite, vérifiez que
les connexions internes de votre LAN et les connexions de votre
serveur Linux avec Internet fonctionnent bien.</p>
<p>Faites ces -10- tests pour être sur que les
différents aspects de votre configuration MASQ fonctionnent
correctement :</p>
<h2><a name="ss5.1">5.1 Tester les connexions locales</a></h2>
<ul>
<li><b>Première Etape : Tester les connexions locales entre
les PC</b>
<p>A partir d'un ordinateur MASQué interne, essayez de
pinguer sa propre adresse IP locale (i.e. <em>ping
192.168.0.10</em> ). Ce test va vérifier que TCP/IP
fonctionne bien sur la machine locale. Presque tous les
systèmes d'exploitation modernes ont une commande ping
integrée. Si ce ping ne fonctionne pas, vérifiez que
vous avez correctement configuré le PC MASQué comme
décrit plus tôt dans la section <a href=
"#Configuring-clients">Configuring-clients</a> de ce HOWTO.
L'output devrait ressembler à ça (faire Control-C
pour arrêter le ping) :</p>
<hr>
<pre>
masq-client# ping 192.168.0.10
PING 192.168.0.10 (192.168.0.10): 56 data bytes
64 bytes from 192.168.0.10: icmp_seq=0 ttl=255 time=0.8 ms
64 bytes from 192.168.0.10: icmp_seq=1 ttl=255 time=0.4 ms
64 bytes from 192.168.0.10: icmp_seq=2 ttl=255 time=0.4 ms
64 bytes from 192.168.0.10: icmp_seq=3 ttl=255 time=0.5 ms
--- 192.168.0.10 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.5/0.8 ms
</pre>
<hr></li>
</ul>
<h2><a name="ss5.2">5.2 Tester les connexions internes du serveur
Linux</a></h2>
<ul>
<li><b>Deuxième Etape : Tester les connexions internes du
serveur Linux</b> Sur le serveur MASQ lui-même, pinguez
l'adresse IP de l'interface réseau du serveur MASQ (i.e.
<em>ping 192.168.0.1</em>). L'outpout devrait ressembler à
ça (faire Control-C pour arreter le ping) :
<hr>
<pre>
masq-client# ping 192.168.0.1
PING 192.168.0.1 (192.168.0.1): 56 data bytes
64 bytes from 192.168.0.1: icmp_seq=0 ttl=255 time=0.8 ms
64 bytes from 192.168.0.1: icmp_seq=1 ttl=255 time=0.4 ms
64 bytes from 192.168.0.1: icmp_seq=2 ttl=255 time=0.4 ms
64 bytes from 192.168.0.1: icmp_seq=3 ttl=255 time=0.5 ms
--- 192.168.0.1 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.5/0.8 ms
</pre>
<hr></li>
</ul>
<h2><a name="ss5.3">5.3 Tester la Connection Externe du serveur
Linux</a></h2>
<ul>
<li><b>Troisième Etape : Tester la Connection Externe du
serveur Linux</b> Ensuite pinguez l'adresse IP de l'interface
réseau externe (carte réseau connectée
à Internet). Cette adresse peut être reçue par
PPP, Ethernet, etc. C'est la connexion vers votre FAI. Si vous ne
connaissez pas cette adresse IP, executez la commande Linux
<em>"/sbin/ifconfig"</em> sur le serveur MASQ Linux. L'output
devrait ressembler à ça (nous cherchons l'adresse IP
de l'interface eth0) :
<hr>
<pre>
eth0 Link encap:Ethernet HWaddr 00:08:C7:A4:CC:5B
inet addr:12.13.14.15 Bcast:64.220.150.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:6108459 errors:0 dropped:0 overruns:0 frame:0
TX packets:5422798 errors:8 dropped:0 overruns:0 carrier:8
collisions:4675 txqueuelen:100
Interrupt:11 Base address:0xfcf0
</pre>
<hr>
Nous pouvons voir dans cet example que l'adresse IP externe est
"12.13.14.15". Bon, maintenant que vous avez votre adresse IP
après avoir lancé la commande "ifconfig", pinguez
votre adresse IP externe. Nous aurons ainsi la confirmation que le
serveur MASQ a bien toutes les connexions réseaux. L'outpout
devrait ressembler à ça (faire Control-C pour
arrêter le ping) :
<hr>
<pre>
masq-server# ping 12.13.14.15
PING 12.13.14.15 (12.13.14.15): 56 data bytes
64 bytes from 12.13.14.15: icmp_seq=0 ttl=255 time=0.8 ms
64 bytes from 12.13.14.15: icmp_seq=1 ttl=255 time=0.4 ms
64 bytes from 12.13.14.15: icmp_seq=2 ttl=255 time=0.4 ms
64 bytes from 12.13.14.15: icmp_seq=3 ttl=255 time=0.5 ms
--- 12.13.14.15 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.5/0.8 ms
</pre>
<hr>
Si l'un de ces tests ne fonctionne pas, vous devez repartir en
arrière et vérifier une seconde fois vos cablages, et
vérifier que vos deux NICs du serveur MASQ sont vu dans
"dmesg". Un exemple de l'output se trouve vers la fin (END) de la
commande "dmesg" :
<hr>
<pre>
.
.
PPP: version 2.3.7 (demand dialling)
TCP compression code copyright 1989 Regents of the University of California
PPP line discipline registered.
3c59x.c:v0.99H 11/17/98 Donald Becker
http://cesdis.gsfc.nasa.gov/linux/drivers/
vortex.html
eth0: 3Com 3c905 Boomerang 100baseTx at 0xfe80, 00:60:08:a7:4e:0e, IRQ 9
8K word-wide RAM 3:5 Rx:Tx split, autoselect/MII interface.
MII transceiver found at address 24, status 786f.
Enabling bus-master transmits and whole-frame receives.
eth1: 3Com 3c905 Boomerang 100baseTx at 0xfd80, 00:60:97:92:69:f8, IRQ 9
8K word-wide RAM 3:5 Rx:Tx split, autoselect/MII interface.
MII transceiver found at address 24, status 7849.
Enabling bus-master transmits and whole-frame receives.
Partition check:
sda: sda1 sda2 < sda5 sda6 sda7 sda8 >
sdb:
.
.
</pre>
<hr>
N'oubliez pas non plus de vérifier les configurations NIC de
votre distrib Linux etc. suivant les recommandations qui se
trouvent au début de ce HOWTO.</li>
</ul>
<h2><a name="ss5.4">5.4 Tester les connexions locales des PC vers
le serveur Linux</a></h2>
<ul>
<li><b>Quatrième Etape : Tester les connexions locales des
PC vers le serveur Linux</b>
<p>Sur un ordinateur interne MASQué, essayez de pinguer
l'adresse IP de la carte Ethernet interne du serveur de
Masquerading, (i.e. <em>ping 192.168.0.1</em>). On va ainsi
vérifier que le réseau interne et le routage sont
corrects. L'outpout devrait ressembler à ça (faire
Control-C pour arrêter le ping) :</p>
<hr>
<pre>
masq-client# ping 192.168.0.1
PING 192.168.0.1 (192.168.0.1): 56 data bytes
64 bytes from 192.168.0.1: icmp_seq=0 ttl=255 time=0.8 ms
64 bytes from 192.168.0.1: icmp_seq=1 ttl=255 time=0.4 ms
64 bytes from 192.168.0.1: icmp_seq=2 ttl=255 time=0.4 ms
64 bytes from 192.168.0.1: icmp_seq=3 ttl=255 time=0.5 ms
--- 192.168.0.1 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.5/0.8 ms
</pre>
<hr>
<p>Si le test échoue, vérifiez les connexions entre
les cartes Ethernet sur le serveur MASQ et les ordinateurs
MASQués. En général il y a une LED
derrière chaque carte Ethernet et il y en aussi sur les
hub/switch Ethernet (si vous en utiliser un). Si c'est ça le
problème, vérifiez que l'ordinateur MASQué
interne est configuré correctement comme indiqué dans
la section <a href="#Configuring-clients">Configuring-clients</a> .
Si le client MASQué est correctement configuré,
vérifiez une seconde fois votre cablage réseau et
vérifiez que les LED s'allument bien de chaque
côté des cables (carte Ethernet des clients et cartes
Ethernet INTERNES du serveur Linux).</p>
</li>
</ul>
<h2><a name="ss5.5">5.5 Tester le forwarding des paquets internes
MASQ ICMP</a></h2>
<ul>
<li><b>Cinquième Etape : Tester le forwarding des paquets
internes MASQ ICMP</b>
<p>A partir d'un ordinateur MASQué interne, pinguez
l'adresse IP externe du serveur MASQ optenue à
l'étape TROIS ci-dessus. Cette adresse est votre adresse
PPP, Ethernet, etc. fournie par votre FAI. Ce ping va prouver que
le masquerading fonctionne (spécifiquement ICMP
Masquerading).</p>
<p>Si ca ne marche pas, vérifiez d'abord que la "Passerelle
par Defaut" du PC MASQué pointe vers l'adresse IP du serveur
MASQ interne. Vérifiez aussi que le script
/etc/rc.d/rc.firewall a fonctionné sans erreurs. Juste pour
faire un test, lancer de nouveau le script /etc/rc.d/rc.firewall
pour voir si tout se passe bien. Vérifiez aussi, puisque la
plupart des noyaux le gérent par defaut, que vous avez
activé l'"ICMP Masquerading" dans la configuration noyau et
que vous avez aussi activé l'"IP Forwarding" dans votre
script /etc/rc.d/rc.firewall.</p>
<p>Si vous ne pouvez toujours pas faire fonctionner tout ça,
jetez un coup d'oeil à l'output de cette commande sur votre
serveur Linux MASQ :</p>
<ul>
<li>"<em>ifconfig</em>" : Vérifiez que l'interface de votre
connexion Internet (ppp0, eth0, etc.) est UP (en route) et que vous
avez la bonne adresse IP pour votre connexion à Internet. Un
exemple d'output est donne a l'ETAPE TROIS ci-dessus.</li>
<li>"<em>netstat -rn</em>" : Vérifiez que la passerelle par
defaut (le .1 avec les adresses IP dans la colonne Gateway) est
active. Par exemple, l'output devrait ressembler à ca :
<hr>
<pre>
masq-server# netstat -rn
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
192.168.0.1 0.0.0.0 255.255.255.255 UH 0 16384 0 eth1
12.13.14.15 0.0.0.0 255.255.255.255 UH 0 16384 0 eth0
12.13.14.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
127.0.0.0 0.0.0.0 255.0.0.0 U 0 16384 0 lo
0.0.0.0 12.13.14.1 0.0.0.0 UG 0 16384 0 eth0
</pre>
<hr>
Vous avez remarqué que la DERNIERE ligne commençait
par 0.0.0.0? Vous avez remarqué qu'il y a une adresse IP
dans le champ "Gateway" ? Vous devriez mettre une adresse IP pour
votre propre configuration dans ce champ.</li>
<li>"<em>cat /proc/sys/net/ipv4/ip_forward</em>" : Vérifiez
que vous avez un "1" qui montre que le forwarding sous Linux
fonctionne</li>
<li>Lancez la commande "<em>/sbin/ipchains -n -L</em>" pour les
utilisateurs du 2.2.x ou "<em>/sbin/ipfwadm -F -l</em>" pour les
utilisateurs du 2.0.x. Regardez aussi la section sur le FORWARDing
pour vérifier que vous avez activé MASQ. Voici un
exemple de l'output d'IPCHAINS pour les utilisateurs des
règles naives rc.firewall :
<hr>
<pre>
.
.
Chain forward (policy REJECT):
target prot opt source destination ports
MASQ all ------ 192.168.0.0/24 0.0.0.0/0 n/a
ACCEPT all ----l- 0.0.0.0/0 0.0.0.0/0 n/a
.
.
</pre>
<hr></li>
</ul>
</li>
</ul>
<h2><a name="ss5.6">5.6 Tester le forwarding de paquets MASQ ICMP
externes</a></h2>
<ul>
<li><b>Sixième Etape : Tester le forwarding de paquets MASQ
ICMP externes</b>
<p>Essayer de pinguer à partir d'un ordinateur MASQué
interne une IP static d'Internet (i.e. <em>ping 152.19.254.81</em>
(c'est le - http://metalab.unc.edu - home of MetaLabs' Linux
Archive). Si ca ne fonctionne pas, vérifiez de nouveau votre
connexion à Internet. Si ca ne marche toujours pas,
vérifier que vous utilisez bien les règles naives
rc.firewall et que vous avez bien compilé l'ICMP
Masquerading dans votre noyau linux. Vérifiez aussi que vos
règles qui activent IP MASQ pointent vers la bonne interface
EXTERNE.</p>
</li>
</ul>
<h2><a name="ss5.7">5.7 Tester le fonctionnement de MASQ sans
DNS</a></h2>
<ul>
<li><b>Septième Etape : Tester le fonctionnement de MASQ
sans DNS</b>
<p>Maintenant essayez de vous connecter par Telnet à une
adresse IP distante (i.e. <em>telnet 152.2.254.81</em>
(metalab.unc.edu - NB : ca peut prendre du temps avant que vous ne
voyiez apparaître le prompt de login parce que c'est un
serveur TRES chargé). Avez vous reçu le prompt du
login après un certain laps de temps ? Si ça a
marché, c'est que le TCP Masquerading fonctionne bien. Si
ça n'a pas marché, essayez de faire un Telnet vers un
autre serveur qui pourrait accepter les TELNET, comme
198.182.196.55 (www.linux.org). Si ca ne fonctionne toujours pas,
vérifiez que vous utilisez bien les règles naives
rc.firewall. Un exemple de ce que vous devriez voir est donne ici
(pressez Control-D pour sortir de TELNET) :</p>
<hr>
<pre>
masq-client# telnet 152.2.254.81
Trying 152.2.254.81...
Connected to 152.2.254.81.
Escape character is '^]'.
SunOS 5.7
******************** Welcome to MetaLab.unc.edu *******************
To login to MetaLab as a user, connect to login.metalab.unc.edu.
This machine allows no public telnet logins.
login: Connection closed by foreign host.
</pre>
<hr></li>
</ul>
<h2><a name="ss5.8">5.8 Tester le fonctionnement de MASQ avec
DNS</a></h2>
<ul>
<li><b>Huitième Etape : Tester le fonctionnement de MASQ
avec DNS</b>
<p>Maintenant essayez de faire un TELNET vers un HOSTNAME (i.e.
<em>"telnet metalab.unc.edu"</em> (152.2.254.81). Si ça
marche, c'est que le DNS fonctionne bien aussi. Si ça ne
marche pas mais que l'etape SIX fonctionnait, vérifiez que
vous avez entré des DNS valides dans votre ordinateur
MASQué comme le montre la section <a href=
"#Configuring-clients">Configuring-clients</a> .</p>
</li>
</ul>
<h2><a name="ss5.9">5.9 Tester plus de fonctionnalités de
MASQ avec DNS</a></h2>
<ul>
<li><b>Neuvième Etape : Tester plus de
fonctionnalités de MASQ avec DNS</b>
<p>Comme dernier test, essayez de surfer sur quelques sites
<em>'INTERNET'</em> WWW à partir des vos machines
<b>MASQuées</b>, et regardez si ca fonctionne. Par exemple,
accedez au site <a href="http://metalab.unc.edu/LDP">Linux
Documentation Project</a>. Si ça marche, vous pouvez
être presque sûr que tout fonctionne BIEN ! Si certains
sites ne fonctionnent pas bien la où les autres semblent
fonctionner correctement, regardez les étapes suivantes pour
essayer de trouvez les causes.</p>
<p>Si vous voyez la page d'accueil de la The Linux Documentation
Project, alors, <b>FELICITATIONS ! Ca marche !</b> Si ce site Web
s'affiche correctement, alors tous les autres protocoles
réseaux standards tels que PING, TELNET, SSH, et avec leurs
modules IP MASQ respectifs chargés : FTP, Real Audio, IRC
DCCs, Quake I/II/III, CuSeeme, VDOLive, etc. devraient aussi
fonctionner correctement ! Si FTP, IRC, RealAudio, Quake I/II/III,
etc. ne fonctionnent pas correctement, ou de manière peu
performante, vérifiez que leurs modules Masquerading
associés sont chargés en lancant la commande "lsmd"
et vérifiez aussi que vous chargez les modules quand les
ports ne sont pas les ports par défaut. Si vous ne voyez pas
les modules dont vous avez besoin, vérifiez que le script
/etc/rc.d/rc.firewall les charge bien (i.e. enlevez les
caractères # pour un module IP MASQ donné).</p>
</li>
</ul>
<h2><a name="ss5.10">5.10 S'il reste des problèmes de
fonctionnement, performances etc.</a></h2>
<ul>
<li><b>Dixième Etape : S'il reste des problèmes de
fonctionnement, performances etc.</b>
<p>Si votre système a passé avec succès tous
les tests mais que quelques trucs genre le surf sur les sites WWW,
le FTP, et d'autres types de traffic ne sont pas fiables, je vous
recommande de lire l'entrée <a href=
"#MTU-issues">MTU-issues</a> de la FAQ dans la Section 7. Il peut
aussi y avoir d'autres éléments de la FAQ qui
puissent vous aider autant que les nombreux utilisateurs qu'ils ont
aidés par le passé.</p>
</li>
</ul>
<h2><a name="s6">6. Autres problèmes relatifs à IP
Masquerade et à la compatibilité logicielle</a></h2>
<h2><a name="ss6.1">6.1 Problèmes avec IP
Masquerade</a></h2>
<p>Certaines applications des protocoles TCP/IP ne fonctionnent pas
actuellement avec l'IP Masquerading sous Linux parce que soit ils
supposent des choses sur les numéros de port soit ils
encodent sur les adresses TCP/IP et/ou les numéros de port
dans leur flux de données. Ces derniers protocoles ont
besoin de proxies ou de modules IP MASQ spécifiques pour
fonctionner correctement dans le code de masquerading.</p>
<h2><a name="ss6.2">6.2 Services entrant</a></h2>
<p>Par défaut, Linux IP Masquerading ne peut pas du tout
prendre en charge les services entrant mais il y a quelques
façons de les lui faire accepter.</p>
<p>Si vous n'avez pas besoin de beaucoup de securité, vous
pouvez simplement forwarder ou rédiriger les ports IP. Il y
a plusieurs façon de faire ça mais la plus stable est
d'utiliser IPPORTFW. Pour plus d'informations, reportez vous
à la section <a href="#Forwarders">Forwarders</a> .</p>
<p>Si vous désirez avoir un certain niveau d'autorisation
sur les connexions entrantes, vous aurez besoin de configurer soit
des TCP-wrappers, soit Xinetd pour permettre la connexion
d'adresses IP specifiques. Un bon endroit où trouver des
utilitaires et de la documentation est le TIS Firewall Toolkit.</p>
<p>De plus amples détails sur la securité entrante
peuvent être trouvés dans le document <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS</a> et a l' <a href="http://ipmasq.cjb.net">IP Masquerade
Resource</a>.</p>
<p><a name="Supported Client Software"></a></p>
<h2><a name="ss6.3">6.3 Compatibilité Logicielle et autres
notes sur la configuration</a></h2>
<p><a name="Clients"></a></p>
<blockquote><b>** La <a href=
"http://www.tsmservices.com/masq">Linux Masquerade Application
list</a> a une tonne d'informations au sujet des applications qui
fonctionnent à travers l'IP Masquerading sous Linux. Ce site
a récemment été pris en charge par Steve
Grevemeyer qui l'a doté d'une base de données
complète. C'est une source exceptionnelle !</b></blockquote>
<p>En général, toute application qui utilise le TCP
et l'UDP standards devrait fonctionner. Si vous avez des
suggestions, des indications etc. reportez vous à l'
<a href="http://ipmasq.cjb.net/">IP Masquerade Resource</a> pour de
plus amples détails.</p>
<h3>Clients Réseaux qui -Fonctionnent- avec IP
Masquerade</h3>
<p>Clients Généraux:</p>
<dl>
<dt><b>Archie</b></dt>
<dd>
<p>toutes les plateformes compatibles, clients pour la recherche de
fichiers (tous les clients archie ne sont pas compatibles)</p>
</dd>
<dt><b>FTP</b></dt>
<dd>
<p>toutes les plateformes compatibles, avec le module noyau
<em>ip_masq_ftp.o</em> pour les connexions FTP actives.</p>
</dd>
<dt><b>Gopher client</b></dt>
<dd>
<p>toutes les plateformes compatibles</p>
</dd>
<dt><b>HTTP</b></dt>
<dd>
<p>toutes les plateformes compatibles, WWW surfing</p>
</dd>
<dt><b>IRC</b></dt>
<dd>
<p>toutes les plateformes compatibles, DCC est compatible via le
module <em>ip_masq_irc.o</em></p>
</dd>
<dt><b>NNTP (USENET)</b></dt>
<dd>
<p>toutes les plateformes compatibles, USENET news client</p>
</dd>
<dt><b>PING</b></dt>
<dd>
<p>toutes les plateformes compatibles, avec le module noyau ICMP
Masquerading</p>
</dd>
<dt><b>POP3</b></dt>
<dd>
<p>toutes les plateformes compatibles, clients email</p>
</dd>
<dt><b>SSH</b></dt>
<dd>
<p>toutes les plateformes compatibles, TELNET/FTP clients
sécurisés</p>
</dd>
<dt><b>SMTP</b></dt>
<dd>
<p>toutes les plateformes compatibles, serveurs d'email tels que
Sendmail, Qmail, PostFix, etc.</p>
</dd>
<dt><b>TELNET</b></dt>
<dd>
<p>toutes les plateformes compatibles, session distante</p>
</dd>
<dt><b>TRACEROUTE</b></dt>
<dd>
<p>versions sous UNIX et Windows, quelques variantes pourraient ne
pas fonctionner (NDT : fonctionne aussi sous MacOS)</p>
</dd>
<dt><b>VRML</b></dt>
<dd>
<p>Windows(peut-être toutes les plateformes compatibles),
virtual reality surfing</p>
</dd>
<dt><b>client WAIS</b></dt>
<dd>
<p>toutes les plateformes compatibles</p>
</dd>
</dl>
<p>Clients Multimedia et Communication:</p>
<dl>
<dt><b>Toutes les applications H.323</b></dt>
<dd>
<p>- MS Netmeeting, Intel Internet Phone Beta , et autres
applications H.323 - Il y a maintenant deux façons de faire
fonctionner ces clients aux travers de connexions MASQuées
:</p>
<p>Il y a un module BETA stable disponible sur le <a href=
"http://ipmasq.cjb.net">MASQ WWW site</a> ou sur <a href=
"http://www.coritel.it/projects/sofia/nat.html">http://www.coritel.it/projects/sofia/nat.html</a>
pour utiliser Microsoft Netmeeting v3.x sous les noyaux 2.2.x. Il y
aussi un autre module sur le site Web de MASQ spécifique
à Netmeeting 2.x pour les noyaux 2.0.x mais il n'est pas
compatible avec Netmeeting v3.x.</p>
<p>Une autre solution, commerciale, et la passerelle <a href=
"http://www.equival.com.au/phonepatch/index.html">Equivalence's
PhonePatch</a> H.323.</p>
</dd>
<dt><b>Alpha Worlds</b></dt>
<dd>
<p>Windows, Client-Serveur 3D programme de tchatche</p>
</dd>
<dt><b>CU-SeeMe</b></dt>
<dd>
<p>toutes les plateformes compatibles, avec le module
<em>ip_masq_cuseeme</em> chargé, reportez vous SVP à
la section <a href="#CuSeeme">CuSeeme</a> pour de plus amples
détails.</p>
</dd>
<dt><b>ICQ</b></dt>
<dd>
<p>Tous les clients sont compatibles. Requiert un noyau
compilé avec la compatibilité IPPORTFW et ICQ
configuré comme étant derrière un proxy
NON-SOCKS. Une description complète de cette configuration
est disponible à la section <a href="#ICQ">ICQ</a> .</p>
</dd>
<dt><b>Internet Phone 3.2</b></dt>
<dd>
<p>Windows, communications audio Peer-to-peer, vous pouvez entrer
en communication avec quelqu'un seulement si vous êtes
l'appelant, vous ne pouvez être appelé sans un port
forwarding spécifique. Reportez vous à la section
<a href="#Forwarders">Forwarders</a> pour de plus amples
détails.</p>
</dd>
<dt><b>Internet Wave Player</b></dt>
<dd>
<p>Windows, streaming audio par Internet</p>
</dd>
<dt><b>Powwow</b></dt>
<dd>
<p>Windows, communications textuelles peer-to-peer, vous pouvez
entrer en communication avec quelqu'un seulement si vous êtes
l'appelant, vous ne pouvez être appelé sans un port
forwarding spécifique. Reportez vous à la section
<a href="#Forwarders">Forwarders</a> pour de plus amples
détails.</p>
</dd>
<dt><b>Real Audio Player</b></dt>
<dd>
<p>Windows, streaming audio par Internet, vous obtiendrez de
meilleurs résultats avec le module UDP
<em>ip_masq_raudio</em></p>
</dd>
<dt><b>True Speech Player 1.1b</b></dt>
<dd>
<p>Windows, streaming audio par Internet</p>
</dd>
<dt><b>VDOLive</b></dt>
<dd>
<p>Windows, avec le patch <em>ip_masq_vdolive</em></p>
</dd>
<dt><b>Worlds Chat 0.9a</b></dt>
<dd>
<p>Windows, Client-Serveur 3D programme de tchatche</p>
</dd>
</dl>
<p><a name="Game-Clients"></a></p>
<p>Jeux - Reportez vous à la section <a href=
"#LooseUDP">LooseUDP</a> pour de plus amples détails sur le
patch LooseUDP</p>
<dl>
<dt><b>Battle.net</b></dt>
<dd>
<p>Fonctionne mais requiert les ports TCP 116 et 118 et les ports
UDP 6112 IPPORTFWés vers la machine de jeu. reportez vous
à la section <a href="#Forwarders">Forwarders</a> pour de
plus amples détails. Veuillez notez que les serveurs FSGS et
Bnetd requièrent toujours IPPORTFW puisqu'ils n'ont pas
été réécrits pour être
compatibles NAT.</p>
</dd>
<dt><b>BattleZone 1.4</b></dt>
<dd>
<p>Fonctionne avec le patch LooseUDP et les nouveaux <a href=
"http://us4.alink.activision.com/tmp/nat/">.DLLs Activision</a>
compatibles NAT.</p>
</dd>
<dt><b>Dark Reign 1.4</b></dt>
<dd>
<p>Fonctionne avec le patch LooseUDP ou requiert les ports TCP 116
et 118 et les ports UDP 6112 IPPORTFWés vers la machine de
jeu. Reportez vous à la section <a href=
"#Forwarders">Forwarders</a> pour de plus amples
détails.</p>
</dd>
<dt><b>Diablo</b></dt>
<dd>
<p>Fonctionne avec le patch LooseUDP ou requiert les ports TCP 116
et 118 et les ports UDP 6112 IPPORTFWés vers la machine de
jeu. Les nouvelles versions de Diablo n'utilisent que le port TCP
6112 et le port UDP 6112. Reportez vous à la section
<a href="#Forwarders">Forwarders</a> pour de plus amples
détails.</p>
</dd>
<dt><b>Heavy Gear 2</b></dt>
<dd>
<p>Fonctionne avec le patch LooseUDP ou requiert les ports TCP 116
et 118 et les ports UDP 6112 IPPORTFWés vers la machine de
jeu. Reportez vous à la section <a href=
"#Forwarders">Forwarders</a> pour de plus amples
détails.</p>
</dd>
<dt><b>Quake I/II/III</b></dt>
<dd>
<p>Fonctionne directement mais requiert le module
<em>ip_masq_quake</em> s'il y a plus d'un joueur de Quake I/II/III
derrière le serveur MASQ. Ce module n'est compatible qu'avec
Quake I et QuakeWorld par défaut. Si vous voulez utiliser
Quake II ou des ports non standard pour le server, reportez vous
à la section d'installation des modules dans les jeux de
règles <a href="#rc.firewall-2.0.x">rc.firewall-2.0.x</a> et
<a href="#rc.firewall-2.2.x">rc.firewall-2.2.x</a> .</p>
</dd>
<dt><b>StarCraft</b></dt>
<dd>
<p>Fonctionne avec le patch LooseUDP ou requiert les ports TCP et
UDP 6112 IPPORTFWés vers la machine de jeu. Reportez vous
à la section <a href="#Forwarders">Forwarders</a> pour de
plus amples détails.</p>
</dd>
<dt><b>WorldCraft</b></dt>
<dd>
<p>Fonctionne avec le patch LooseUDP</p>
</dd>
</dl>
<p>Autres Clients:</p>
<dl>
<dt><b>package Linux net-acct</b></dt>
<dd>
<p>Linux, package d'administration des comptes à
distance</p>
</dd>
<dt><b>NCSA Telnet 2.3.08</b></dt>
<dd>
<p>DOS, une suite contenant telnet, ftp, ping, etc.</p>
</dd>
<dt><b>PC-anywhere pour Windows</b></dt>
<dd>
<p>MS-Windows, Controle à distance un PC par TCP/IP,
fonctionne uniquement si c'est un client. Ne fonctionne pas sans un
port forwarding spécifique si c'est le serveur. Reportez
vous à la section <a href="#Forwarders">Forwarders</a> pour
de plus amples details.</p>
</dd>
<dt><b>Socket Watch</b></dt>
<dd>
<p>utilise NTP - protocole d'horloge réseau</p>
</dd>
</dl>
<h3>Clients qui ne sont pas entièrement compatibles avec IP
MASQ :</h3>
<dl>
<dt><b>Intel Streaming Media Viewer Beta 1</b></dt>
<dd>
<p>Impossible de se connecter au serveur</p>
</dd>
<dt><b>Netscape CoolTalk</b></dt>
<dd>
<p>Impossible de se connecter a l'hôte distant</p>
</dd>
<dt><b>WebPhone</b></dt>
<dd>
<p>Ne fonctionne pas (Il fait des suppositions erronnées au
sujet des adresses).</p>
</dd>
</dl>
<h2><a name="ss6.4">6.4 Jeux de règles de d'IP Firewall
(IPFWADM) plus résistants (Stronger)</a></h2>
<p><a name="Strong-IPFWADM-Rulesets"></a></p>
<p>Cette section fournit un guide plus detaillé
d'utilisation de l'outil de firewall pour 2.0.x, IPFWADM. Reportez
vous si dessous pour les règles d'IPCHAINS.</p>
<p>Voici un exemple d'un système de firewall/masquerade
derrière une connexion PPP avec une adresse PPP statique
(les instructions pour les connexions PPP dynamiques sont incluses
mais désactivées). L'interface de confiance est
192.168.0.1 et l'adresse IP de l'interface PPP a été
changée pour protéger le coupable :). J'ai
listé chaque interface entrante et sortante pour
détecter aussi bien les IP spoofings que les faux routage
et/ou masquerading. Tout ce qui n'est pas explicitement permis est
<b>INTERDIT</b> (euh... rejeté en fait). Si votre serveur IP
MASQ ne fonctionne plus après avoir implémenté
ce script rc.firewall, vérifiez que vous l'avez
modifié pour votre propre configuration et contrôlez
votre fichier SYSLOG /var/log/messages ou /var/adm/messages pour
trouver d'éventuels erreurs de firewall.</p>
<p>Pour des exemples plus exhaustifs de règles
Ôstrong' d'IPFWADM IP Masqueradé pour PPP, modem pour
cable, etc., vous pouvez vous référer à
<a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 10</a> et <a href=
"http://www.greatcircle.com/">GreatCircle's Firewall WWW
page</a></p>
<p><b>NB:</b> Si vous avez une adresse TCP/IP assignée de
facon dynamique par votre FAI (PPP, aDSL, Cable, etc.) vous <b>NE
POUVEZ PAS CHARGER</b> ces règles Ôstrong' au moment
du boot. Vous aurez soit à relancer le jeu de règles
de ce firewall à CHAQUE FOIS que vous avez une nouvelle
adresse IP soit faire un /etc/rc.d/rc.firewall plus intelligent.
Pour faire ceci pour les utilisateurs de PPP, lisez attentitevement
et enlever les marques de commentaires les lignes correspondantes
dans la section Òrecuperation d'IP PPP dynamiqueÓ
ci-dessous. Vous pouvez aussi trouver de plus amples détails
dans le documentation <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 10</a> sur les jeux de règles
ÔStrong' et les adresses IP dynamiques.</p>
<p><b>Veuillez aussi noter qu'il existe plusieurs utilitaires de
création de Firewall qui possèdent des interfaces
graphiques. Vous pouvez vous reporter à la section <a href=
"#FAQ">FAQ</a> pour des détails complets.</b></p>
<p>Enfin, si vous utilisez une adresse IP STATIQUE obtenue par PPP,
changez la ligne "ppp_ip="votre.adresse.PPP.statique" par votre
adresse.</p>
<p>
----------------------------------------------------------------</p>
<p><a name="stronger-rc.firewall-2.0.x"></a></p>
<pre>
#!/bin/sh
#
# /etc/rc.d/rc.firewall: Un exemple de jeu de regles d'un firewall IPFWADM semi-STRONG IPFWADM
#
PATH=/sbin:/bin:/usr/sbin:/usr/bin
# on teste, attendre un peu puis effacer toutes les regles de firewall
# enlever les marques de commentaire des lignes qui suivent si vous voulez que
# le firewall se desactive automatiquement au bout de 10 mins.
# (sleep 600; \
# ipfwadm -I -f; \
# ipfwadm -I -p accept; \
# ipfwadm -O -f; \
# ipfwadm -O -p accept; \
# ipfwadm -F -f; \
# ipfwadm -F -p accept; \
# ) &
# Charge les modules necessaires a IP MASQ
#
# NB: Charger uniquement les modules IP MASQ dont vous avez besoin. Tous les modules
# IP MASQ actuels sont montres ci-dessous mais sont commentes pour les empecher de se charger.
# Necessaire pour le chargement initial des modules
#
/sbin/depmod -a
# Permet le masquerading correct des transfert de fichier par FTP avec la methode PORT
#
/sbin/modprobe ip_masq_ftp
# Permet le masquerading de RealAudio par UDP. Sans ce module,
# RealAudio FONCTIONNERA mais en mode TCP. Ce qui peu causer une baisse
# dans la qualite du son
#
#/sbin/modprobe ip_masq_raudio
# Permet le masquerading des transferts de fichier par DCC pour les IRC
#
#/sbin/modprobe ip_masq_irc
# Permet le masquerading de Quake et QuakeWorld par defaut. Ce module est
# necessaire pour les utilisateurs multiples dirriere un server Linux MASQ. Si vous voulez
# jouer a Quake I, II, et III, utilisez le second exemple.
#
# NB: si vous rencontrez des ERREURs lors de chargement du module QUAKE, c'est que vous utilisez
# un ancien noyau buggue. Mettez a jour votre noyau pour supprimer l'erreur.
#
#Quake I / QuakeWorld (ports 26000 and 27000)
#/sbin/modprobe ip_masq_quake
#
#Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960)
#/sbin/modprobe ip_masq_quake 26000,27000,27910,27960
# Permet le masquerading du logiciel CuSeeme pour la video conference
#
#/sbin/modprobe ip_masq_cuseeme
# Permet le masquerading du logiciel VDO-live pour la video conference
#
#/sbin/modprobe ip_masq_vdolive
#CRITIQUE: Active l'IP forwarding puisqu'il est desactive par defaut
#
# Utilisateurs Redhat: vous pourrez essayer en changeant les options dans
# /etc/sysconfig/network de:
#
# FORWARD_IPV4=false
# to
# FORWARD_IPV4=true
#
echo "1" > /proc/sys/net/ipv4/ip_forward
#CRITIQUE: Active automatiquement l'IP defragmenting puisqu'il est desactive par defaut
# dans les noyaux 2.2.x. Ceci etait une option de compilation mais ca a change
# depuis le noyau 2.2.12
#
echo "1" > /proc/sys/net/ipv4/ip_always_defrag
# Utilisateurs d'IP Dynamiques:
#
# Si vous recevez votre adresse IP de maniere dynamique a partir d'un server SLIP, PPP, ou
# DHCP, activez option suivante qui active le hacking (au bon sens du terme NDT) des
# adresses IP dynamique dans IP MASQ, rendant ainsi les choses plus faciles pour les
# programmes du type Diald.
#
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr
# Specifiez ici votre adresse IP statique.
#
# Si vous avez une adresse IP DYNAMIQUE, vous devez faire trouver a ce jeu
# de regles votre adresse IP a chaque fois que vous avez une nouvelle. Dans ce but,
# activez le script d'une ligne qui suit.
#
# utilisateurs de DHCP :
# ----------------------
# Si vous recevez votre adresse TCP/IP, **vous devez** activer les commandes
# #ées sous la section PPP ET remplacer le mot "ppp0" par le nom de votre
# de votre connexion Internet EXTERNE (eth0, eth1, etc). Notez aussi que le server
# DHCP peut changer votre adresse IP. Pour resoudre ce probleme, les utilisateurs
# doivent configurer leur client DHCP de sorte qu'il relance le jeu de regles du firewall
# chaque fois que leur bail DHCP est renouvele.
#
# NB #1: Quelques clients DHCP comme l'ancienne version de "pump" (les nouvelles
# versions ont ete corrigees) n'avaient pas la capacité de relancer
# les scripts apres une renouvellement de bail. Pour cette raison, vous
# aurez besoin de le remplacer par quelquechose du style "dhcpcd" ou "dhclient".
#
# NB #2: La syntaxe de "dhcpcd" a changé dans les versions recentes.
#
# Les anciennes version avaient une syntaxe du type:
# dhcpcd -c /etc/rc.d/rc.firewall eth0
#
# Les versions plus recentes ont une syntaxe du type:
# dhcpcd eth0 /etc/rc.d/rc.firewall
#
# NB #3: Pour les utilisateurs de Pump, ajouter cette ligne de commande dans votre
# fichier /etc/pump.conf:
#
# script /etc/rc.d/rc.firewall
#
# utilisateurs de PPP :
# ---------------------
# Si vous n'etes pas deja au courant, le script /etc/ppp/ip-up est toujours lance quand
# une connexion PPP arrive. A cause de ca, on peut demander au jeu de regles d'aller recuperer
# la nouvelles adresse IP PPP et de mettre a jour notre jeu de regles du strong firewall.
#
# Si le fichier /etc/ppp/ip-up existe deja, vous devez le modifier et ajouter une ligne
# contenant "/etc/rc.d/rc.firewall" pres de la fin du fichier.
#
# Si vous n'avez pas encore de script /etc/ppp/ip-up, vous devez creer le lien suivant
# pour lancer le script /etc/rc.d/rc.firewall.
#
# ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up
#
# * Vous devez ensuite activer les commandes #ees si dessous *
#
#
# Utilisateurs de PPP et DHCP :
# -----------------------------
# Enlevez le # de la ligne si dessous et placez un # sur la ligne suivante.
#
#ppp_ip="`/sbin/ifconfig ppp0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://'`"
#
ppp_ip="your.static.PPP.address"
# MASQ timeouts
#
# timeout de 2 heures pour les sessions TCP
# timeout de 10 sec pour le traffic apres que le paquet TCP/IP "FIN" est recu
# timeout de 160 sec pour le traffic UDP (Important pour les utilisateur d'ICQ MASQues)
#
/sbin/ipfwadm -M -s 7200 10 60
#############################################################################
# Entrée (incoming), flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
/sbin/ipfwadm -I -f
/sbin/ipfwadm -I -p reject
# interface locale, machines locales, on peut allez n'importe ou
#
/sbin/ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/24 -D 0.0.0.0/0
# interface distance, pretendant etre une machine locale, IP spoofing, tire toi
#
/sbin/ipfwadm -I -a reject -V $ppp_ip -S 192.168.0.0/24 -D 0.0.0.0/0 -o
# interface distante, toute source, peut aller a l'adresse PPP permanante
#
/sbin/ipfwadm -I -a accept -V $ppp_ip -S 0.0.0.0/0 -D $ppp_ip/32
# boucler sur l'interface est valide.
#
/sbin/ipfwadm -I -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0
# regle qui attrape tout, refuse tout autre entrée et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
/sbin/ipfwadm -I -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o
#############################################################################
# Sortie (outgoing), flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
/sbin/ipfwadm -O -f
/sbin/ipfwadm -O -p reject
# interface locale, toute source allant vers le reseau local est valide
#
/sbin/ipfwadm -O -a accept -V 192.168.0.1 -S 0.0.0.0/0 -D 192.168.0.0/24
# sortie vers le reseau local d'une interface distance, routage bizarre, rejet
#
/sbin/ipfwadm -O -a reject -V $ppp_ip -S 0.0.0.0/0 -D 192.168.0.0/24 -o
# sortie du reseau local vers une interface distante, masquerading modifié, rejet
#
/sbin/ipfwadm -O -a reject -V $ppp_ip -S 192.168.0.0/24 -D 0.0.0.0/0 -o
# sortie du reseau local d'une interface distante, rejet
#
/sbin/ipfwadm -O -a reject -V $ppp_ip -S 0.0.0.0/0 -D 192.168.0.0/24 -o
# tout autre chose qui sort de l'interface distance est valide
#
/sbin/ipfwadm -O -a accept -V $ppp_ip -S $ppp_ip/32 -D 0.0.0.0/0
# boucler sur l'interface est valide.
#
/sbin/ipfwadm -O -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0
# regle qui attrape tout, refuse tout autre sortie et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
/sbin/ipfwadm -O -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o
#############################################################################
# Forwarding, flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
/sbin/ipfwadm -F -f
/sbin/ipfwadm -F -p deny
# Masquerade a partir du reseau local sur l'interface locale vers n'importe ou.
#
/sbin/ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/24 -D 0.0.0.0/0
#
# regle qui attrape tout, refuse tout autre forwarding et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
/sbin/ipfwadm -F -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o
#Fin du fichier.
</pre>
<p>Avec IPFWADM, vous pouvez bloquer le traffic vers un site
particulier en utilisant les règles -I, -O ou -F. Souvenez
vous que ces jeux de règles sont parcourus de début
vers la fin et que "-a" dit a IPFWADM d'"ajouter" cette nouvelle
règle au jeu de règles existant. Donc, en gardant
ceci à l'esprit, toute restriction spécifique a
besoin d'être ajoutée avant les règles
globales. Par exemple :</p>
<p>avec la règle -I (input ):</p>
<p>Vraisemblablement la méthode la plus efficace et la plus
rapide pour bloquer le traffic mais elle arrête seulement les
machines MASQuées et NON la machine firewall
elle-même. Biensûr, vous pourriez vouloir permettre
cette combinaison :</p>
<p>Dans tous les cas, pour bloquer 204.50.10.13:</p>
<p>dans le jeu de règles de /etc/rc.d/rc.firewall :</p>
<pre>
... début des règles -I ...
# rejette et logue l'interface locale, les machines locales allant à 204.50.10.13
#
/sbin/ipfwadm -I -a reject -V 192.168.0.1 -S 192.168.0.0/24 -D 204.50.10.13/32 -o
# Interface locale, machines locales, allez n'importe où est valide
#
/sbin/ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/24 -D 0.0.0.0/0
... fin des règles -I ...
</pre>
<p>avec la règle -O (output ):</p>
<p>C'est la méthode la plus lente parce que les paquets
passent par le masquerading d'abord et sont ensuite
éliminés. Cependant, cette règle empêche
même la machine firewall d'accéder à des sites
interdits.</p>
<pre>
... début des règles -O ...
# rejette et logue les transimissions sortantes vers 204.50.10.13
#
/sbin/ipfwadm -O -a reject -V $ppp_ip -S $ppp_ip/32 -D 204.50.10.13/32 -o
# tout autre chose qui sort de l'interface distante est valide
#
/sbin/ipfwadm -O -a accept -V $ppp_ip -S $ppp_ip/32 -D 0.0.0.0/0
... fin des règles -O ...
</pre>
avec la règle -F (forward ):
<p>Sans doute plus lent pour bloquer le traffic que les
règles -I (input). Ne bloque que les traffics des machines
masqueradées (i.e. les machines internes). La machine
firewall peut toujours atteindre le(s) site(s) interdit(s).</p>
<pre>
... début des règles -F ...
# rejette et logue les transmissions de l'interface locale PPP vers 204.50.10.13.
#
/sbin/ipfwadm -F -a reject -W ppp0 -S 192.168.0.0/24 -D 204.50.10.13/32 -o
# Masquerade du reseau local vers vers n'importe où.
#
/sbin/ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/24 -D 0.0.0.0/0
... fin des règles -F ...
</pre>
Il n'y a pas besoin de règle spéciale pour permettres
aux machines du réseau 192.168.0.0/24 d'aller à
204.50.11.0. Pourquoi ? Parce que c'est déjà
traité dans la règle MASQ globale.
<p>NB : Il y a plus d'une façon de coder les interfaces dans
les règles si dessus. Par example au lieu de "-V
192.168.255.1", vous pouvez mettre "-W eth0", au lieu de "-V
$ppp_ip", vous pouvez utiliser "-W ppp0". La méthode "-V" a
été délaissée lors de la migration vers
IPCHAINS mais pour les utilisateurs IPFWADM, c'est plus un choix
personnel et de documentation plus qu'autre chose.</p>
<h2><a name="ss6.5">6.5 Règles de d'IP Firewall (IPCHAINS)
plus résistants (Stronger)</a></h2>
<p><a name="Strong-IPCHAINS-Rulesets"></a></p>
<p>Cette section fournit un guide plus détaillé sur
l'utilisation de l'outil firewall des noyaux 2.2.X, IPCHAINS.
Reportez vous ci-dessus pour les jeux de règles IPFAWDM.</p>
<p>Voici un exemple d'un système de firewall/masquerade
derrière une connexion PPP avec une adresse PPP statique
(les instructions pour les connexions PPP dynamiques sont incluses
mais désactivées). L'interface de confiance est
192.168.0.1 et l'adresse IP de l'interface PPP a été
changée pour protéger le coupable :). J'ai
listé chaque interface entrante et sortante pour
détecter aussi bien les IP spoofings que les faux routage
et/ou masquerading. Tout ce qui n'est pas explicitement permis est
<b>INTERDIT</b> (euh... rejeté en fait). Si votre serveur IP
MASQ ne fonctionne plus après avoir implémenté
ce script rc.firewall, vérifiez que vous l'avez
modifié pour votre propre configuration et contrôlez
votre fichier SYSLOG /var/log/messages ou /var/adm/messages pour
trouver d'éventuels erreurs de firewall.</p>
<p>Pour des exemples plus exhaustifs de règles
Ôstrong' d'IPFWADM IP Masqueradé pour PPP, modem pour
cable, etc., vous pouvez vous référer à
<a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 10</a> et <a href=
"http://www.greatcircle.com/">GreatCircle's Firewall WWW
page</a></p>
<p><b>NB #1:</b> les noyaux Linux 2.2.x inférieurs à
2.2.16 ont un trou de sécurité dans la couche TCP
(root exploit) et les versions inférieurs à 2.2.11
ont un bug de fragmentation dans IPCHAINS. En raison de cela, les
personnes utilisant le jeu de règles 'strong IPCHAINS' sont
vulnérables aux attaques. Veuillez donc faire la mise
à jour de votre noyau vers une version corrigée.</p>
<p><b>NB #2:</b> Si vous avez une adresse TCP/IP assignée de
facon dynamique par votre FAI (PPP, aDSL, Cable, etc.) vous <b>NE
POUVEZ PAS CHARGER</b> ces règles Ôstrong' au moment
du boot. Vous aurez soit à relancer le jeu de règles
de ce firewall à CHAQUE FOIS que vous avez une nouvelle
adress IP soit faire un /etc/rc.d/rc.firewall plus intelligent.
Pour faire ceci pour les utilisateurs de PPP, lisez attentitevement
et enlever les marques de commentaires des lignes correspondantes
dans la section Òrécuperation d'IP PPP
dynamiqueÓ ci dessous. Vous pouvez aussi trouver de plus
amples détails dans le documentation <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 10</a> sur les jeux de régles
ÔStrong' et les adresses IP dynamiques.</p>
<p><b>Veuillez aussi noter qu'il existe plusieurs utilitaires de
création de Firewall qui possèdent des interfaces
graphiques. Vous pouvez vous reporter à la section <a href=
"#FAQ">FAQ</a> pour des détail complets.</b></p>
<p>Enfin, si vous utilisez une adresse IP STATIQUE obtenue par PPP,
changer la ligne "ppp_ip="votre.adresse.PPP.statique" par votre
adresse.</p>
<p>
----------------------------------------------------------------</p>
<p><a name="stronger-rc.firewall-2.2.x"></a></p>
<pre>
#!/bin/sh
#
# /etc/rc.d/rc.firewall: An example of a Semi-Strong IPCHAINS firewall ruleset.
#
PATH=/sbin:/bin:/usr/sbin:/usr/bin
# Charge les modules necessaires a IP MASQ
#
# NB: Charger uniquement les modules IP MASQ dont vous avez besoin. Tous les modules
# IP MASQ actuels sont montres ci-dessous mais sont commentes pour les empecher de
# se charger.
# Necessaire pour le chargement initial des modules
#
/sbin/depmod -a
# Permet le masquerading correct des transfert de fichier par FTP avec la methode PORT
#
/sbin/modprobe ip_masq_ftp
# Permet le masquerading de RealAudio par UDP. Sans ce module,
# RealAudio FONCTIONNERA mais en mode TCP. Ce qui peu causer une baisse
# dans la qualite du son
#
/sbin/modprobe ip_masq_raudio
# Permet le masquerading des transferts de fichier par DCC pour les IRC
#
#/sbin/modprobe ip_masq_irc
# Permet le masquerading de Quake et QuakeWorld par defaut. Ce module est
# necessaire pour les utilisateurs multiples dirriere un server Linux MASQ. Si vous voulez jouer
# a Quake I, II, et III, utilisez le second exemple.
#
# NB: si vous rencontrez des ERREURs lors de chargement du module QUAKE, c'est que vous utilisez
# un ancien noyau buggue. Mettez a jour votre noyau pour supprimer l'erreur.
#
#Quake I / QuakeWorld (ports 26000 and 27000)
#/sbin/modprobe ip_masq_quake
#
#Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960)
#/sbin/modprobe ip_masq_quake 26000,27000,27910,27960
# Permet le masquerading du logiciel CuSeeme pour la video conference
#
#/sbin/modprobe ip_masq_cuseeme
# Permet le masquerading du logiciel VDO-live pour la video conference
#
#/sbin/modprobe ip_masq_vdolive
#CRITIQUE: Active l'IP forwarding puisqu'il est desactive par defaut
#
# Utilisateurs Redhat: vous pourrez essayer en changeant les options dans
# /etc/sysconfig/network de:
#
# FORWARD_IPV4=false
# to
# FORWARD_IPV4=true
#
echo "1" > /proc/sys/net/ipv4/ip_forward
#CRITIQUE: Active automatiquement l'IP defragmenting puisqu'il est desactive par defaut
# dans les noyaux 2.2.x.
#
# Ceci etait une option de compilation mais ca a change
# depuis le noyau 2.2.12. Noter aussi que quelques distributions
# ont enlevé cette option de la table /proc. Cette cette entrée n'est pas
# presente dans votre /proc, ne vous inquietez pas.
#
echo "1" > /proc/sys/net/ipv4/ip_always_defrag
# Utilisateurs d'IP Dynamiques:
#
# Si vous recevez votre adresse IP de maniere dynamique a partir d'un server SLIP, PPP,
# ou DHCP, activez option suivante qui active le hacking (au bon sens du terme NDT) des
# adresses IP dynamique dans IP MASQ, rendant ainsi les choses plus faciles pour les
# programmes du type Diald.
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr
# Active le patch LooseUDP dont certains jeux reseaux ont besoin
#
# Si vous etes en train d'essayer de faire fonctionner un jeu sur Internet au travers votre
# serveur MASQ, et vous l'avez configure le mieux que vous pouviez mais que ca fonctionne
# toujours pas, essayez d'activer cette option (en supprimant le # en debut de ligne). Cette
# option est desactivee par defaut pour eviter une probable vulnerabilite au port scanning
# UDP en interne.
#
#echo "1" > /proc/sys/net/ipv4/ip_masq_udp_dloose
# Specifiez ici votre adresse IP statique.
#
# Si vous avez une adresse IP DYNAMIQUE :
# votre jeu de regles doit trouver votre adresse IP a chaque fois que vous avez une nouvelle.
# Dans ce but, activez le script d'une ligne qui suit. (Veuillez SVP noter que les differents
# apostrophes, guillemets etc. ont leur importance et sont distincts).
#
#
# utilisateurs de DHCP :
# ----------------------
# Si vous recevez votre adresse TCP/IP, **vous devez** activer les commandes
# #és sous la section PPP ET remplacerle mot "ppp0" par le nom de votre
# de votre connetion Internet EXTERNE (eth0, eth1, etc). Notez aussi que le server
# DHCP peut changer votre adress IP. Pour resoudre ce probleme, les utilisateurs
# doivent configurer leur client DHCP de sorte qu'il relance le jeu de regles du firewall
# chaque fois que leur bail DHCP est renouvele.
#
# NB #1: Quelques clients DHCP comme l'ancienne version de "pump" (les nouvelles
# versions ont ete corrigees) n'avait pas la capacité de relancer
# les scripts apres une renouvellement de bail. Pour cette raison, vous
# aurez besoin de le remplacer par quelquechose du style "dhcpcd" ou "dhclient".
#
# NB #2: La syntaxe de "dhcpcd" a changé dans les versions recentes.
#
# Les anciennes version avaient une syntaxe du type:
# dhcpcd -c /etc/rc.d/rc.firewall eth0
#
# Les versions plus recentes ont une syntaxe du type:
# dhcpcd eth0 /etc/rc.d/rc.firewall
#
# NB #3: Pour les utilisateurs de Pump, ajouter cette ligne de commande dans votre fichier
# /etc/pump.conf:
#
# script /etc/rc.d/rc.firewall
#
# utilisateurs de PPP :
# ---------------------
# Si vous n'etes pas deja au courant, le script /etc/ppp/ip-up est toujours lance quand
# une connexion PPP arrive. A cause de ca, on peut demander au jeu de regles d'aller recuperer
# la nouvelles adresse IP PPP et de mettre a jour notre jeu de regles du strong firewall.
#
# Si le fichier /etc/ppp/ip-up existe deja, vous devez le modifier et ajouter une ligne
# contenant "/etc/rc.d/rc.firewall" pres de la fin du fichier.
#
# Si vous n'avez pas encore de script /etc/ppp/ip-up, vous devez creer le lien suivant
# pour lancer le script /etc/rc.d/rc.firewall.
#
# ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up
#
# * Vous devez ensuite activer les commandes #ees si dessous *
#
#
# Utilisateurs de PPP et DHCP :
# -----------------------------
# Enlevez le # de la ligne si dessous et placez un # sur la ligne suivante.
#
#extip="`/sbin/ifconfig ppp0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://'`"
# Pour les utilisateurs de PPP avec une adresse IP statique:
#
extip="your.static.PPP.address"
# Tous les utilisateurs de PPP et DHCP doivent utiliser ceci pour corriger le nom de
# leur interface EXTERNE
extint="ppp0"
# Assigne l'IP interne
intint="eth0"
intnet="192.168.0.0/24"
# MASQ timeouts
#
# timeout de 2 heures pour les sessions TCP
# timeout de 10 sec pour le traffic apres que le paquet TCP/IP "FIN" est recu
# timeout de 160 sec pour le traffic UDP (Important pour les utilisateur d'ICQ MASQues)
#
ipchains -M -S 7200 10 60
#############################################################################
# Entrée (incoming), flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
ipchains -F input
ipchains -P input REJECT
# interface locale, machines locales, on peut allez n'importe ou
#
ipchains -A input -i $intint -s $intnet -d 0.0.0.0/0 -j ACCEPT
# interface distance, pretendant etre une machine locale, IP spoofing, tire toi
#
ipchains -A input -i $extint -s $intnet -d 0.0.0.0/0 -l -j REJECT
# interface distante, toute source, peut aller a l'adresse PPP permanante
#
ipchains -A input -i $extint -s 0.0.0.0/0 -d $extip/32 -j ACCEPT
# boucler sur l'interface est valide.
#
ipchains -A input -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT
# regle qui attrape tout, refuse tout autre entrée et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
ipchains -A input -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT
#############################################################################
# Sortie (outgoing), flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
ipchains -F output
ipchains -P output REJECT
# interface locale, toute source allant vers le reseau local est valide
#
ipchains -A output -i $intint -s 0.0.0.0/0 -d $intnet -j ACCEPT
# sortie vers le reseau local d'une interface distance, routage bizarre, rejet
#
ipchains -A output -i $extint -s 0.0.0.0/0 -d $intnet -l -j REJECT
# sortie du reseau local vers une interface distante, masquerading modifié, rejet
#
ipchains -A output -i $extint -s $intnet -d 0.0.0.0/0 -l -j REJECT
# tout autre chose qui sort de l'interface distance est valide
#
ipchains -A output -i $extint -s $extip/32 -d 0.0.0.0/0 -j ACCEPT
# boucler sur l'interface est valide.
#
ipchains -A output -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT
# regle qui attrape tout, refuse tout autre sortie et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
ipchains -A output -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT
#############################################################################
# Forwarding, flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
ipchains -F forward
ipchains -P forward DENY
# Masquerade a partir du reseau local sur l'interface locale vers n'importe ou.
#
ipchains -A forward -i $extint -s $intnet -d 0.0.0.0/0 -j MASQ
#
# regle qui attrape tout, refuse tout autre forwarding et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
ipchains -A forward -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT
#Fin du fichier.
</pre>
Avec IPCHAINS, on peut bloquer le traffic vers un site particuler
grâce aux règles "input", "output", et/ou "forward".
Souvenez vous que les jeux de règles sont traitées de
haut en bas et que "-A" dit a IPCHAINS de "coller" une nouvelle
règle au jeu de règles existant. Donc, avec ça
en tête, toute règle spécifique doit venir
avant les règles globales. Par exemple :
<p>Avec la règle "input" :</p>
<p>Vraisemblablement la méthode la plus efficace et la plus
rapide pour bloquer le traffic mais elle arrête seulement les
machines MASQuées et NON la machine firewall
elle-même. Biensûr, vous pourriez vouloir permettre
cette combinaison :</p>
<p>Dans tous les cas, pour bloquer 204.50.10.13:</p>
<p>dans le jeu de règles de /etc/rc.d/rc.firewall :</p>
<pre>
... début des règles -I ...
# rejette et logue l'interface locale, les machines locales allant à 204.50.10.13
#
ipchains -A input -s 192.168.0.0/24 -d 204.50.10.13/32 -l -j REJECT
... fin des règles -I ...
</pre>
<p>avec la règle -O (output ):</p>
<p>C'est la méthode la plus lente parce qeu les paquets
passent par le masquerading d'abord et sont ensuite
éliminés. Cependant, cette règle empêche
meme la machine firewall d'accéder à des sites
interdits.</p>
<pre>
... début des règles -O ...
# rejette et logue les transimissions sortantes vers 204.50.10.13
#
ipchains -A output -s $ppp_ip/32 -d 204.50.10.13/32 -l -j REJECT
# tout autre chose qui sort de l'interface distante est valide
#
ipchains -A output -s $ppp_ip/32 -d 0.0.0.0/0 -l -j ACCEPT
... fin des règles -O ...
</pre>
avec la règle -F (forward ):
<p>Sans doute plus lent pour bloquer le traffic que les
règles -I (input). Ne bloque que les traffics des machines
masqueradées (i.e. les machines internes). La machine
firewall peut toujours atteindre le(s) site(s) interdit(s).</p>
<pre>
... début des règles -F ...
# rejette et logue les transmissions de l'interface locale PPP vers 204.50.10.13.
#
ipchains -A forward -i ppp0 -s 192.168.0.0/24 -d 204.50.10.13/32 -l -j REJECT
# Masquerade du reseau local vers vers n'importe où.
#
ipchains -A forward -i ppp0 -s 192.168.0.0/24 -d 0.0.0.0/0 -j MASQ
... fin des règles -F ...
</pre>
Il n'y a pas besoin de règle spéciale pour permettre
aux machines du réseau 192.168.0.0/24 d'aller à
204.50.11.0. Pourquoi ? Parce que c'est déjà
traité dans la règle MASQ globale.
<p>NB : Contrairement à IPFWADM, IPCHAINS n'a seulement
qu'une manière de coder le nom des interfaces. IPCHAINS
utilise l'option "-i eth0" là ou IPFADM avait le "-W" pour
le nom de l'interface et le "-V" pour l'adresse IP de l'interface.
<a name="multiple-masqed-lans"></a></p>
<h2><a name="ss6.6">6.6 IP Masquerader plusieurs réseaux
internes</a></h2>
<p>Masquerader plus d'un réseau interne est une tâche
plutôt simple. Vous devez d'abord vérifier que tous
vos réseaux fonctionnent correctement (internes et
externes). Vous devez ensuite permettre au traffic de passer dans
les interfaces internes et d'être MASQués vers
Internet.</p>
<p>Ensuite, vous devez activer le Masquerading sur les interfaces
INTERNES. Cet exemple utilise au total TROIS interfaces : eth0 est
une connexion EXTERNE vers Internet, eth1 est le réseau
192.1680.0.0, et eth2 et le réseau 192.168.1.0. eth1 et eth2
vont tous deux être MASQués au travers de l'interface
eth0. Dans votre jeu de règles rc.firewall, juste à
côté de votre ligne activant MASQ, ajoutez ce qui suit
:</p>
<ul>
<li>Noyaux 2.2.x avec IPCHAINS
<pre>
#Active la communication entre les interfaces internes
/sbin/ipchains -A forward -i eth1 -d 192.168.0.0/24
/sbin/ipchains -A forward -i eth2 -d 192.168.1.0/24
#Permet aux interfaces internes de MASQuer vers Internet
/sbin/ipchains -A forward -j MASQ -i eth0 -s 192.168.0.0/24 -d 0.0.0.0/0
/sbin/ipchains -A forward -j MASQ -i eth0 -s 192.168.1.0/24 -d 0.0.0.0/0
</pre></li>
<li>noyaux 2.0.x avec IPFWADM
<pre>
#Active la communication entre les interfaces internes
/sbin/ipfwadm -F -a accept -V 192.168.0.1 -D 192.168.1.0/24
/sbin/ipfwadm -F -a accept -V 192.168.1.1 -D 192.168.0.0/24
#Permet aux interfaces internes de MASQuer vers Internet
/sbin/ipfwadm -F -a masq -W eth0 -S 192.168.0.0/24 -D 0.0.0.0/0
/sbin/ipfwadm -F -a masq -W eth0 -S 192.168.1.0/24 -D 0.0.0.0/0
</pre></li>
</ul>
Notez qu'il est CORRECT d'avoir spécifé "eth0"
plusieurs fois dans les exemples ci-dessus. La raison est que le
noyau Linux a besoin de savoir quel interface est utilisé
por le traffic SORTANT. Puisque eth0 est la connexion Internet dans
les exemples précédents, elle est listée pour
chaque interface interne.
<p><a name="Diald"></a></p>
<h2><a name="ss6.7">6.7 IP Masquerade et les connexions
téléphoniques sur demande</a></h2>
<ol>
<li>Si vous voulez configurer votre réseau de manière
à ce qu'il se connecte automatiquement par modem
téléphonique à Internet, soit le package
<em>Diald</em> de connexion sur demande soit les nouvelles versions
de <em>PPPd</em> vous sernt d'une grande utilité. Diald est
la solution recommandée en raison de sa configuration plus
précise.</li>
<li>Pour configurer Diald, reportez vous a la page suivant :
<a href=
"http://home.pacific.net.sg/~harish/diald.config.html">Setting Up
Diald for Linux Page</a> ou à celle ci : <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 23</a></li>
<li>Une fois que Diald et IP Masq ont été
configurés correctement, toute machine cliente
MASQuée qui commence une session web, telnet ou ftp va
provoquer la connexion dynamique par la machine Linux à
Internet.</li>
<li>Un timeout va avoir lieu pour la première connexion.
C'est inévitable si vous utilisez un modem analogique. Le
temps d'établir la connexion du modem et la connexion PPP
peuvent être suffisamment longs pour provoquer des timeouts
dans votre programme client (browser WWW, etc.). Toutefois, ce
n'est pas commun. Si ca vous arrive, essayer simplement de relancer
votre requêtre Internet (disons, la page web) et ca devrait
marcher. Vous pouvez aussi essayer de mettre l'option noyau suivant
: <em>echo "1" > /proc/sys/net/ipv4/ip_dynaddr</em> pour vous
aider dans avec cette configuation initiale.</li>
</ol>
<p><a name="Forwarders"></a></p>
<h2><a name="ss6.8">6.8 IPPORTFW, IPMASQADM, IPAUTOFW, REDIR,
UDPRED, et d'autres outils de Port Forwarding</a></h2>
<p>IPPORTFW, IPAUTOFW, REDIR, UDPRED, et les autres programmes sont
des outils de port forwarding TCP et/ou UDP
génériques pour Linux IP Masquerade. Ces outils sont
typiquement utilisés avec ou en remplacement de modules IP
MASQ spécifiques tels que ceux pour FTP, Quake, etc. Avec
les port forwarders, vous pouvez rédiriger les connexions
venant d'Internet vers une machine interne derrière le
serveur IP MASQ, dont l'adresse est privée . Cette
possibilité de forwarding inclus les protocoles
réseaux tels que TELNET, WWW, SMTP, FTP (avec un patch
special - regardez si dessous), ICQ, et bien d'autres.</p>
<p>NB : Si vous voulez juste faire un simple port forwarding sans
IP Masquerading, vous aurez <b>TOUJOURS BESOIN</b> d'activer l'IP
Masquerading dans votre noyau ET soit dans votre jeu de
règles IPFWADM soit IPCHAINS pour être capable
d'utiliser les outils de portforwarding de Linux</p>
<p>Alors pourquoi tous ces choix ? IPAUTOFW, REDIR, et UDPRED
(toutes les URLs sont dans la section <a href=
"#2.0.x-Requirements">2.0.x-Requirements</a> ) étaient les
premiers outils disponibles pour les utilisateurs d'IP MASQ pour
permettre cette fonctionnalié. Plus tard, quand Linux IP
Masquerade a mûri, ces outils furent remplacés par
IPPORTFW qui constitue une solution plus intelligente. A cause de
la disponibilité d'outils nouveaux, il est *FORTEMENT
DECONSEILLE* d'utiliser les outils tels que IPAUTOFW et REDIR parce
qu'ils n'informent pas correctement le noyau de leur
présence et peuvent dans les cas les plus extrèmes
d'utilisation <b>CRASHer</b> votre serveur Linux. Notez aussi que
la solution la plus recente est MFW. Son avantage principal est de
permettre une intégration plus étroite avec l'outil
IPCHAINS. Avec cette solution, vous utilisez un jeu de
règles IPCHAINS pour "Marker" un paquet spécifique et
créer ensuite une chaine différente pour faire
ensuite le bon forwarding. Cette méthode n'est pas encore
traitée dans ce HOWTO.</p>
<p>NB #2 : avec PORTFW sur les noyaux 2.2.x, <em>les machines
internes</em> NE PEUVENT PAS utiliser la meme adresse IP
PORTFWdé pour acceder une machine interne bienque ça
marche très bien avec des machines externes sur Internet. Si
c'est un probèleme pour vous, vous pouvez AUSSI
implémenter l'outil portfw REDIR pour laisser des machines
internes être redirigées vers un serveur interne. Une
chose à noter est que le jeu de règles de l'imminent
<a href="#NetFilter">NetFilter</a> résoud ce
problème. Si vous désirez avoir une explication
technique sur les raisons du non fonctionnement du forwarding
interne/externe, reportez vous SVP à la fin de la section
PORTFW du noyau 2.2.x pour les notes de Juan.</p>
<p>NB #3 : Le forwarding du traffic de serveurs FTP vers un serveur
FTP MASQué interne, connu sous le nom de <b>PORTFW FTP</b>,
est maintenant compatible avec les noyaux 2.0.x et les noyaux 2.2.x
. C'est possible soit en patchant le noyau Linux si la
compatibilité n'est pas encore implémenté dans
votre noyau ou bien un utilisant un programme de proxy FTP externe.
Vous devriez aussi noter que le code du module noyau est toujours
expérimental et que certaines personnes obtiennent de
meilleurs résultats avec des sessions FTP ACTIVES par
rapport aux connexions PASSIVES. Et, chose assez
intéressante, d'autres personnes obtiennent exactement le
contraire. Envoyez nous SVP vos résultats. De plus amples
détails sont fournis dans les sections 2.2.x et 2.0.x en
tant que solutions fournis pas les différents patches.</p>
<p>Avant de plonger dans l'installation de IPPORTFW pour 2.0.x ou
de la version de 2.2.x de IPMASQADM avec le support IPPORTFW,
veuillez noter qu'il peut y avoir des problèmes liés
à la sécurité avec tout port forwarder. La
raison est que ces outils créent un trou dans le firewall
par paquet pour les port TCP/UDP forwardés. Bienque cela ne
conduise à aucune menace pour votre machine Linux, ca
pourrait être un problème pour la machine interne vers
lequel ce traffic est forwardé. Ne vous inquietez pas non
plus, voilà ce que Steven Clarke (l'auteur de IPPORTFW) a
à dire sur ce sujet :</p>
<blockquote>
<pre>
<code> "Port Forwarding est appelé seulement parmis les fonctions de masquerading il suit donc
les même règles que IPFWADM/IPCHAINS. Masquerading est une extension de IP forwarding.
Toutefois, ipportfw ne vois les paquets que s'ils remplissent les conditions
d'entrée et de masquerading du jeu de règles d'ipfwadm."
</code>
</pre></blockquote>
Maintenant que l'on a dit ceci, il est important d'avoir un jeu de
règles de firewall 'strong'. Reportez vous SVP aux sections
<a href="#Strong-IPFWADM-Rulesets">Strong-IPFWADM-Rulesets</a> et
<a href="#Strong-IPCHAINS-Rulesets">Strong-IPCHAINS-Rulesets</a>
pour de plus amples détails sur les jeux de règles
'strongs'.
<p>Donc, pour installer l'IPPORTFW forwarding pour chacun des
noyaux 2.0.x ou 2.2.x, vous devez recompiler le noyau Linux avec la
compatibilité IPPORTFW.</p>
<ul>
<li>les utilisateurs de noyaux 2.2.x vont déjà avoir
l'option noyau IPPORTFW de disponible via IPMASQADM</li>
<li>les utilisateurs de noyaux 2.0.x vont avoir besoin d'appliquer
un patch d'option noyau simple</li>
</ul>
<h3>IPMASQADM avec compatibilité IPPORTFW sur les noyaux
2.2.x</h3>
<p>D'abord, vérifiez que vous avez les sources du noyau
2.2.x le plus récent dans /usr/src/linux. Si vous ne l'avez
pas dejà fait, reportez vous SVP à la section
<a href="#Kernel-Compile">Kernel-Compile</a> pour de plus amples
détails. Ensuite, téléchargez le programme
"ipmasqadm.c" de la section <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> dans le repertoire
/usr/src.</p>
<p>Vous aurez ensuite à compiler le noyau 2.2.x comme
expliqué dans la section <a href=
"#Kernel-Compile">Kernel-Compile</a> . Vérifiez bien que
vous dites YES à l'option IPPORTFW quand vous configurez
votre noyau. Une fois que vous avez compilé le noyau et que
vous avez rebooté, revenez à cette section.</p>
<p>Maintenant, compilez et installez l'outil IPMASQADM :</p>
<blockquote>
<pre>
<code> cd /usr/src
tar xzvf ipmasqadm-x.tgz
cd ipmasqadm-x
make
make install
</code>
</pre></blockquote>
<p>Ensuite, pour cet exemple, nous allons permettre à TOUT
le traffic Internet WWW (port 80) arrivant à votre adresse
Internet TCP/IP d'être forwardé vers une machine
interne Masqueradée dont l'IP est 192.168.0.10.</p>
<p>PORTFW FTP : Comme mentionné precédemment, il y a
deux solutions pour forwarder le traffic d'un server FTP vers une
machine interne MASQuée. La première solution *EST*
le module BETA <em>IP_MASQ_FTP</em> pour noyau 2.2.x pour PORT
Forwarder les connexions FTP vers un serveur FTP interne
MASQué. L'autre méthode est d'utiliser un programme
de proxy FTP (l'URL se trouve dans la section <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> . Vouz devriez aussi
noter que le module noyau FTP permet aussi d'ajouter des PORTFW FTP
supplémentaires à la volée sans avoir à
relancer le module et ainsi planter les connexions FTP en cours.
Vous trouverez de plus amples détails sur le site d'IPMASQ
WWW à <a href=
"http://ipmasq.cjb.net">http://ipmasq.cjb.net</a>. Il y a aussi des
exemples et des informations sur les connexions FTP PORTFWés
ci dessous dans la section du noyau 2.0.x.</p>
<p><b>NB:</b> Une fois le port forward du port 80 activé, ce
port ne pourra plus être utilisé par le serveur Linux
IP Masquerade. Pour être plus précis, si vous avez un
server WWW sur le server MASQ, un portfw va maintenant diriger tous
les internautes vers les pages WWW INTERNES et non vers celles du
serveur IPMASQ.</p>
<p>Dans tous les cas, pour activer le port forwarding, modifiez le
jeu de règles /etc/rc.d/rc.firewall. Ajoutez les lignes
suivant mais assurez vous de remplacer le mot "$extip" par votre
adresse IP.</p>
<p><b>NB:</b> Si vous avez une adresse IP DYNAMQUE que vous recevez
par votre FAI (PPP, ADSL, Cablemodems, etc.), vous aurez BESOIN de
rendre votre jeu de règles /etc/rc.d/rc.firewall plus
intelligent. Pour ce faire, reportez vous SVP à la section
<a href="#Strong-IPCHAINS-Rulesets">Strong-IPCHAINS-Rulesets</a>
ci-dessus ou à la section <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 10</a> pour de plus amples détails sur
les jeux de règles 'strong' et les adresses IP Dynamiques.
Je vous donne une indication toutefois : /etc/ppp/ip-up pour les
utilisateurs de PPP.</p>
<blockquote>
<pre>
<code> /etc/rc.d/rc.firewall
--
#echo "Activation de l'IPPORTFW sur le LAN externe..."
#
/usr/sbin/ipmasqadm portfw -f
/usr/sbin/ipmasqadm portfw -a -P tcp -L $extip 80 -R 192.168.0.10 80
--
</code>
</pre></blockquote>
<p>C'est tout ! Relancez juste votre jeu de règles
/etc/rc.d/rc.firewall et testez le !</p>
<p>Si vous recevez le message d'erreur "ipchains: setsockopt
failed: Protocol not available", c'est que vous n'êtes pas en
train d'utiliser le nouveau noyau. Verifiez que vous avez bien
installé le nouveau noyau, reconfigurez votre boot loader
(par exemple LILO), et ensuite, rebootez. Si vous êtes
sûr que vous êtes sur le nouveau noyau, lancez la
commande "ls /proc/net/ip_masq" et verifiez que le fichier "portfw"
existe. Si non, vous devez avoir fait une erreur lors de la
configuation de votre noyau. Essayez de nouveau.</p>
<p>Pour ceux qui veulent comprendre pourquoi PORTFW ne peut pas
rediriger le traffic des interfaces externes et internes, voici un
email de Juanjo qui l'explique mieux :</p>
<hr>
<pre>
De Juanjo Ciarlante
--
>Si j'utilise :
>
> ipmasqadm portfw -a -P tcp -L 1.2.3.4 80 -R 192.168.2.3 80
>
>Tout fonctionne très bien a partir de l'exterieur mais les requetes internes pour la meme
>adresse 1.2.3.4 echouent. Y a t-il des chaines qui permettent a une machine sur le reseau local
>192.168.2.0 d'acceder à www.periapt.com sans utiliser de proxy ?
En fait, non.
D'habitude, je mets en place une règle ipmasqadm pour l'extérieur, *ET* un port
redirector pour l'intérieur. Ceci fonctionne parce que ipmasqadm connecte avant que redir
ne recoive l'eventuelle connexion exterieur, _mais_ laisse les choses comme elles sont sinon
(géré par des règles APPROPRIEES).
Le vrai problème "conceptuel" provient du fait que la VRAIE IP du client (peer) cible
est sur le même réseau que le serveur cible
Le scénario d'un echec pour le "local masq" est :
client: 192.168.2.100
masq: 192.168.2.1
serv: 192.168.2.10
1)client->server packet
a) client: 192.168.2.100:1025 -> 192.168.2.1:80 [SYN]
b) (masq): 192.168.2.100:1025 -> 192.168.2.10:80 [SYN]
(et garde 192.168.2.1:61000 192.168.2.100:1025 apparentés)
c) serv: recoit le paquet masqué (1b)
2)server->client packet
a) serv: 192.168.2.10:80 -> 192.168.2.100:1025 [SYN,ACK]
b) client: 192.168.2.100:1025 -> 192.168.2.10:80 [RST]
Maintenant prenez le temps de comparer (1a) avec (2a).
Vous voyez, le serveur à repondu DIRECTEMENT au client sans passer par
masq (ne laissant donc pas masq ANNULER la modification du paquet) parce que
c'est le MEME réseau, donc le client annule la connexion.
J'espère que cela aide.
Amicalement,
Juanjo
</pre>
<hr>
<h3>IPPORTFW sur noyaux 2.0.x</h3>
<p>D'abord, vérifiez que vous avez les sources du noyau
2.0.x le plus récent dans /usr/src/linux. Si vous ne l'avez
pas dejà fait, reportez vous SVP à la section
<a href="#Kernel-Compile">Kernel-Compile</a> pour de plus amples
détails. Ensuite, téléchargez le programme
"ipmasqadm.c" de la section <a href=
"#2.0.x-Requirements">2.0.x-Requirements</a> dans le repertoire
/usr/src.</p>
<p>Ensuite, si vous projetez de port forwarder le traffic FTP vers
un serveur interne, vous allez devoir appliquer un <b>NOUVEAU</b>
patch module additionnel, <em>IP_MASQ_FTP</em>, que vous trouverez
à la section <a href=
"#2.0.x-Requirements">2.0.x-Requirements</a> . De plus amples
détails le concernant se trouvent plus loin dans cette
section. Veuillez noter SVP que ce n'est pas le même patch
que pour les noyaux 2.2.x donc quelques fonctionnalités
telles que le dynamique FTP PORT n'est pas présent.</p>
<p>Maintenant, copiez le patch IPPORTFW (subs-patch-x.gz) dans le
repertoire de Linux</p>
<blockquote>
<pre>
<code> cp /usr/src/subs-patch-1.37.gz /usr/src/linux
</code>
</pre></blockquote>
<p>Ensuite, appliquez le patch noyau pour creer l'option noyau
IPPORTFW :</p>
<blockquote>
<pre>
<code> cd /usr/src/linux
zcat subs-patch-1.3x.gz | patch -p1
</code>
</pre></blockquote>
<p>Ok, il est temps de compiler le noyau comme indiqué
à la section <a href="#Kernel-Compile">Kernel-Compile</a> .
Repondez YES à l'option IPPORTFW qui est maintenant
disponible quand vous configurez le noyau. Une fois la compilation
terminée, et après avoir rebooté, vous pouvez
revenir à cette section.</p>
<p>Maintenant, avec votre nouveau noyau fraichment compilé,
compilez et installer le programme "IPPORTFW"</p>
<blockquote>
<pre>
<code> cd /usr/src
gcc ipportfw.c -o ipportfw
mv ipportfw /usr/local/sbin
</code>
</pre></blockquote>
<p>Ensuite, pour cet exemple, nous allons permettre à TOUT
le traffic Internet WWW (port 80) arrivant à votre adresse
Internet TCP/IP d'être forwardé vers une machine
interne Masqueradée dont l'IP est 192.168.0.10.</p>
<p><b>NB:</b> Une fois le port forward du port 80 activé, ce
port ne pourra plus être utilisé par le serveur Linux
IP Masquerade. Pour être plus spécifique, si vous avez
un server WWW sur le server MASQ, un portfw va maintenant diriger
tous les internautes vers les pages WWW INTERNES et non vers celles
du serveur IPMASQ. La seule solution à ce problème
est de port fowarder un autre port, disons 8080, vers votre machine
MASQ interne. Bienque cela fonctionne, tous les internautes devront
coller un <em>:8080</em> à l'URL pour pouvoir contacter
votre server WWW MASQué interne.</p>
<p>Dans tous les cas, pour activer le port forwarding, modifiez le
jeu de règles /etc/rc.d/rc.firewall. Ajoutez les lignes
suivant mais assurez vous de remplacer le mot "$extip" par votre
adresse IP.</p>
<p><b>NB:</b> Si vous avez une adresse IP DYNAMQUE que vous recevez
par votre FAI (PPP, ADSL, Cablemodems, etc.), vous aurez BESOIN de
rendre votre jeu de règles /etc/rc.d/rc.firewall plus
intelligent. Pour ce faire, reportez vous SVP à la section
<a href="#Strong-IPCHAINS-Rulesets">Strong-IPCHAINS-Rulesets</a> ci
dessus ou à la section <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 10</a> pour de plus amples détails sur
les jeux de règles 'strong' et les adresses IP Dynamiques.
Je vous donne un peu indice toutefois : /etc/ppp/ip-up pour les
utilisateurs de PPP.</p>
<blockquote>
<pre>
<code> /etc/rc.d/rc.firewall
--
#echo "Activation de l'IPPORTFW sur le LAN externe..."
#
/usr/local/sbin/ipportfw -C
/usr/local/sbin/ipportfw -A -t$extip/80 -R 192.168.0.10/80
# Veuillez notez SVP que le PORTFWing du port 20 N'EST PAS nécessaire pour les
# connexions ACTIVES puisque le serveur FTP interne va lancer cette connexion
# sur le port 20 et qu'il va donc être correctement pris en charge par les mechanismes
# classiques de MASQ.
--
</code>
</pre></blockquote>
<p>C'est tout ! Relancez juste votre jeu de règles
/etc/rc.d/rc.firewall et testez le !</p>
<p>Si vous recevez le message d'erreur "ipchains: setsockopt
failed: Protocol not available", c'est que vous n'êtes pas en
train d'utiliser le nouveau noyau. Verifiez que vous avez bien
installé le nouveau noyau, reconfigurez votre boot loader
(par exemple LILO), et ensuite, rebootez.</p>
<p>Port Forwarder des serveurs FTP :</p>
<p>Si vous projetez de port forwarder FTP vers une machine interne,
les choses se compliquent. La raison en est que le module noyau
<em>IP_MASQ_FTP</em> standard n'était pas écrit pour
ça, meme si des utilisateurs nous ont dit que cela
fonctionnait sans problème. Personnellement, sans le patch,
j'ai entendu dire que les transferts de fichiers longs, qui
excèdent 30 minutes vont échouer alors que d'autres
personnes jurent que ça fonctionne sans problème.
Quoiqu'il en soit, je vous recommande d'essayer cette instruction
PORTFW avec le module STOCK ip_masq_ftp et de voir si ca fonctionne
pour vous. Si ca marche pas, essayez d'utiliser le module
ip_masq_ftp modifié.</p>
<p>Pour ceux qui ont besoin du module, Fred Viles a écrit un
module IP_MASQ_FTP modifié pour faire en sorte que ca
fonctionne. Si vous êtes curieux et que vous voulez savoir
EXACTEMENT ce que sont les problèmes,
téléchargez l'archive suivante parce que les
documents de Fred sont très bien faits. Vous devez aussi
comprendre que le patch est quelque peu expérimental et
considerez le donc comme tel. Vous devez aussi noter que ce patch
fonctionne UNIQUEMENT sur les noyaux 2.0.x puisqu'il y a un patch
différent disponible pour les noyaux 2.2.x.</p>
<p>Donc, pour faire fonctionner le patch 2.0.x, vous avez besoin de
:</p>
<ul>
<li>Appliquer en PREMIER le patch noyau IPPORTFW comme
expliqué précédemment dans la section.</li>
<li>Downloader le "msqsrv-patch-36" du serveur FTP de Fred Viles de
la section <a href="#2.0.x-Requirements">2.0.x-Requirements</a> et
le mettre dans /usr/src/linux.</li>
<li>Patcher le noyau avec ce nouveau code en lançant la
commande "cat msqsrv-patch-36 | patch -p1"</li>
<li>Ensuite, remplacer le module noyau <em>"ip_masq_ftp.c"</em>
original par le nouveau fichier
<ul>
<li>mv /usr/src/linux/net/ipv4/ip_masq_ftp.c
/usr/src/linux/net/ipv4/ip_masq_ftp.c.orig</li>
<li>mv /usr/src/linux/ip_masq_ftp.c
/usr/src/linux/net/ipv4/ip_masq_ftp.c</li>
</ul>
</li>
<li>Enfin, compiler et installer le noyau avec le nouveau code
à la place.</li>
</ul>
<p>Une fois que vous avez fait tout ça, modifiez votre jeu
de règles /etc/rc.d/rc.firewall et ajoutez les lignes
suivantes en prenant soin de remplacer "$extip" par votre propre
adresse IP.</p>
<p>Cet exemple, comme ci-dessus, va permettre de renvoyer TOUT le
traffic internet FTP (port 21) de votre connexion Internet TCP/IP
vers la machine interne Masqueradée dont l'adresse IP est
192.168.0.10.</p>
<p><b>NB:</b> Une fois le port forward du port 21 activé, ce
port ne pourra plus être utilisé par le serveur Linux
IP Masquerade. Pour être plus précis, si vous avez un
server FTP sur le server MASQ, un portfw va maintenant diriger tous
les internautes vers les pages FTP INTERNES et non vers celles du
serveur IPMASQ.</p>
<blockquote>
<pre>
<code> /etc/rc.d/rc.firewall
--
#echo "Activation de l'IPPORTFW sur le LAN externe..."
#
/usr/local/sbin/ipportfw -C
/usr/local/sbin/ipportfw -A -t$extip/21 -R 192.168.0.10/21
#NB : Si vous allez utiliser plusieurs port locaux à PORTFWer
# vers plusieurs seveurs FTP internes (disons, 21, 2121, 2112,
# etc), vous devez configurer le module ip_masq_ftp pour qu'il
# ecoute ces ports. Pour ce faire, modifiez votre script
# /etc/rc.d/rc.firewall comme le montre ce HOWTO
# pour qu'il ressemble a ceci :
#
# /sbin/modprobe ip_masq_ftp ports=21,2121,2112
#
# Relancez le script /etc/rc.d/rc.firewall pour que les changements
# prennent effet.
#Veuillez notez SVP que le PORTFWing du port 20 N'EST PAS nécessaire pour les
# connexions ACTIVES puisque le serveur FTP interne va lancer cette connexion
# sur le port 20 et qu'il va donc être correctement pris en charge par les mechanismes
# classiques de MASQ.
--
</code>
</pre></blockquote>
<p>C'est tout ! Relancez juste votre jeu de règles
/etc/rc.d/rc.firewall et testez le !</p>
<p>Si vous recevez le message d'erreur "ipchains: setsockopt
failed: Protocol not available", c'est que vous n'êtes pas en
train d'utiliser le nouveau noyau. Verifiez que vous avez bien
installé le nouveau noyau, reconfigurez votre boot loader
(par exemple LILO), et ensuite, rebootez.</p>
<p><a name="CuSeeme"></a></p>
<h2><a name="ss6.9">6.9 CU-SeeMe et Linux IP-Masquerade</a></h2>
<p>Linux IP Masquerade est compatible avec CuSeeme via le module
noyau <em>"ip_masq_cuseeme"</em>. Ce module noyau devrait
être chargé par le script /etc/rc.d/rc.firewall. Une
fois que le module "ip_masq_cuseeme" est installé, vous
devriez être capables de recevoir et d'initier des connexions
CuSeeme vers des réflecteurs distants et/ou des
utilisateurs.</p>
<p>NB : Il est recommandé d'utiliser l'outil IPPORTFW au
lieu du vieux IPAUTOFW pour utiliser CuSeeme.</p>
<p>Si vous avez besoin d'information explicites sur la
configuration de CuSeeme, vous pouvez vous reporter à
<a href="http://www.swampgas.com/vc/ipmcus.htm">Michael Owings's
CuSeeMe page</a> pour un Mini-HOWTO ou <a href=
"http://ipmasq.cjb.net/">The IP Masquerade Resources</a> pour un
mirroir de ce Mini-HOWTO.</p>
<p><a name="ICQ"></a></p>
<h2><a name="ss6.10">6.10 Mirabilis ICQ</a></h2>
<p>Il y a deux méthodes pour faire fonctionner ICQ
derrière un serveur Linux MASQ. Une des solutions est
d'utiliser le nouveau module ICQ Masq et l'autre solution est
d'utiliser IPPORTFW.</p>
<p>Le modue ICQ a quelques avantages. Il permet une configuration
simple pour plusieurs utilisateurs ICQ derrière un server
MASQ. Il ne requiert pas non plus de changement dans les clients
ICQ. Récemment, la version 2.2.x du module a
été mis à jour pour permettre le transfert de
fichier et le "chat" en temps-réél. Toutefois, la
version 2.0.x du module n'est pas parfait. Toutefois, je pense
maintenant que c'est la MEILLEURE méthode pour faire
fonctionner ICQ avec IP Masq sous les noyaux 2.2.x.</p>
<p>Pour la configuration IPPORTFW, vous allez devoir faire quelques
changements sur Linux et sur les clients ICQ mais toutes les
fonctionnalités d'ICQ (messages, URLs, chat, transfert de
fichier, etc.) fonctionnent.</p>
<p>Si vous êtes interessés par le module IP Masq ICQ
pour les noyaux 2.2.x d'Andrew Deryabin's <a href=
"mailto:djsf@usa.net">djsf@usa.net</a>, vous pouvez vous reporter
à la section <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> pour plus de
détails.</p>
<ul>
<li>D'abord, vous avez besoin d'un noyau linux avec IPPORTFW
d'activé. Reportez vous à la section <a href=
"#Forwarders">Forwarders</a> pour de plus amples détails.
<ul>
<li>Ensuite, vous avez besoin d'ajouter les lignes suivantes
à votre fichier /etc/rc.d/rc.firewall file. Cet exemple
suppose que votre IP externe est 10.1.2.3 et que votre machine
interne ICQ MASQuées est 192.168.0.10 :
<p>L'exemple qui suit est pour les noyaux 2.0.x avec IPFWADM:</p>
<pre>
J'ai inclus deux exemples ici pour l'utilisateur : les deux fonctionnent très bien.
Exemple #1
--
/usr/local/sbin/ipportfw -A -t10.1.2.3/2000 -R 192.168.0.10/2000
/usr/local/sbin/ipportfw -A -t10.1.2.3/2001 -R 192.168.0.10/2001
/usr/local/sbin/ipportfw -A -t10.1.2.3/2002 -R 192.168.0.10/2002
/usr/local/sbin/ipportfw -A -t10.1.2.3/2003 -R 192.168.0.10/2003
/usr/local/sbin/ipportfw -A -t10.1.2.3/2004 -R 192.168.0.10/2004
/usr/local/sbin/ipportfw -A -t10.1.2.3/2005 -R 192.168.0.10/2005
/usr/local/sbin/ipportfw -A -t10.1.2.3/2006 -R 192.168.0.10/2006
/usr/local/sbin/ipportfw -A -t10.1.2.3/2007 -R 192.168.0.10/2007
/usr/local/sbin/ipportfw -A -t10.1.2.3/2008 -R 192.168.0.10/2008
/usr/local/sbin/ipportfw -A -t10.1.2.3/2009 -R 192.168.0.10/2009
/usr/local/sbin/ipportfw -A -t10.1.2.3/2010 -R 192.168.0.10/2010
/usr/local/sbin/ipportfw -A -t10.1.2.3/2011 -R 192.168.0.10/2011
/usr/local/sbin/ipportfw -A -t10.1.2.3/2012 -R 192.168.0.10/2012
/usr/local/sbin/ipportfw -A -t10.1.2.3/2013 -R 192.168.0.10/2013
/usr/local/sbin/ipportfw -A -t10.1.2.3/2014 -R 192.168.0.10/2014
/usr/local/sbin/ipportfw -A -t10.1.2.3/2015 -R 192.168.0.10/2015
/usr/local/sbin/ipportfw -A -t10.1.2.3/2016 -R 192.168.0.10/2016
/usr/local/sbin/ipportfw -A -t10.1.2.3/2017 -R 192.168.0.10/2017
/usr/local/sbin/ipportfw -A -t10.1.2.3/2018 -R 192.168.0.10/2018
/usr/local/sbin/ipportfw -A -t10.1.2.3/2019 -R 192.168.0.10/2019
/usr/local/sbin/ipportfw -A -t10.1.2.3/2020 -R 192.168.0.10/2020
--
Exemple #2
--
port=2000
while [ $port -le 2020 ]
do
/usr/local/sbin/ipportfw -A t10.1.2.3/$port -R 192.168.0.10/$port
port=$((port+1))
done
--
</pre>
<p>L'exemple suivant est pour les noyaux 2.2.x avec IPCHAINS:</p>
<pre>
J'ai inclus deux exemples ici pour l'utilisateur : les deux fonctionnent très bien.
Exemple #1
--
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2000 -R 192.168.0.10 2000
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2001 -R 192.168.0.10 2001
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2002 -R 192.168.0.10 2002
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2003 -R 192.168.0.10 2003
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2004 -R 192.168.0.10 2004
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2005 -R 192.168.0.10 2005
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2006 -R 192.168.0.10 2006
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2007 -R 192.168.0.10 2007
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2008 -R 192.168.0.10 2008
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2009 -R 192.168.0.10 2009
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2010 -R 192.168.0.10 2010
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2011 -R 192.168.0.10 2011
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2012 -R 192.168.0.10 2012
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2013 -R 192.168.0.10 2013
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2014 -R 192.168.0.10 2014
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2015 -R 192.168.0.10 2015
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2016 -R 192.168.0.10 2016
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2017 -R 192.168.0.10 2017
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2018 -R 192.168.0.10 2018
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2019 -R 192.168.0.10 2019
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2020 -R 192.168.0.10 2020
--
Exemple #2
--
port=2000
while [ $port -le 2020 ]
do
/usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 $port -R 192.168.0.10 $port
port=$((port+1))
done
--
</pre></li>
<li>Une fois que votre nouveau rc.firewall est prêt,
rechargez le jeu de règles en tapant "/etc/rc.d/rc.firewall"
pour être sûr que tout va bien. Si vous recevez une
erreur, c'est que soit vous n'avez pas un noyau qui supporte
IPPORTFW soit que vous avez fait une erreur de frappe dans votre
fichier rc.firewall.</li>
<li>Maintenant, dans les préférences d'ICQ,
Preferences-->Connection, mettez "Behind a LAN" et "Behind a
firewall or Proxy". Ensuite, cliquez sur "Firewall Settings" et
mettez "I don't use a SOCK5 proxy". Notez aussi que l'on
recommandait précédemment de changer la
préférence d'ICQ "Firewall session timeouts" à
"30" seconds MAIS de nombreux utilisateurs ont trouvé que ca
le rendait non fiable. On a trouvé qu'ICQ est plus fiable
avec son réglage de timeout par défaut (n'activez
donc pas cet option d'ICQ) et changez plutôt le timeout de
MASQ à 160 secondes. Vous pouvez changer ce timeout dans les
jeu de règles <a href=
"#rc.firewall-2.0.x">rc.firewall-2.0.x</a> et <a href=
"#rc.firewall-2.2.x">rc.firewall-2.2.x</a> . Enfin, cliquez sur
Next et configure ICQ "Use the following TCP listen ports.." pour
mettre de "2000" à "2020". Maintenant, cliquez sur "done".
<p>Ensuite ICQ vous demandera de relancer ICQ pour que les
changements prennent effet. Pour être tout a fait
honnête, j'ai du REBOOTER la machine Windows9x pour faire
marcher tout ca mais d'autres personnes disent que ca marche
très bien autrement. Donc... essayez les deux
manières.</p>
</li>
</ul>
</li>
<li>Notez aussi qu'un utilisateur m'a dit que portforwarder le port
4000 vers sa machine était ce qui fonctionnait le mieux. Il
a dit que tout fonctionnait parfaitement (chat, transfert de
fichier, etc.) SANS avoir besoin de reconfigurer ICQ et changer ses
réglages par défaut. Vos résultats peuvent
varier sur ce sujet mais j'ai pensé que ça pourrait
vous paraître intéressant de savoir que cette
configuration alternative peut exister.</li>
</ul>
<p><a name="LooseUDP"></a></p>
<h2><a name="ss6.11">6.11 Joueurs : Le patch LooseUDP</a></h2>
<p>Le patch LooseUDP permet au jeux en réseau compatible NAT
qui utilisent des connexion UDP de FONCTIONNER et d'avoir de bonnes
performances derrière un serveur Linux IP Masquerade. Pour
le moment, LooseUDP est disponible comme patch pour les noyaux
2.0.36+ mais se trouve par défaut dans les noyaux 2.2.3+
bien qu'il est DESACTIVE par DEFAUT dans 2.2.16+</p>
<p>Pour faire fonctionner LooseUDM sur un noyau 2.0.x, suivez les
étapes suivantes :</p>
<ul>
<li>D'abord, verifiez que vous avez les sources du noyau 2.0.x le
plus récent dans /usr/src/linux</li>
<li>ABSOLUMENT NECESSAIRE pour v2.0.x : Downloadez et installez le
patch IPPORTFW que vous trouverez dans la secion <a href=
"#2.0.x-Requirements">2.0.x-Requirements</a> et comme décrit
dans la section <a href="#Forwarders">Forwarders</a> de ce
HOWTO.</li>
<li>Downloadez le patch LooseUDP à partir de la section
<a href="#2.0.x-Requirements">2.0.x-Requirements</a>
<p>Ensuite, placez le patch LooseUDP dans /usr/src/linux. Une fois
que c'est fait, tappez :</p>
<blockquote><code>Pour un fichier patch compressé : zcat
loose-udp-2.0.36.patch.gz | patch -p1</code></blockquote>
<blockquote><code>Pour un fichier patch NON-compressé : cat
loose-udp-2.0.36.patch | patch -p1</code></blockquote>
<p>Ensuite, suivant la version de votre "patch", vous allez voir le
texte suivant :</p>
<blockquote>
<pre>
<code>patching file `CREDITS'
patching file `Documentation/Configure.help'
patching file `include/net/ip_masq.h'
patching file `net/ipv4/Config.in'
patching file `net/ipv4/ip_masq.c'
</code>
</pre></blockquote>
<p>Si vous voyez les texte "Hunk FAILED" UNE et UNE SEULE fois, au
tout début de la processure de patching, ne vous
inquiétez pas. Vous avez probablement un ancien fichier de
patch (ce problème à été
réparé) mais ca fonctionne quand même. Si
ça échoue complètement, vérifiez que
vous avez appliqué le patch IPPORTFW AVANT ce patch.</p>
<p>Une fois ce patch installé, reconfigurez votre noyau
comme expliqué dans la section <a href=
"#Kernel-Compile">Kernel-Compile</a> et verifiez bien que vous
dites "Y" à l'option "IP: loose UDP port managing
(EXPERIMENTAL) (CONFIG_IP_MASQ_LOOSE_UDP) [Y/n/?]".</p>
</li>
</ul>
<p>Pour faire fonctionner LooseUDM sur un noyau 2.2.x, suivez les
étapes suivantes :</p>
<ul>
<li>Dans le script /etc/rc.d/rc.firewall, allez à la fin du
fichier et trouvez la section LooseUDP. Changez le "0" dans la
ligne : <code>echo "0" >
/proc/sys/net/ipv4/ip_masq_udp_dloose</code> en "1" et relancez
votre jeu de règles rc.firewall. Un exemple de ceci est
fourni dans les exemples des sections <a href=
"#rc.firewall-2.2.x">rc.firewall-2.2.x</a> et <a href=
"#stronger-rc.firewall-2.2.x">stronger-rc.firewall-2.2.x</a> .</li>
</ul>
<p>Une fois que vous avez relancé le nouveau noyau avec le
LooseUDP activé, vous devriez être en conditions pour
la plupart des jeux compatibles NAT. Nous vous fournissons quelques
URL pour des patchs qui feront fonctionner des jeux tels que
BattleZone ou d'autres jeux compatibles NAT. Vous pouvez vous
reporter à la section <a href=
"#Game-Clients">Game-Clients</a> pour de plus amples
détails.</p>
<h2><a name="s7">7. Frequently Asked Questions (Foire Aux
Questions)</a></h2>
<p><a name="FAQ"></a> Si vous avez des suggestions utiles à
la FAQ à faire, veuillez envoyez SVP un email en anglais
à <a href=
"mailto:dranch@trinnet.net">dranch@trinnet.net</a>. Veuillez
clairement rédiger la question et ca réponse (si vous
l'avez). Merci !</p>
<p><a name="MASQ-supported-Distributions"></a></p>
<h2><a name="ss7.1">7.1 Quelles distributions sont fournis
directement avec IP Masquerading ?</a></h2>
<p>Si votre distribution Linux ne n'est pas fourni directement avec
IP MASQ, ne vous inquiétez pas. Tout ce que vous avez
à faire est de recompiler le noyau comme expliqué
précédement dans ce HOWTO</p>
<p>NB : Si vous pouvez nous aider à remplir ce tableau,
envoyez SVP un email à <a href=
"mailto:ambrose@writeme.com">ambrose@writeme.com</a> ou à
<a href="mailto:dranch@trinnet.net">dranch@trinnet.net</a>.</p>
<ul>
<li>Caldera < v1.2 : NON - ?</li>
<li>Caldera v1.3 : OUI - 2.0.35 based</li>
<li>Caldera v2.2 : OUI - 2.2.5 based</li>
<li>Caldera eServer v2.3 : OUI - ? based</li>
<li>Debian v1.3 : NON - ?</li>
<li>Debian v2.0 : NON - ?</li>
<li>Debian v2.1 : OUI - 2.2.1 based</li>
<li>Debian v2.2 : OUI - 2.2.15 based</li>
<li>DLX Linux v? : ? - ?</li>
<li>DOS Linux v? : ? - ?</li>
<li>FloppyFW v1.0.2 : ? - ?</li>
<li>Hal91 Linux v? : ? - ?</li>
<li>Linux Mandrake v5.3 : OUI - ?</li>
<li>Linux Mandrake v6.0 : OUI - 2.2.5 based</li>
<li>Linux PPC vR4 : NON - ?</li>
<li>Linux Pro v? : ? - ?</li>
<li>LinuxWare v? : ? - ?</li>
<li>Mandrake v6.0 : OUI - ?</li>
<li>Mandrake v6.1 : OUI - ?</li>
<li>Mandrake v7.0 : OUI - 2.2.14</li>
<li>Mandrake v7.1 : OUI - 2.2.15</li>
<li>Mandrake v7.2 : OUI - 2.2.17</li>
<li>MkLinux v? : ? - ?</li>
<li>MuLinux v3rl : OUI - ?</li>
<li>Redhat < v4.x : NON - ?</li>
<li>Redhat v5.0 : OUI - ?</li>
<li>Redhat v5.1 : OUI - 2.0.34 based</li>
<li>Redhat v5.2 : OUI - 2.0.36 based</li>
<li>Redhat v6.0 : OUI - 2.2.5 based</li>
<li>Redhat v6.1 : OUI - 2.2.12 based</li>
<li>Redhat v6.2 : OUI - 2.2.14 based</li>
<li>Redhat v7.0 : OUI - 2.2.16 based</li>
<li>Slackware v3.0 : ? - ?</li>
<li>Slackware v3.1 : ? - ?</li>
<li>Slackware v3.2 : ? - ?</li>
<li>Slackware v3.3 : ? - 2.0.34 based</li>
<li>Slackware v3.4 : ? - ?</li>
<li>Slackware v3.5 : ? - ?</li>
<li>Slackware v3.6 : ? - ?</li>
<li>Slackware v3.9 : ? - 2.0.37pre10 based</li>
<li>Slackware v4.0 : ? - ?</li>
<li>Slackware v7.0 : OUI - 2.2.13 based</li>
<li>Slackware v7.1 : OUI - 2.2.16 based</li>
<li>Stampede Linux v? : ? - ?</li>
<li>SuSE v5.2 : OUI - 2.0.32 base</li>
<li>SuSE v5.3 : OUI - ?</li>
<li>SuSE v6.0 : OUI - 2.0.36 based</li>
<li>SuSE v6.1 : OUI - 2.2.5 based</li>
<li>SuSE v6.3 : OUI - 2.2.13 based</li>
<li>Tomsrbt Linux v? : ? - ?</li>
<li>TurboLinux Lite v4.0 : OUI - ?</li>
<li>TurboLinux v6.0 : OUI - 2.2.12 based</li>
<li>TriLinux v? : ? - ?</li>
<li>Yggdrasil Linux v? : ? - ?</li>
</ul>
<p><a name="FAQ-Hardware"></a></p>
<h2><a name="ss7.2">7.2 Quelles sont la configuration
matérielle minimale requise et les limitations d'IP
Masquerade? Les performances sont-elles bonnes ?</a></h2>
<p>Un 486/66 avec 16MO de RAM été bien plus que
suffisant pour remplir les 1.54Mb/s d'une connexion T1 à
100% ! MASQ a aussi déjà bien tourné sur des
386SX-16 avec 8MO de RAM. Vous devez cependant noter que Linux IP
Masquerade commence à faire des dechets avec plus de 500
entrées MASQ.</p>
<p>La seule application que je connaisse qui puisse temporairement
casser Linux IP Masquerade est GameSpy. Pourquoi ? Quand il
actualise ses listes, il crée des dizaines de milliers de
connexions rapides pendant une TRES courte période. Jusqu'au
timeout de ces sessions, les tables de MASQ sont pleines ("FULL").
Reportez vous à la section <a href=
"#No-Free-Ports">No-Free-Ports</a> pour de plus amples
détails.</p>
<p>Pendant qu'on y est :</p>
<p>Il y a une limite the 4096 connexions concurrentes chacune pour
TCP & UDP. Cette limite peut être changée en
bidouillant les valeurs de
<em>/usr/src/linux/net/ipv4/ip_masq.h</em>, une limite
supérieure de 32 000 devrait être OK. Si vous voulez
changer cette limite, vous devez changer les valeurs de
PORT_MASQ_BEGIN & PORT_MASQ_END pour avoir une taille
correctemment dimensionnée au dessus de 32K et en dessous de
64K.</p>
<h2><a name="ss7.3">7.3 Quand je lance la commande rc.firewall, je
reçois des erreurs "command not found". Pourquoi ?</a></h2>
<p>Comment avez vous mis le fichier rc.firewall sur votre machine ?
L'avez vous copié-collé dans une fenêtre de
TELNET, ou envoyé par FTP à partir d'une machine
Windows/DOS etc. ? Essayez ça ... logguez vous sur la
machine Linux et lancer "vim -b /etc/rc.d/rc.firewall" et regarder
si vos lignes finissent pas ^M. Si oui, effacer les ^M et essayer
de nouveau.</p>
<h2><a name="ss7.4">7.4 J'ai vérifié toutes mes
configurations, et j'arrive toujours pas à faire fonctionner
IP Masquerade. Que dois-je faire ?</a></h2>
<ul>
<li>Restez calme. Prenez une tasse de thé, de café,
de boisson etc. et reposez vous. Une fois que votre esprit est
reposé, essayez les suggestions ci-dessous. Mettre en place
Linux IP Masquerading n'est PAS difficile mais il a plusieurs
concepts que vous devez comprendre.</li>
<li>Encore une fois, suivez les étapes de la section
<a href="#Testing">Testing</a> . 99% des utilisateurs qui utilisent
Masquerade pour la première fois ne sont même pas
allé regarder là-bas.</li>
<li>Verifier les <a href="http://www.indyramp.com/lists/masq/">IP
Masquerade Mailing List Archives</a>, sans doute que votre
problème est courant et que vous pourrez trouver une
solution avec une simple recherche dans l'archive.</li>
<li>Vérifiez aussi le document <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS</a>. Il couvre l'IP Masquerading pour les noyaux 2.0.x et
2.2.x et beaucoup d'autres sujets dont PPPd, DialD, DHCP, DNS,
Sendmail, etc.</li>
<li>Vérifiez bien que vous n'êtes pas ROUTED ou GATES.
Pour ce faire, lancez "ps aux | grep -e routed -e gated".</li>
<li>Envoyez votre question sur l'IP Masquerade Mailing List
(regardez la suite de la section FAQ pour les détails).
Utilisez cette solution seulement si vous ne pouvez pas trouver de
solution dans l'IP Masquerading Archive. Vérifiez bien que
vous envoyez toutes les informations demandées dans la
section <a href="#Testing">Testing</a> dans votre email!!</li>
<li>Postez votre question dans un newsgroup NNTP Linux
correspondant.</li>
<li>Envoyez un email à <a href=
"mailto:ambrose@writeme.com">ambrose@writeme.com</a> et <a href=
"mailto:dranch@trinnet.net">dranch@trinnet.net</a>. Vous avez plus
de chance de recevoir une réponse de la mailing list IP
Masquerading que de l'un d'entre nous.</li>
<li>Verifiez vos configurations de nouveau :-)</li>
</ul>
<p><a name="Masq-List"></a></p>
<h2><a name="ss7.5">7.5 Comment puis-je m'inscrire ou consulter les
mailing lists d'IP Masquerade et/ou IP Masqurade Developers et les
archives ?</a></h2>
<p>Il y a deux manières de s'inscrire aux deux mailing lists
de Linux IP Masquerading. La première façon est
d'envoyer un email à <a href=
"mailto:masq-request@indyramp.com">masq-request@indyramp.com</a>.
Pour s'inscrire à la mailing list de Linux IP Masquerading
Developers, envoyez un email à <a href=
"mailto:masq-dev-request@indyramp.com">masq-dev-request@indyramp.com</a>.
Reportez vous SVP à la boulette si dessous pour plus de
détails.</p>
<ul>
<li>S'abonner par email: Mettez "subscribe" soit dans le champs
'subject' soit dans le corps du message de l'email. Si vous voulez
vous abonner à la version Digest (tous les emails de la
liste donnée vous sont envoyés dans un seul gros
email), de l'une des mailing list (la principale MASQ ou la liste
MASQ-DEV), mettez les mots "subscribe digest" à la place,
soit dans le champs 'subject' soit dans le corps de l'email.
<p>Une fois que le serveur reçoit votre requête, il va
vous abonner à la liste que vous avez demandé et vous
fournir un MOT DE PASSE. Sauvegardez ce mot de passe parce que vous
en aurez besoin plus tard, pour terminer votre abonnement ou
changer vos options</p>
</li>
</ul>
<p>La seconde méthode et d'utiliser un browser WWW et de
vous inscrire via le formulaire qui se trouve à l'URL
<a href=
"http://www.indyramp.com/masq-list/">http://www.indyramp.com/masq-list/</a>
pour la liste principale MASQ ou <a href=
"http://www.indyramp.com/masq-dev-list/">http://www.indyramp.com/masq-dev-list/</a>
pour la liste MASQ-DEV.</p>
<p>Une fois abonné, vous recevrez des emails de la liste
à laquelle vous vous êtes abonné. Notez aussi
que les utilisateurs abonnés et NON-abonnés peuvent
acceder aux archives des deux listes. Pour ce faire, veuillez SVP
vous reporter aux URLs WWW si dessus pour plus de
détails.</p>
<p>Enfin, veuillez noter que vous pouvez envoyer des emails
à la liste MASQ uniquement à partir de votre
compte/adresse avec lesquels vous vous êtes
abonné.</p>
<p>Si vous avez des problèmes avec les mailing lists, ou
l'archive de la mailing liste, veuillez contacter SVP <a href=
"mailto:masq-owner@indyramp.com">Robert Novak</a>. <a name=
"what-is-masq"></a></p>
<h2><a name="ss7.6">7.6 En quoi IP Masquerade est différent
des Proxy ou des services NAT ?</a></h2>
<pre>
Proxy: les serveurs Proxy sont disponibles pour : Win95, NT, Linux, Solaris, etc.
Avantages: + (1) seule adresse IP; pas cher
+ Peu optionnellement utiliser une cache pour de meilleurs
performances (WWW, etc.)
Inconvénients: - Toutes les applications derrière un serveur
proxy doivent être COMPATIBLES avec les
services proxy (SOCKS) et être CONFIGURES
pour utiliser le serveur Proxy
- Fout en l'air les compteurs WWW et les stastiques WWW
Un serveur proxy utilise seulement (1) une adresse IP publique, comme IP MASQ, et se
comporte comme un traducteur vers les clients du LAN prive (browser WWW, etc.)
Ce serveur proxy recoit les requetes tels que TELNET, FTP, WWW, etc. du reseau prive
sur une interface. Il va ensuite initialiser ces requetes comme si c'etait quelqu'un sur
la machine elle-meme qui les faisait. Une fois que le serveur distant sur Internet renvoie
les informations demandées, il va retraduire les adresses TCP/IP vers les machines
internes et envoyer le traffic vers la machine interne qui avait fait la demande. C'est
la raison pour laquelle il est appelé serveur PROXY.
NB : TOUTE application que vous pourriez vouloir utiliser sur les
machines internes *DOIT* avoir la compatibilité avec les serveurs
proxy, comme Netscape et quelques applications parmi les meilleurs
clients TELNET et FTP. Tout client qui n'est pas compatible avec
les serveurs proxy ne fonctionnera pas.
Une autre chose bien a propos des serveurs proxy est que quelques uns d'entre eux
peuvent aussi servir à faire du cache (antememoire) (Squid pour WWW). Imaginez alors
vous avez 50 machines 'proxies' qui vont charger Nestcape en meme temps. S'ils sont
que installés avec la page de garde par defaut, vous allez avoir 50 copies de la
Netscape qui vont arriver a travers le WAN pour chaque ordinateur. Avec un proxy a
meme page Web antememoire, seule une copie serait telechargee par le serveur proxy et ensuites
les machines proxies recevraient la page à partir de l'antememoire. Cela va non
seulement economiser de la bande passante sur la connexion Internet, mais en plus ca va etre
BEAUCOUP BEAUCOUP plus rapide pour les machines internes proxies.
MASQ: IP Masq est disponible sur Linux et quelques routeurs ISDN tels que
ou le Zytel Prestige128, Cisco 770, les routeurs ISDN NetGear, etc.
1:Many
NAT
Avantages: + (1) seule adresse IP; pas cher
+ N'a pas besoin de compatibilite speciale des applications
+ Utilise un firewall logiciel donc votre reseau peu devenir
plus sur
Inconvénients: - Requiert une machine Linux ou un routeur ISDN special
(meme si d'autres produits pourraient l'avoir...)
- Le traffic entrant ne peut acceder au LAN interne sans que
le LAN interne soit initiateur du traffic ou qu'il y ait un
logiciel specifique pour le port forwarding d'installe.
Beaucoup de serveurs NAT NE PEUVENT PAS fournir cette
fonctionnalité
- Des protocoles speciaux doivent etre traites de maniere speciale
par les redirecteurs de firewall, etc. Linux est completement
compatible avec ceux-ci (FTP, IRC, etc.) mais beaucoup de routeurs
NE le SONT PAS (NetGear DOES).
Masq ou 1:Many NAT est similaire a un serveur proxy parce que le serveur va faire une
translation d'adresse IP et faire croire au serveur distant (par exemple le serveur WWW)
que c'est le serveur MASQ qui a fait la requete et non la machine interne.
Une difference majeure entre un serveur MASQ et un serveur PROXY est que les serveurs
MASQ n'ont pas du tout besoin de changement de configuration des machines clientes.
Il suffit de les configurer pour qu'elles utilisent la machine linux en tant que leur
passerelle par defaut et tout fonctionne correctement. Vous AUREZ besoin d'installer
des modules linux speciaux pour faire fonctionner des trucs genre RealAudio, FTP, etc. !
De plus, de nombreuses personnes utilisent IP MASQ pour le TELNET? FTP, etc. *ET*
mettent en place un serveur proxy avec cache sur la meme machine Linux pour le traffic
WWW afin d'obtenir de meilleurs performances.
NAT: des serveurs NAT sont disponibles sur Windows 95/NT, Linux, Solaris, et quelques
un des meilleurs routeurs ISDN (pas chez Ascend)
Avantages: + Tres configurables
+ Pas de logiciel special requis
Inconvénients: - Necessite un sous-reseau de votre FAI (cher)
Translation d'Adresse Reseau est le nom d'une boite qui aurait un groupe d'adresses
IP valides qu'il peut utiliser sur l'interface Internet. Quand sur le reseau interne,
une machine veut acceder a Internet, il associe une des adresses IP VALIDES disponibles
de son interface Internet a l'adresse IP PRIVEE qui a fait la demande. Ensuite, tout
le traffic est retranscrit de l'adresse IP public du NAT vers son adresse IP privee.
Lorsque l'adresse NAT PUBLIQUE devient inactif pour une certaine periode predeterminee,
l'adresse IP PUBLIQUE est rangee de nouveau dans le groupe d'adresses NAT publiques
Le principal probleme de NAT est que, une fois que toutes les adresses IP publiques
disponibles sont utilisees, tout utilisateur prive qui demande un service Internet doit
attendre qu'une adresse publique NAT se libere.
</pre>
Pour une description très bien faite et très
complète des différentes formes de NAT, veuillez SVP
vous reporter à :
<ul>
<li><a href=
"http://www.suse.de/~mha/linux-ip-nat/diplom/nat.html">http://www.suse.de/~mha/linux-ip-nat/diplom/nat.html</a></li>
</ul>
<p>Voici un autre bon site pour apprendre des choses sur NAT, bien
que beaucoup d'URLs sont anciennes, elles sont toujours valables
:</p>
<ul>
<li><a href=
"http://www.linas.org/linux/load.html">http://www.linas.org/linux/load.html</a></li>
</ul>
<p>Voici un très bon URL pour apprendre des choses sur les
autres solutions NAT pour Linux mais aussi pour les autres
plateformes :</p>
<ul>
<li><a href=
"http://www.uq.net.au/~zzdmacka/the-nat-page/">http://www.uq.net.au/~zzdmacka/the-nat-page/</a></li>
</ul>
<h2><a name="ss7.7">7.7 Existe-t-il des outils de
création/gestion de firewall avec interface graphique
?</a></h2>
<p>Oui ! Ils ont différentes interfaces, complexités,
etc. mais ils sont très bien bienque la plupart soit
exclusivement pour l'outil IPFWADM. Voici une courte liste des
outils disponibles, dans l'ordre alphabétique. Si vous en
connaissez d'autres ou vous savez lesquels sont
bien/mauvais/immondes, envoyez SVP un email à David</p>
<ul>
<li>Le <a href=
"http://www.wolfenet.com/~jhardin/ipfwadm.html">IPFWADM Dot file
generator</a> de John Hardin - Une version IPCHAINS est en cours de
developpement.</li>
<li><a href="http://www.innertek.com">fBuilder</a> de Sonny Parlin
: De l'auteur de FWCONFIG, cette nouvelle solution est
entièrement basée sur le WWW et offre des options de
redondance, etc. pour IPCHAINS et NetFilter.</li>
<li><a href="http://www.pobox.com/~wstearns/mason/">Mason</a> de
William Stearns - Un système pour créer des jeux de
règles à la volée</li>
</ul>
<h2><a name="ss7.8">7.8 IP Masquerade fonctionne-t-il avec des
adresses IP alouées dynamiquement ?</a></h2>
<p><b>Oui</b>, ça fonctionne, avec les IP dynamique,
assignée par votre FAI via un serveur PPP ou DHCP/BOOTp.
Bien sur les IP statiques fonctionnent aussi. Toutefois, si vous
voulez implémenter un jeu de règle IPFWADM/IPCHAINS
'strong' ou utiliser un port forwarder, votre jeu de règles
devra être réexecuté à chaque fois que
votre IP change. Reportez vous SVP au debut de la section <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 10</a> pour plus d'aide sur les jeux de
règles 'strong' du firewall et les adressses IP
dynamiques.</p>
<h2><a name="ss7.9">7.9 Puis-je utiliser un modem par cable (soit
bidirectionnel, soit avec un modem pour le retour), une connexion
DSL, un lien satellite, etc. pour me connecter à internet et
utiliser IP Masquerade ?</a></h2>
<p><b>OUI</b>, tant que Linux est compatible avec l'interface
réseau, ça devrait fonctionner. Si vous recevez une
adresse IP dynamique, reportez vous SVP à l'URL de la partie
"IP Masquerade fonctionne-t-il avec des adresses IP alouées
dynamiquement" dans l'article de la FAQ si dessus.</p>
<h2><a name="ss7.10">7.10 Puis-je utiliser Diald ou la fonction
Dial-on-Demand de PPPd avec IP MASQ?</a></h2>
<p>Bien sûr ! IP Masquerading est totalement transparent pour
Diald ou PPP. La seule chose qui pourrait poser problème est
l'utilisation d'un jeu de règle 'strong' avec un adresse IP
dynamique. Reportez vous à l'article de la FAQ " IP
Masquerade fonctionne-t-il avec des adresses IP alouées
dynamiquement" ci-dessus pour de plus amples détails.</p>
<h2><a name="ss7.11">7.11 Quels applications sont compatibles avec
IP Masquerade?</a></h2>
<p>C'est difficile de garder une liste de toutes les "applications
qui fonctionnent". Cependant, la plupart des applications Internet
classiques sont compatibles (les browser WWW (Netscape, MSIE, etc.
FTP (tels que WS_FTP), TELNET, SSH, RealAudio, POP3 (email entrant
- Pine, Eudora, Outlook), SMTP (email sortant), etc.) Une liste
assez complète de clients compatibles MASQ peut être
trouvé à la section <a href="#Clients">Clients</a> de
ce HOWTO.</p>
<p>Les applications impliquant des protocoles plus
compliqués ou des méthodes de connexion
spéciales telles que la video conferencing ont besoin
d'outils d'aide spéciaux.</p>
<p>Pour de plus amples détails, veuillez vous reporter SVP
à la page <a href="http://www.tsmservices.com/masq">Linux IP
masquerading Applications</a></p>
<h2><a name="ss7.12">7.12 Comment puis-je faire fonctionner IP
Masquerade sur Redhat, Debian, Slackware, etc.?</a></h2>
<p>Peu importe quelle distribution Linux vous utilisez, les
procédures pour configurer IP Masquerade mentionnées
dans ce HOWTO devraient fonctionner. Quelques distributions peuvent
avoir une interface graphique ou des fichiers de configurations
speciaux qui peuvent rendre la configuration plus simple. Nous
faisons le mieux que nous pouvons pour écrire ce HOWTO dans
le cas le plus général possible.</p>
<h2><a name="ss7.13">7.13 Les connexions TELNET semblent
s'interrompre si je ne les utilise pas souvent. Pourquoi ça
?</a></h2>
<p>Par défaut, IP Masq, règles ses timers pour les
sessions TCP, TCP FIN, et les traffics UDP à 15 minutes. Il
est recommandé d'utiliser les réglages suivant (comme
indiqué précédemment dans ce HOWTO au niveau
du jeu de règles /etc/rc.d/rc.firewall ) pour la plupart des
utilisateurs :</p>
<p>Linux 2.0.x avec IPFWADM:</p>
<pre>
#timeouts de MASQ
#
# timeout de 2heures pour les sessions TCP
# timeout de 10secondes pour le traffic avoir reçu le paquet TCP/IP "FIN"
# timeout de 60secondes pour le traffic UDP (les utilisateurs d'ICQ MASQ'ués
# doivent activé un timeout firewall de 30 secondes dans ICQ lui-même)
#
/sbin/ipfwadm -M -s 7200 10 60
</pre>
<p>Linux 2.2.x avec IPCHAINS:</p>
<pre>
#timeouts de MASQ
#
# timeout de 2heures pour les sessions TCP
# timeout de 10secondes pour le traffic avoir reçu le paquet TCP/IP "FIN"
# timeout de 60secondes pour le traffic UDP (les utilisateurs d'ICQ MASQ'ués
# doivent activé un timeout firewall de 30 secondes dans ICQ lui-même)
#
/ipchains -M -S 7200 10 60
</pre>
<h2><a name="ss7.14">7.14 Quand je me connecte une première
fois à Internet, rien de fonctionne. Si j'essaie de nouveau,
tout fonctionne correctement. Pourquoi ?</a></h2>
<p>La raison est que vous avez une IP dynamique et que quand vous
vous connectez à Internet, IP Masquerade ne connait pas
votre IP. Il y a une solution à ce problème. Dans
votre jeu de règles /etc/rc.d/rc.firewall, ajoutez ceci
:</p>
<pre>
# Utilisateur d'IP dynamique :
#
# Si vous recevez votre IP dynamiquement par SLIP, PPP ou DHCP, activez cette option
# Ceci permet le hacking des IP dynamiques dans IP MASQ, rendant la vie
# avec Diald et les programmes similaires plus simple.
#
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
</pre>
<p><a name="MTU-issues"></a></p>
<h2><a name="ss7.15">7.15 ( MTU ) - IP MASQ semble fonctionner
correctement mais certain sites ne fonctionnent pas. D'habitude,
ça arrive avec le FTP et le WWW.</a></h2>
<p>Il y a deux raisons possibles à ce problème. La
première est très COURANTE, et la seconde est
très RARE</p>
<ul>
<li>Il y a un BUG discutable dans le code de Masquerade des noyaux
2.0.38 2.2.9+.
<p>Quelques utilisateurs pointent du doigt le fait que IPMASQ
pourrait avoir des problèmes avec les paquets qui ont un le
bit DF ou "Don't Fragment" activé. En gros, quand une
machine Linux se connecte à Internet avec un MTU
inférieur à 1500, certains paquets vont avoir le flag
DF activé. Bienque changer le MTU 1500 sur le serveur linux
va sembler résoudre le problème, le bug probable va
toujours être là. On croit qu'il se passe la chose
suivante : le code MASQ ne réécrit pas correctement
les paquets de retour ICMP avec le code ICMP 3 Sub 4 à
l'ordinateur MASQué qui est à l'origine du flux. En
raison de cela, les paquets sont éliminés.</p>
<p>D'autres utilisateurs pointent du doigt les administrateurs des
sites distants qui posent problème (typiquement les sites
utilisant le SSL, etc.) et disent qu'en raison du filtrage de
TOUTES LES FORMES de messages ICMP (dont les Type4 - Fragmentation
Needed) en cause de la paranoia de la sécurité, ils
fracturent les aspects fondamentaux du protocole TCP/IP.</p>
<p>Les deux arguments ont des aspects valides et les partisans des
deux camps continuent à débattre sur ce sujet chaque
jour. Si vous êtes un programmeur réseau et que vous
pensez pouvoir soit résoudre ce problème soit deviner
son origine... ESSAYEZ SVP ! Pour de plus amples détails
reportez vous à la liste suivante <a href=
"http://www.tux.org/hypermail/linux-kernel/1999week10/0124.html">MTU
Thread from the Linux-Kernel</a>.</p>
<p>Pas d'inquiétudes toutefois. Une manière efficace
à 100% de résoudre le problème est de changer
le MTU de votre liaison Internet à 1500. Maintenant quelques
utilisateurs vont grogner contre ceci parce que ca peut nuire
à la latence de quelques programmes spécifiques tels
que TELNET ou les jeux mais son impact n'est que très
faible. D'un autre côté, la plupart des connexions
HTTP et FTP vont s'ACCELERER !</p>
<p>[ -- Si vous avez une connexion PPPoE pour votre DSL/Cablemodem
ou si vous décidez de ne pas changer votre MTU à
1500, regardez si dessous pour une autre solution. -- ]</p>
<p>Pour réparer ca, regardez d'abord le MTU de votre
connexion Internet. Pour ce faire, lancer /bin/ifconfig".
Maintenant regardez les lignes correspondants à votre
connexion Internet et chercher le MTU. Il FAUT le fixer à
1500. Généralement, les connexions Ethernet vont
l'avoir par défaut mais les lignes série PPP vont
avoir par défaut 576.</p>
</li>
</ul>
<h3>Changer le MTU d'une ligne PPP :</h3>
<ul>
<li>Pour régler le problème de MTU sur une ligne PPP,
modifiez votre fichier /etc/ppp/options, et vers le début,
ajoutez le texte suivant sur deux lignes séparées :
"mtu 1500" et "mru 1500". Sauvegardez les changements et redemarrez
PPP. Maintenant vérifiez comme indiqué
précédemment que le lien PPP a un MTU et un MRU
corrects.</li>
<li>Pour régler le problème de MTU sur une ligne
Ethernet vers votre connexion DSL ou CableModem relié par un
routeur ou un pont, vous devez modifier le bon script de
démarrage réseau pour votre distribution Linux.
Reportez vous SVP au document <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 16</a> pour l'optimisation du
réseau.</li>
</ul>
<h3>Anciennes interfaces series UNIX :</h3>
<ul>
<li>Enfin, bienque ceci n'est pas un problème courant,
quelques personnes ont trouvé la solution suivante. Les
utilisateurs de PPP, vérifiez sur quel port votre PPPd se
connecte. Est-ce un port /dev/cua* ou un port /dev/ttyS* ? Le type
cua est un ANCIEN et il perturbe certains trucs de manières
étranges.</li>
</ul>
<h3>Utilisateurs de PPPoE :</h3>
<p>Pour les utilisateurs de PPPoE (qui a un MTU maximal de 1490) ou
pour ceux qui décident de ne pas utiliser un MTU de 1500,
tout n'est pas perdu. Si vous reconfigurez TOUTES les machines
MASQuées de façon à ce qu'elles utilisent le
MEME MTU que celui de votre connexion externe à Internet,
tout devrait fonctionner correctement. A noter cependant que
certains FAI par PPPoE peuvent exiger un MTU de 1460 pour une
connectivité correcte.</p>
<p>Comment vous pouvez faire cela ? Suivez ces quelques
étapes pour votre système d'exploitation.</p>
<p>L'exemple suivant montre la configuration d'un MTU de 1490 pour
une connexion PPPoE utilisée par certains utilisateurs de
DSL ou de Cablemodems. Il est recommandé d'utiliser les
valeurs les PLUS HAUTES possibles pour toutes les connexions dont
le débit est supérieur ou égal à
128kb/s.</p>
<p>La seule raison d'utiliser un MTU plus petit est la latence au
depend du débit. Reportez vous SVP à :</p>
<p><a href=
"http://www.ecst.csuchico.edu/~dranch/PPP/ppp-performance.html#mtu">
http://www.ecst.csuchico.edu/~dranch/PPP/ppp-performance.html#mtu</a></p>
<p>pour de plus amples détails sur ce sujet.</p>
<p>*** Si vous avez REUSSI, ECHOUE, ou que vous avez la
procédure à suivre pour d'autres systèmes
d'exploitations, *** envoyer SVP une email à DAVID Ranch.
Merci !</p>
<h3>Linux:</h3>
<hr>
<pre>
1. Le réglage du MTU peut changer d'une distribution à l'autre.
Pour Redhat : Vous avez besoin de modifier les différentes déclarations "ifconfig'
dans /sbin/ifup script
Pour Slackware : Vous avez besoin de modifier les différentes déclarations "ifconfig'
dans /etc/rc.d/rc1.inet
2. Voici un bon exemple qui marche avec toutes les distributions, modifiez le fichier
/etc/rc.d/rc.local et mettez ceci à la FIN du fichier :
echo "Changement du MTU de l'interface ETH0"
/sbin/ifconfig eth0 mtu 1490
Remplacez "eth0" par le nom de l'interface de votre machine qui est connectée à Internet.
3. Pour les options avancées telles que "TCP Receive Windows", des exemples détaillés
sur la manière de modifier les scripts de réseau sur les différentes distributions
Linux, etc. reportez vous SVP au Chapitre 16 de
http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#trinityos
</pre>
<hr>
<h3>MS Windows 95:</h3>
<hr>
<pre>
1. TOUT changement dans la base de registre est risquée mais avec une copie de sauvegarde,
vous devriez être en sécurité. Continuez en CONNAISSANCE DE CAUSE.
2. Allez dans Start-->Run-->RegEdit
3. Vous devriez faire une copie de sauvegarde de votre Base De Registre avant de faire quoi
que ça soit.
Pour ce faire, copiez les fichiers "user.dat" et "system.dat" du répertoire \WINDOWS
et mettez les en lieu sûr. Notez aussi, que la méthode mentionnée
précédemment utilisant "Regedit: Registry-->Export Registry File-->Save a copy of
your registry" ne fait que de la FUSION de la Base de Registre et NON PAS son remplacement.
4. Cherchez dans chaque clé de la base de registre qui fini par "n" (c-à-d 0007)
qui à une entrée appelée "IPAddress" qui a votre adresse IP.
Sous cette clé, ajoutez le texte suivant :
Tiré de http://support.microsoft.com/support/kb/articles/q158/4/74.asp
[Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n]
type=DWORD
name="MaxMTU" (NE PAS inclure les guillements)
value=1490 (Decimal) (NE PAS inclure le texte "(Decimal)")
type=DWORD
name="MaxMSS" (NE PAS inclure les guillements)
value=1450 (Decimal) (NE PAS inclure le texte "(Decimal)")
5. Vous pouvez aussi changer le "TCP Receive Window" qui augmente parfois
les performances réseau CONSIDERABLEMENT. Si vous remarquez que votre débit
à DIMINUE, REMETTEZ les anciens réglages et redémarrez.
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP]
type=DWORD
name="DefaultRcvWindow" (NE PAS inclure les guillements)
value=32768 (Decimal) (NE PAS inclure le texte "(Decimal)")
type=DWORD
name="DefaultTTL" (NE PAS inclure les guillements)
value=128 (Decimal) (NE PAS inclure le texte "(Decimal)")
6. Rebootez pour que les changements soit pris en compte.
</pre>
<hr>
<h3>MS Windows 98:</h3>
<hr>
<pre>
1. TOUT changement dans la base de registre est risquée mais avec une copie de sauvegarde,
vous devriez être en sécurité. Continuez en CONNAISSANCE DE CAUSE.
2. Allez dans Start-->Run-->RegEdit
3. Vous devriez faire une copie de sauvegarde de votre Base De Registre avant de faire quoi que
ça soit. Pour ce faire, copiez les fichiers "user.dat" et "system.dat" du répertoire
\WINDOWS et mettez les en lieu sûr. Notez aussi, que la méthode mentionnée
précédemment utilisant "Regedit: Registry-->Export Registry File-->Save a copy of your
registry" ne fait que de la FUSION de la Base de Registre et NON PAS son remplacement.
4. Cherchez dans chaque clé de la base de registre qui fini par "n" (c-à-d 0007)
qui à une entrée appelée "IPAddress" qui a votre adresse IP. Sous cette clé,
ajoutez le texte suivant :
Tiré de http://support.microsoft.com/support/kb/articles/q158/4/74.asp
[Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n]
type=STRING
name="MaxMTU" (NE PAS inclure les guillements)
value=1490 (Decimal) (NE PAS inclure le texte "(Decimal)")
5. Vous pouvez aussi changer le "TCP Receive Window" qui augmente parfois
les performances réseau CONSIDERABLEMENT. Si vous remarquez que votre débit
à DIMINUE, REMETTEZ les anciens réglages et redémarrez.
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP]
type=DWORD
name="DefaultRcvWindow" (NE PAS inclure les guillements)
value=32768 (Decimal) (NE PAS inclure le texte "(Decimal)")
type=DWORD
name="DefaultTTL" (NE PAS inclure les guillements)
value=128 (Decimal) (NE PAS inclure le texte "(Decimal)")
6. Rebootez pour que les changements soit pris en compte.
</pre>
<hr>
<h3>MS Windows NT 4.x</h3>
<hr>
<pre>
1. TOUT changement dans la base de registre est risquée mais avec une copie de sauvegarde,
vous devriez être en sécurité. Continuez en CONNAISSANCE DE CAUSE.
2. Allez dans Start-->Run-->RegEdit
3. Registry-->Export Registry File-->Sauvegardez une copie de votre base de registre dans un
endroit sûr
4. Créer les clés suivantes dans les deux Bases de Registre possible.
Des entrées multiples correspondent à differentes connexions réseaux tels
que PPP, Ethernet NICs, VPNs PPTP, etc.
http://support.microsoft.com/support/kb/articles/Q102/9/73.asp?LN=EN-US&SD=gn&FR=0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Parameters\Tcpip]
and
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<Adapter-name>\Parameters\Tcpip]
Remplacez "<Adapter-Name>" par le nom du lien de l'interface de votre LAN connectée
à Internet
type=DWORD
name="MTU" (NE PAS inclure les guillements)
value=1490 (Decimal) (NE PAS inclure le texte "(Decimal)")
(NE PAS inclure les guillements)
*** Si vous savez aussi comment changer MSS, la taille de la fenêtre TCP, et les
*** parametres TTL dans NT 4.x, envoyez SVP un email à dranch@trinnet.net parce que
*** j'adorerais les ajouter à ce HOWTO.
5. Rebootez pour que les changements soit pris en compte.
</pre>
<hr>
<h3>MS Windows 2000</h3>
<hr>
<pre>
1. TOUT changement dans la base de registre est risquée mais avec une copie de sauvegarde,
vous devriez être en sécurité. Continuez en CONNAISSANCE DE CAUSE.
2. Allez dans Start-->Run-->RegEdit
3. Registry-->Export Registry File-->Sauvegardez une copie de votre base de registre
dans un endroit sûr
4. Naviguez jusqu'à la clé :
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\<ID for Adapter>
Chaque ID Adapter à une clé par default pour le DNS, l'adresse TCP/IP, la passerelle
par defaut, le masque de sous réseau, etc. Trouvez la clé qui correspond à
votre carte réseau.
5. Créez l'entrée suivante :
type=DWORD
name="MTU" (NE PAS inclure les guillements)
value=1490 (Decimal) (NE PAS inclure le texte "(Decimal)")
http://support.microsoft.com/support/kb/articles/Q120/6/42.asp?LN=EN-US&SD=gn&FR=0
*** Si vous savez aussi comment changer MSS, la taille de la fenêtre TCP, et les
*** parametres TTL dans NT 4.x, envoyez SVP un email à dranch@trinnet.net parce que
*** j'adorerais les ajouter à ce HOWTO.
5. Rebootez pour que les changements soit pris en compte.
</pre>
<hr>
<p>Comme déclaré si dessus, si vous savez comment
effectuer ces changement pour d'autres OS tels que OS/2, MacOS,
etc. envoyez SVP un email <a href="mailto:dranch@trinnet.net">David
Ranch</a> pour qu'ils puissent être inclus dans ce HOWTO.</p>
<h2><a name="ss7.16">7.16 les clients FTP MASQués ne
fonctionnent pas.</a></h2>
<p>Vérifiez si le module "ip_masq_ftp" est chargé.
Pour ce faire, logguez vous sur le serveur MASQ et tapez la
commande "/sbin/lsmod". Si vous ne voyez pas "ip_masq_ftp"
chargé, verifiez que vous avez bien suivi les
recommandations du /etc/rc.d/rc.firewall BASIQUE que vous trouverez
à la section <a href=
"#firewall-examples">firewall-examples</a> . Si vous
implémentez votre propre jeu de règles, faites en
sorte d'inclure la plupart des exemples de ce HOWTO ou vous aurez
encore de nombreux problèmes.</p>
<h2><a name="ss7.17">7.17 l'IP Masquerading semble lent</a></h2>
<p>Il peut y avoir deux raisons à cela :</p>
<ul>
<li>Peut être attendez vous plus de votre ligne modem que ce
qui est possible. Faisons le calcul pour une connexion par modem
56k typique :
<ol>
<li>modem 56k = 56,000 bits par seconde.</li>
<li>Vous n'avez PAS vraiment un modem 56k mais un modem 52k
à cause des limitations US FCC (NDT : cette restriction est
valable uniquement aux Etats-Unis, bien sûr. Mais la suite
fourni une méthode de calcul transposable à une
veritable ligne 56k).</li>
<li>Vous n'aurez JAMAIS 52k, la meilleure connexion que j'ai
réussi à avoir était 48k</li>
<li>48,000 bits par seconde vaut 4,800 OCTETS par seconde (8 bits
pour un octet +2 bits pour les bits START et STOP RS-232 de la
laison série)</li>
<li>Avec un MTU de 1500, vous aurez (3.2) paquets en une seconde.
Puisque ceci implique la fragmentation, vous aurez besoin de
l'arrondir à l'entier INFERIEUR (3) paquets par
seconde.</li>
<li>De même, avec un MTU de 1500, il y a 3.2 x 40 octets
d'entête TCP/IP (8%)</li>
<li>Donc, le MEILLEUR débit que vous pourrez espérer
avoir est de 4.68ko/s sans compression. Avec compression, soit-elle
une compression matérielle v.42bis, MNP5, ou MS/Stac, on
peut atteindre des nombres impressionnants avec des
matériaux hautement compressibles tels que les fichiers TEXT
mais en fait elle peut aussi ralentir les choses si on transfets
des fichiers pre-compressés tels que des ZIPs, MP3s,
etc.</li>
</ol>
</li>
<li>Connexions reliées par Ethernet (DSL, Cablemodem, LANs,
etc.)
<ul>
<li>Verifiez que vous n'avez pas un réseau INTERNE et un
réseau EXTERNE tournant sur la même carte
réseau avec la fonction "IP Alias". Si c'est ce que vous
<em>FAITES</em>, ca peut fonctionner mais ca peut être
excessivement lent à cause du grand nombres de collisions,
de l'utilisation d'IRQ, etc. Il est VIVEMENT RECOMMANDE d'avoir une
autre carte réseau pour que les réseaux interne et
externe aient leur propre interface.
<p>Vérifiez que vous avez les bons réglages Ethernet
pour la VITESSE et le DUPLEX.</p>
<ul>
<li>Quelques cartes Ethernet 10Mb/s et la plupart des cartes
100Mb/s sont compatibles avec les connexions FULL Duplex. Les
connexions directes de la carte Ethernet vers, disons, un modem DSL
(sans hubs entre) *PEU* être réglé sur FULL
DUPLEX mais seulement si le modem DSL le permet. Vous devriez aussi
vérifier que vos cables Ethernet avec les 8 fils, sont de
bonne qualité.</li>
<li>Les réseaux internes qui utilisent des HUBs -ne peuvent
pas- utiliser le Full Duplex. Vous avez besoin soit d'un
<em>SWITCH</em> Ethernet 10Mb/s ou 100Mb/s pour pouvoir le
faire.</li>
<li>Les négociation automatiques sur la vitesse 10/100Mb/s
et sur le DUPLEX Full/Half sur les cartes Ethernet peuvent faire
des ravages sur un réseau. Je recommande de coder en dur la
vitesse et le duplex dans vos cartes réseaux si possible.
Vous pouvez le faire directement via les modules Linux NIC mais ce
n'est pas possible directement sur les noyaux monolithiques. Vous
aurez soit besoin d'utiliser les utilitaires MII de <a href=
"#Donald%20Becker's%20NIC%20drivers%20and%20utils%20FAQ-Hardware">Donald
Becker's NIC drivers and utils FAQ-Hardware</a> ou bien de coder en
dur dans le source du noyau.</li>
</ul>
</li>
</ul>
</li>
<li>Optimisez votre MTU et réglez la fenêtre glissante
de TCP à 8192 au moins
<ul>
<li>Bienque ceci soit COMPLETEMENT en dehors du cadre de ce
document, ca aide UN PEU sur TOUTE liaison réseau que vous
avez, que ça soit interne ou externe par liaison PPP,
Ethernet, TokenRing etc. Pour de plus amples détails, ce
sujet est brièvement abordé dans la section <a href=
"#MTU-issues">MTU-issues</a> si dessus. Pour avoir encore plus de
détails, vous pouvez vous reporter à la section
Network Optimization de <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 16</a>.</li>
</ul>
</li>
<li>Utilisation de modems séries avec PPP
<ul>
<li>Si vous avez un modem externe, verifiez que vous avez un bon
cable serie. De plus, beaucoup de PC on des cables foireux reliant
le port série de la carte mère ou la carte d'E/S vers
la connexion port série. Si vous êtes dans l'une de
ces situations, faites en sorte d'avoir de bonnes conditions.
Personnellement, je mets des enrobages de ferrite (ces anneaux de
metal gris-noir) autour de TOUTES mes nappes.</li>
<li>Vérifiez que votre MTU est réglé à
1500 comme décrit précédemment dans la section
de la FAQ de ce HOWTO.</li>
<li>Vérifiez que l'UART de votre port série est au
moins à 16550A. Lancez "dmesg | more" pour ce faire.</li>
<li>Régler l'IRQ-Tune de vos ports séries.
<ul>
<li>Sur la majorité du matériel PC, l'utilisation de
l'outil de Craig Estey <a href=
"http://www.best.com/~cae/irqtune/">IRQTUNE</a> augmente de
manière significative les performances des ports
séries, donc les connexions SLIP and PPP connexions.</li>
</ul>
</li>
<li>Vérifiez que le port série de votre connexion PPP
est au moins à 115200 bauds (ou plus si et votre modem et
votre port série peuvent le supporter... aussi connu sous le
nom d'adaptateur terminal ISDN)
<ul>
<li>noyaux 2.0.x : les noyaux 2.0.x sont plutôt bizarres
parce que vous ne pouvez pas directement leur dire de régler
les ports série à 115200. Donc, dans l'un de vos
scripts de démarrage, comme les fichiers /etc/rc.d/rc.local
ou /etc/rc.d/rc.serial, executez le commande suivante pour un modem
sur le port COM2 :
<ul>
<li>setserial /dev/ttyS1 spd_vhi</li>
<li>dans votre script PPPd, modifiez la ligne d'execution de pppd
de manière à y inclure la vitesse "38400" à
l'aide du manuel de pppd.</li>
</ul>
</li>
<li>noyaux 2.2.x : contrairement aux noyaux 2.0.x, les noyaux 2.1.x
et 2.2.x n'ont pas ce problème de "spd_vhi".
<ul>
<li>Donc, dans le script de PPPd, modifiez la ligne d'execution de
pppd de manière à y inclure la vitesse "115200"
à l'aide du manuel de pppd.</li>
</ul>
</li>
</ul>
</li>
</ul>
</li>
<li>Tous types d'interface :</li>
</ul>
<h2><a name="ss7.18">7.18 IP Masquerading avec PORTFWing semble
s'arrêter quand ma ligne est inactive pendant de longs
périodes</a></h2>
<p>Si vous avez une ligne DSL ou par Cablemodem, ce comportement
est malheureusement très commun. Ce qui se passe c'est que
votre FAI met votre connexion dans une file de priorité
très faible pour mieux servir les connexions qui ne sont pas
inactives. Le problème est que la connexion de quelques
utilisateurs finaux va effectivement être COUPEE
jusqu'à ce que le traffic de la connexion de l'utilisateur
reveille le matériel du FAI.</p>
<ul>
<li>Certaines installations DSL peuvent DECONNECTER une connexion
inactive et vérifier l'activité seulement une fois
toutes les 30 secondes environ.</li>
<li>Certains réglages de Cablemodem peuvent mettre une
connexion inactive dans une file d'attente de priorité
faible et vérifier l'activité seulement une fois
toutes les quelques minutes.</li>
</ul>
<p>Qu'est-ce que je recommande de faire ? Faites un ping vers votre
passerelle par défaut toutes les 30 secondes. Pour se faire,
modifiez le fichier /etc/rc.d/rc.local et ajoutez la ligne suivante
à la fin du fichier :</p>
<hr>
<pre>
ping -i 30 100.200.212.121 > /dev/null &
</pre>
<hr>
<p>Remplacez 100.200.212.121 par votre routeur par défaut
(routeur en amont).</p>
<h2><a name="ss7.19">7.19 Maintenant que j'ai l'IP Masquerading qui
fonctionne, j'ai plein de sortes de messages d'erreurs et
d'avertissements bizarres dans les fichiers log SYSLOG. Comment
faut-il lire les erreurs du firewall IPFWADM/IPCHAINS ?</a></h2>
<p>Il y a sans doute deux choses que vous allez couramment voir
:</p>
<ul>
<li><b>MASQ: Failed TCP Checksum error:</b> Vous verrez cette
erreur quand un paquet arrivant d'Internet est corrompu dans la
partie donnée mais que le reste "semble" bon. Quand la
machine Linux reçcoit le paquet, il va calculer le CRC du
paquet et determiner s'il est corrompu ou pas. Sur la plupart des
machines tournant sur des OS tels que Microsoft Windows, il vont
simplement ignorer le paquet mais Linux IP MASQ le met dans son
compte-rendu. Si vous en recevez beaucoup sur une ligne PPP,
regardez d'abord l'entrée de la FAQ correspondant à
"MASQ est lent".</li>
<li>Si toutes ces astuces ne vous aident pas, essayer en ajoutant
la ligne "-vj" dans votre fichier /etc/ppp/options et relancer
PPPd.</li>
<li><b>Hits sur le firewall</b> : Quand vous êtes sur
Internet avec un firewall décent, vous êtes surpris du
nombre de personnes qui essayer d'entrer dans votre machine Linux !
Donc que signifient tous ces logs du firewall ?
<p>Tiré du document : <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 10</a> :</p>
<pre>
Dans le jeu de règles si dessous, chaque ligne avec soit un DENY soit un REJECT
contient aussi un "-o" pour LOGguer ces hits firewall dans le fichier de messages
SYSLOG qui se trouve dans :
Redhat: /var/log
Slackware: /var/adm
Si vous regardez l'un de ces logs de firewall, vous devriez voir quelquechose du type :
---------------------------------------------------------------------
IPFWADM:
Feb 23 07:37:01 Roadrunner kernel: IP fw-in rej eth0 TCP 12.75.147.174:1633 100.200.0.212:23
L=44 S=0x00 I=54054 F=0x0040 T=254
IPCHAINS:
Packet log: input DENY eth0 PROTO=17 12.75.147.174:1633 100.200.0.212:23 L=44 S=0x00
I=54054 F=0x0040 T=254
---------------------------------------------------------------------
Il y a BEAUCOUP d'informations dans une seule ligne. Regardons cet exemple,
reportez vous au hit sur le firewall en lisant ceci. Veuillez noter que cet
exemple est pour IPFWADM mais il est DIRECTEMENT lisible pour les utilisateurs
d'IPCHAINS.
--------------
- Ce "hit" firewall est arrivé a ce moment : "Feb 23 07:37:01"
- Ce hit etait sur l'ordinateur "RoadRunner".
- Ce hit etait sur le protocole "IP" ou TCP/IP
- Ce hit est entre dans le firewall ("fw-in")
* D'autres log peuvent dirent "fw-out" pour sortant or "fw-fwd" pour FORWARD
- Ce hit etait encore "rejETE".
* D'autres logs peuvent dire "deny" ou "accept"
- Ce his etait sur l'interface "eth0" (liaison Internet)
- Ce hit etait un paquet "TCP"
- Ce hit est venu de l'adresse IP "12.75.147.174" et du port "1633".
- Ce hit etait a destination de "100.200.0.212" et de son port "23" ou TELNET.
* Si vous ne savez pas que le port 23 est pour TELNET, regardez votre fichier
/etc/services pour voir par quoi les autres ports sont utilises.
- Ce paquet avait une longueur de "44" octets
- Ce paquet n'avez PAS de "Type of Service" (TOS) fixé
--Ne vous inquietez pas si vous ne comprenez pas ca...pas besoin de le savoir
* utilisateurs d'ipchains, divisez le par 4 pour avoir le Type of Service
- Ce paquet avet le numero "IP ID" "18"
--Ne vous inquietez pas si vous ne comprenez pas ca... pas besoin de le savoir
- Ce paquet avait un fragment offset de 16bits dont tout flag de paquet TCP/IP
de "0x0000"
--Ne vous inquietez pas si vous ne comprenez pas ca... pas besoin de le savoir
* une valeur qui commence par "0x2..." ou "0x3..." signifie que le bit
"More Frangments" etait activé donc de nouveaux paquets fragmentes
vont arriver pour completer ce GROS paquet.
* une valeur qui commence par "0x4..." ou "0x5..." signifie que le bit
"Don't Fragment" est active.
* Toute autre valeur est l'offset du Fragment (divise par 8) qui doit etre
utilise plus tard pour reconstituer le GROS paquet original.
- Ce paquet a un TimeToLive (TTL) de 20.
* Chaque saut sur Internet soustrait (1) a ce nombre. Normalement,
les paquets sont emis avec un TTL de (255) et si ce nombre atteind (0),
ca signifie qu'il est realiste de considerer que ce paquet est perdu et il
va donc etre efface.
</pre></li>
</ul>
<h2><a name="ss7.20">7.20 Puis-je configurer IP MASQ de
façon à permettre aux Internautes de contacter
directement un server interne MASQué ?</a></h2>
<p>Oui ! Avec IPPORTFW, vous pouvez permettre TOUT ou seulement une
partie des Internautes de contacter TOUTE machine interne
MASQuée. <b>Ce sujet est entièrement traité
dans la section <a href="#Forwarders">Forwarders</a> de ce
HOWTO.</b></p>
<p><a name="No-Free-Ports"></a></p>
<h2><a name="ss7.21">7.21 Je reçois des "kernel:
ip_masq_new(proto=UDP): no free ports." dans mon fichier SYSLOG.
Que se passe-t-il ?</a></h2>
<p>Une des machines MASQuée interne crée un nombre
anormalement grand de paquets destinés à Internet.
Comme le serveur IP Masq construit une table MASQ et forward ces
paquets vers Internet, la table se remplit rapidement. Une fois que
la table est pleine, elle va générer des erreurs.</p>
<p>La seule application que je connaisse qui puisse temporairement
casser Linux IP Masquerade est GameSpy. Pourquoi ? Quand il
actualise ses listes, il crée des dizaines de milliers de
connexions rapides pendant une TRES courte période. Jusqu'au
timeout de ces sessions, les tables de MASQ sont pleines ("FULL").
Reportez vous à la section <a href=
"#No-Free-Ports">No-Free-Ports</a> pour de plus amples
détails.</p>
<p>Donc que pouvez-vous faire contre ça ? Pratiquement,
n'utilisez pas de programmes qui générent ce genre de
choses. Si vous recevez ce genre d'erreurs dans vos logs, trouvez
le et arrêtez de l'utiliser. Si vous aimez vraiment GameSpy,
ne faites pas beaucoup de reactualisation de serveurs. De toute
façon, une fois que vous arrêtez le programme
MASQué, cette erreur MASQ va disparaître puisque ces
connexions vont faire des 'timeouts' dans les tables de MASQ.</p>
<h2><a name="ss7.22">7.22 Je reçois "ipfwadm: setsockopt
failed: Protocol not available" quand j'essaie d'utiliser
IPPORTFW!</a></h2>
<p>Si vous recevez le message "ipfwadm: setsockopt failed: Protocol
not available", c'est que vous n'êtes pas sous le nouveau
noyau. Verifiez que vous l'avez bien installé, relancer
votre BootLoader (LILO), et redemarrez.</p>
<p>Reportez vous SVP à la fin de la section <a href=
"#Forwarders">Forwarders</a> pour de plus amples
détails.</p>
<a href=
"http://support.microsoft.com/support/kb/articles/q172/2/27.asp">this
Microsoft KnowledgeBase article</a>.
<p>Le premier moyen de contournement est de configurer IPPORTFW de
la section <a href="#Forwarders">Forwarders</a> et de portforwarder
les ports 137, 138 et 139 vers les IP de la machine interne
Windows. Bienque cette solution fonctionne, elle ne peut marcher
que pour UNE machine interne.</p>
<p>La seconde solution est d'installer et de configurer <a href=
"http://www.samba.org">Samba</a> sur le serveur Linux MASQ. Avec
Samba de lancé, vous pouvez mapper vos partages de Fichier
et d'Imprimantes Windows sur le serveur Samba. Vous pouvez ensuite
monter ces nouveaux partages SMB vers tout vos clients externes. La
configuration de Samba est entièrement traitée dans
un HOWTO que vous pourrez trouver sur le site du Linux
Documentation Project et dans le document TrinityOS.</p>
<p>La troisième solution est de configurer un VPN (virtual
private network ou réseau privé virtuel) entre les
deux machines Windows ou entre les deux réseaux. Ceci peut
être réalisé via PPTP ou via les solutions VPN
IPSEC. Il y a un patch <a href="#PPTP">PPTP</a> pour linux et aussi
un implémentation complète de IPSEC disponibles pour
les deux noyaux 2.0.x et 2.2.x. Cette solution est sans doute la
plus stable et la plus sécurisée des trois.</p>
<p>Toutes ces solutions de sont PAS traitées dans ce HOWTO.
Je vous recommande de regarder la documentation de TrinityOS pour
l'aide sur IPSEC et la page PPTP de John Hardin pour de plus amples
informations.</p>
<p><em>Veuillez aussi comprendre SVP que le protocole SMB de
Microsoft est TRES peu sûr. C'est pour cela que d'avoir des
traffics de partage de fichiers ou d'imprimante, et de domaine
windows de Microsoft sur Internet sans encryption est une TRES
MAUVAISE idée.</em></p>
<h2><a name="ss7.24">7.24 ( IDENT ) - IRC ne fonctionne pas
correctement pour les utilisateurs MASQués.
Pourquoi?</a></h2>
<p>La raison la plus courante est que les serveurs IDENT ou
"Identity" de la plupart des distributions Linux ne peuvent pas
travailler avec des liens IP Masqueradés. Pas
d'inquiétudes toutefois, il existe des IDENTs qui
fonctionnent.</p>
<p>L'installatin de ce logiciel sort du cadre de ce HOWTO mais
chaque utilitaire a sa propre documentation. Voici quelques un des
URLS :</p>
<ul>
<li><a href=
"http://freshmeat.net/projects/oidentd/homepage/">Oident</a> est le
serveur IDENT favoris des utilisateurs de MASQ.</li>
<li><a href="ftp://ftp.code.org/pub/linux/midentd/">Mident</a> est
un serveur IDENT qui a du succès.</li>
<li><a href="http://insecurity.net/sidentd.gz">Sident</a></li>
<li><a href=
"ftp://sunsite.unc.edu/pub/Linux/system/network/daemons/">Autres
Idents</a></li>
</ul>
<p>Veuillez noter que certains serveur IRC ne permettront toujours
pas des connexions multiples à partir de la même
machine (comprendre ici même IP), même s'ils
recupèrent les infos Ident et que les utilisateurs sont
différents. Vous pouvez vous plaindre à
l'administrateur système du serveur distant :-)</p>
<h2><a name="ss7.25">7.25 ( DCC ) - mIRC ne marche pas avec les DCC
Sends</a></h2>
<p>Ceci est un problème de configuration de votre version de
mIRC. Pour le résoudre, deconnecter mIRC de votre serveur
IRC. Maintenant dans mIRC, allez dans File --> Setup et cliquez
sur la languette "IRC servers". Verifiez que le port est
réglé sur 6667. Si vous avez besoin d'autres ports,
reportez vous ci dessous. Ensuite, allez dans File --> Setup
--> Local Info et effacer les champs Local Host et IP Address.
Maintenant cochez les cases de "LOCAL HOST" et "IP address" (IP
address peut être coché et désactivé).
Ensuite, dans "Lookup Method", réglez sur "normal". Ca ne
marchera PAS si "server" est sélectionné. C'est tout.
Essayez de vous connecter au serveur IRC de nouveau.</p>
<p>Si vous avez besoin de ports pour le serveur IRC
différents de 6667, (par exemple 6969) vous devez modifier
votre fichier /etc/rc.d/rc.firewall là où vous
chargez le module MASQ IRC. Modifiez ce fichier et la ligne
contenant "modprobe ip_masq_irc" et ajoutez cette ligne :
"ports=6667,6969". Vous pouvez ajoutez autant de ports que vous
voulez, séparés par des virgules.</p>
<p>Enfin, fermez tous les clients IRC lancé sur les machines
MASQuées et redémarrez le module MASQ IRC :</p>
<p>/sbin/rmmod ip_masq_irc /etc/rc.d/rc.firewall</p>
<p><a name="aliasing"></a></p>
<h2><a name="ss7.26">7.26 ( IP Aliasing ) - IP Masquerade peut-il
fonctionner avec UNE seule carte Ethernet ?</a></h2>
<p><b>Oui et non</b>. Avec la fonctionnalité "IP Alias" du
noyau, les utilisateurs peuvent régler plusieurs interfaces
aliasées tels que eth0:1, eth0:2, etc mais il N'est PAS
recommandé d'utiliser ces interfaces aliasées pour
l'IP Masquerading. Pourquoi ? Fournir un firewall sûr devient
très difficile avec une seule carte réseau. En plus,
vous allez trouver une quantité anormale d'erreurs sur cette
liaison puisque les paquets entrant vont être envoyés
presque simultanément vers l'extérieur. A cause de
tout celà, et du fait qu'une carte réseau coute moins
de 150F, je vous recommande vivement d'en acheter une pour chaque
segment de réseau MASQué.</p>
<p>Les utilisateurs devraient aussi comprendre que IP Masquerading
ne fonctionne que sur des interfaces physiques telles que eth0,
eth1, etc. MASQuer une interface aliasée telles que "eth0:1,
eth1:1, etc" NE fonctionnera PAS. En d'autres termes, ce qui suit
ne fonctionnera PAS :</p>
<ul>
<li>/sbin/ipfwadm -F -a m -W eth0:1 -S 192.168.0.0/24 -D
0.0.0.0/0</li>
<li>/sbin/ipchains -A forward -i eth0:1 -s 192.168.0.0/24 -j
MASQ"</li>
</ul>
<p>Si vous voulez toujours utiliser des interfaces aliasées,
vous devez activer la fonction "IP Alias" du noyau. Vous devrez
recompiler et redemarrer. Une fois sous le nouveau noyau, vous
devez configurer Linux de manière à ce qu'il utilise
la nouvelle interface (i.e. /dev/eth0:1, etc.). Ensuite, vous
pouvez la considerer comme une interface Ethernet normale avec
toutefois quelques restrictions comme celui ci-dessus.</p>
<h2><a name="ss7.27">7.27 ( MULTI-LAN ) - J'ai deux LANs
MASQués mais je ne peux pas communiquer de l'un vers l'autre
!</a></h2>
<p>Reportez vous SVP à la section <a href=
"#multiple-masqed-lans">multiple-masqed-lans</a> pour les
détails complets.</p>
<p><a name="shaping"></a></p>
<h2><a name="ss7.28">7.28 ( FACONNAGE ) - Je voudrais être
capable de limiter la vitesse de certains types spécifiques
de traffic</a></h2>
<p>Ce sujet n'a vraiment rien à voir avec IPMASQ et concerne
ce qui touche au façonnage du traffic et de la limitation
des taux de Linux. Reportez vous SVP au fichier
/usr/src/linux/Documentation/networking/shaper.txt de vos sources
locales du noyau pour de plus amples détails.</p>
<p>Vous trouverez aussi plus d'informations sur ce sujet et
plusieurs URLs dans la section <a href=
"#2.2.x-Requirements">2.2.x-Requirements</a> d'IPROUTE2.</p>
<h2><a name="ss7.29">7.29 ( COMPATIBILITE ) - J'ai besoin de faire
de la comptabilité sur les personnes qui utilisent le
réseau</a></h2>
<p>Bienque ca n'est pas grand chose à voir avec IPMASQ,
voici quelques idées. Si vous connaissez de meilleures
solutions, envoyez SVP un email à l'auteur de ce HOWTO pour
qu'il puisse l'inclure dedans.</p>
<ul>
<li>Idée #1: Disons que vous voulez logguer TOUT le traffic
WWW sortant vers Internet. Vous pouvez créer une
règle pour le firewall qui ACCEPTE le traffic sur le PORT 80
avec le bit SYN activé et qui le LOGGUE. Maintenant rappelez
vous, ceci peut créer de TRES gros fichiers log.</li>
<li>Idée #2: Vous pouvez lancer la commande "ipchains -L -M"
une fois par seconde et logguer toutes les entrées. Vous
pouvez ensuite écrire un programme qui combine toutes ces
informations dans un seul fichier plus gros.</li>
</ul>
<h2><a name="ss7.30">7.30 ( IPs MULTIPLEs ) - J'ai plusieurs
adresses IP EXTERNES que je veux PORTFWer vers plusieurs machines
internes. Comment je peux faire ça ?</a></h2>
<p>Vous NE POUVEZ PAS. MASQ est un NAT 1:Many (1 vers plusieurs) et
n'est pas le bon outil pour faire ca. Vous cherchez une solution
NAT Many:Many qui est une installation NAT traditionnelle. Jetez un
coup de d'oeil sur l'entrée <a href="#shaping">shaping</a>
de la FAQ pour de plus amples détails sur l'outil IPROUTE2
qui fera ce dont vous avez besoin.</p>
<p>Pour les personnes ici qui compte activer plusieurs adresses IP
sur une seule interface réseau avec "IP Alias" et ensuite
PORTFWer TOUT les ports (0-65535) et utiliser IPROUTE2 pour
entretenir les bonnes correspondances des IP source/destination :
ça a été réalisé AVEC SUCCES sur
les noyaux 2.0.x et avec moins de réussite sur les noyaux
2.2.x. Sans considération du succès, ce n'est pas la
bonne façon de faire ça et ce n'est pas une
configuraion MASQ compatible. Jetez un coup d'oeil sur IPROUTE2
SVP... c'est la bonne manière de faire du vrai NAT.</p>
<p>Autre chose à noter aussi :</p>
<p>Si vous avez une connexion DSL ou Cablemdem routée (pas
PPPoE), les choses se compliquent un peu plus parce que votre
installation n'est pas routée. Pas d'inquiétudes
cependant, reportez vous au document "Bridge+Firewall, Linux
Bridge+Firewall Mini-HOWTO" sur LDP. Vous y apprendrez à
faire reconnaitre à votre machine Linux plusieurs adresses
IP sur une seule interface !</p>
<h2><a name="ss7.31">7.31 J'essaie d'utiliser la commande NETSTAT
pour me montrer mes connexions Masqueradées mais ca marche
pas</a></h2>
<p>Il peut y avoir un problème avec le programme "netstat"
sur les distribs basées sur Linux 2.0.x. Après le
redemarrage de Linux, la commande "netstat -M" fonctionne bien mais
apres qu'un ordinateur MASQué lance plusieurs fois des
traffics ICMP avec succès, tels que ping, traceroute, etc.,
vous obtiendrez peut-être quelquechose du style :</p>
<pre>
masq_info.c: Internal Error `ip_masquerade unknown type'.
</pre>
<p>La manière de détourner ce problème est de
lancer la commande "/sbin/ipfwadm -M -l". Vous remarquerez aussi
qu'après les timeouts des entrées masquerade ICMP,
"netstat" fonctionne de nouveau.</p>
<p><a name="PPTP"></a></p>
<h2><a name="ss7.32">7.32 ( VPNs ) - Je voudrais faire fonctionner
Microsoft PPTP (tunnels GRE) et/ou les tunnels IPSEC (Linux SWAN)
à travers IP MASQ</a></h2>
<p>C'EST possible. Cependant c'est quelque peu hors de la
portée de ce document, vous pouvez vous reporter à la
page de John Hardin <a href=
"ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html">PPTP
Masq</a> pour tous les détails.</p>
<h2><a name="ss7.33">7.33 Je veux faire fonctionner le jeu
réseau XYZ à travers IP MASQ mais ca fonctionne pas.
A l'aide !</a></h2>
<p>D'abord, allez ici : <a href=
"http://www.tsmservices.com/masq">Steve Grevemeyer's MASQ
Applications page</a>. Si vous ne trouvez pas de solution
là-bas, essayer de patcher le noyau Linux avec le patch
<a href=
"ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz">LooseUDP</a>
de Glenn Lamb, qui est traitée dans la section <a href=
"#LooseUDP">LooseUDP</a> ci-dessus. Vous pouvez aussi regarder la
<a href="http://www.alumni.caltech.edu/~dank/peer-nat.html">NAT
Page</a> de Dan Kegel pour plus d'informations.</p>
<p>Si vous avez les aptitudes technique pour utiliser "tcpdump" et
sniffer votre réseau, essayer de trouver quels protocoles et
quels numéros de port votre jeu XYZ utilise. Avec ces
informations en main, abonnez vous a la <a href=
"mailto://masq-subscribe@tiffany.indyramp.com">IP Masq email
list</a> et envoyer vos résultats pour obtenir de
l'aide.</p>
<h2><a name="ss7.34">7.34 IP MASQ fonctionne bien pendant un
certain temps puis s'arrête de marcher. Un redémarrage
semble résoudre ce problème pour un certain temps.
Pourquoi ?</a></h2>
<p>Je parie que vous utilisez IPAUTOFW et/ou vous l'avez
compilé dans le noyau hein ?? C'est un problème
reconnu de IPAUTOFW. Il est recommandé de NE PAS configurer
IPAUTOFW dans le noyau Linux et d'utiliser IPPORTFW à la
place. Ceci est traité en detail dans la section <a href=
"#Forwarders">Forwarders</a> .</p>
<h2><a name="ss7.35">7.35 Les ordinateurs internes MASQués
ne peuvent pas envoyer d'email SMTP ou POP-3 !</a></h2>
<p>Bienque ceci ne soit pas un problème dû au
Masquerading, beaucoup de personnes l'ont mentionné.</p>
<p>SMTP: Le problème est que vous utilisez probablement
votre machine linux comme un serveur de relais SMTP et vous recevez
l'erreur suivante :</p>
<blockquote><code>"error from mail server: we do not
relay"</code></blockquote>
Les versions récentes de Sendmail et d'autres Mail Transfer
Agents (MTAs) désactivent le relaying par défaut
(c'est une bonne chose). Donc pour résoudre le
problème, faites ceci :
<ul>
<li>Sendmail: activez le relaying spécifique pour vos
machines internes MASQuées en modifiant le fichier
/etc/sendmail.cw et en ajoutant le hostname et le nom de domaine de
vos machines internes MASQuées. Vous devriez aussi
vérifier que votre fichier /etc/hosts a l'adresse IP et le
Fully Qualified Domain Name (FQDN) écrit dedans. Une fois
que vous avez fait ça, vous devez relancer Sendmail pour
qu'il relise ses fichiers de configuration. Ceci est traité
dans <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS">
TrinityOS - Section 25</a></li>
</ul>
<p>POP-3: Certains utilisateurs configurent leur ordinateurs
internes MASQués de manière à ce que leurs
clients POP-3 se connectent sur un serveur SMTP externe. Bienque
que cela soit correct, de nombreux serveurs SMTP vont essayer
d'identifier (IDENT) votre connexion sur le port 113. Il est
très probable que votre problème vienne du fait que
votre politique par défaut pour Masquerade soir DENY
(refuse). C'est mal. Changez-le en REJECT (rejette) et relancer
votre jeu de règles rc.firewall.</p>
<p><a name="iproute2"></a></p>
<h2><a name="ss7.36">7.36 ( IPROUTE2 ) - J'ai besoin que
différents réseaux internes MASQués puissent
sortir sur différentes adresses IP externes</a></h2>
<p>Disons que vous avez l'installation suivant : Vous avez
plusieurs réseaux internes et aussi plusieurs adresses IP
externes et/ou réseaux. Ce que vous voulez faire c'est que
le LAN#1 n'utilise que l'IP externe IP#1 et vous voulez aussi que
le LAN#2 utilise l'IP externe IP#2.</p>
<p>LAN interne ----------> IP officielle</p>
<p>LAN #1 IP externe #1 192.168.1.x --> 123.123.123.11</p>
<p>LAN #2 IP externe #2 192.168.2.x --> 123.123.123.12</p>
<p>En gros, ce que nous avons décrit ici est un routage, PAS
seulement sur l'adresse de destination (routage IP usuel) mais
aussi un routage basé sur l'adresse SOURCE. Ceci est
appelé "routage basé sur une politique"
("policy-based routing") ou "routage par source" ("source
routing"). Cette fonctionnalité n'est PAS disponible dans
les noyaux 2.0.x, mais l'*EST* pour les noyaux 2.2.x via le package
IPROUTE2, et est implémenté dans le nouveau noyau
2.4.x avec IPTABLES.</p>
<p>Vous devez tout d'abord comprendre que IPFWADM et IPCHAINS ne
rentrent en action qu'*APRES* que le moment où le
système de routage a décidé de l'endroit
où il va envoyer un paquet donné. Cet
énoncé est très important est devrait
être estampé avec de grosses lettres rouges sur toute
documentation sur IPFWADM/IPCHAINS/IPMASQ. C'est pourquoi les
utilisateurs DOIVENT installer leur routage d'abord et commencer
à ajouter IPFWADM/IPCHAINS et/ou des fonctions Masq.</p>
<p>Dans l'exemple précédent, vous devez dire au
système de routage de diriger les paquets en provenance de
192.168.1.x via 123.123.1233.11 et les paquets en provenance de
192.168.2.x via 123.123.123.12. C'est la partie difficile du
travail, ajouter Masq par dessus un routage correct est facile.</p>
<p>Pour faire ce routage élégant, vous utiliserez
IPROUTE2. Comme cette fonction n'a rien à voir avec IPMASQ,
ce HOWTO ne le traite pas en détail. Referez vous SVP
à <a href="#2.2.x-Requirements">2.2.x-Requirements</a> pour
des URL et une documentation sur ce sujet.</p>
<p>Les commandes sont les même que les commandes "iprule" et
"iproute" (je préfére le premier puisqu'il est plus
facile de le chercher). Les commandes ci-dessous ne sont pas
testées, si elles ne fonctionnent pas, veuillez contacter
l'auteur de IPROUTE2... pas David Ranch ou qui que ce soit dans la
mailing list de Masq puisque ça n'a RIEN avoir avec IP
Masquerading.</p>
<p>Les toutes premières commandes ont seulement besoin
d'être lancé une fois au démarrage, disons dans
le fichier /etc/rc.d/rc.local</p>
<blockquote>
<pre>
<code>
# Permets aux LANs internes de communiquer entre eux, pas de masq.
/sbin/iprule add from 192.168.0.0/16 to 192.168.0.0/16 table main pref 100
# Tout autre traffic de 192.168.1.x est externe, pris en charge par la table 101
/sbin/iprule add from 192.168.1.0/24 to 0/0 table 101 pref 102
# Tout autre traffic de 192.168.2.x est externe, pris en charge par la table 102
/sbin/iprule add from 192.168.2.0/24 to 0/0 table 102 pref 102
Ces commandes ont besoin d'être testées quand eth0 est configuré, peut-être dans
/etc/sysconfig/network-scripts/ifup-post (systèmes RedHat). Lancez les une fois
à la main pour être sur qu'ils fonctionnent.
# la table 101 force tous les paquets qui lui sont assigné a sortir via 123.123.123.11
/sbin/iproute add table 101 via 62123.123.123.11
# la table 102 force tous les paquets qui lui sont assigné a sortir via 123.123.123.12
/sbin/iproute add table 102 via 62123.123.123.12
A partir de là, vous devriez voir que les paquets provenant de 192.168.1.x partant
vers le monde extérieur sont routes; via 123.123.123.11, et les paquets de
192.168.2.x sont routé via 123.123.123.12.
Une fois que le routage est correct, vous pouvez ajouter les règles IPFWADM et IPCHAINS.
Les exemples suivants sont pour IPCHAINS :
/sbin/ipchains -A forward -i ppp+ -j MASQ
Si tout ce goupille bien, le code de masq va voir les paquets routés via
123.123.123.11 et 123.123.123.12 et va utiliser ces adresses comme adresse source masq.
</code>
</pre></blockquote>
<h2><a name="ss7.37">7.37 Pourquoi les nouveaux noyaux 2.1.x et
2.2.x utilisent IPCHAINS au lieu de IPFWADM ?</a></h2>
<p>IPCHAINS possède les fonctions suivantes que IPFWADM ne
possède pas :</p>
<ul>
<li>"Quality of Service" (compatibilité QoS)</li>
<li>Un système de chaines en forme d'ARBRE, contre un
système LINEAIRE pour IPFWADM (ce qui permet de faire des
trucs du genre : "si c'est ppp0, saute vers cette chaine (qui
contient son propre jeu de règles)")</li>
<li>IPCHAINS est plus flexible pour la configuration. Par exemple,
il a la commande "replace" (remplace) en plus de "insert" et "add"
(insere et ajoute). Vous pouvez aussi avoir des règles
négatives (par exemple : "ignore tous les paquets venant de
l'extérieur qui ne viennent pas de mon IP enregistré"
pour que vous ne puissiez pas être la source d'attaques
spoofés).</li>
<li>IPCHAINS peut filtrer tout protrocole IP explicitement, pas
seulement TCP, UDP, ICMP</li>
</ul>
<h2><a name="ss7.38">7.38 Je viens de faire la mise à jour
vers le noyau 2.2.x, pourquoi IP Masquerade ne fonctionne pas
?</a></h2>
<p>Il y a plusieurs choses que vous devez vérifier, si on
considère que votre machine Linux IP Masq est bien
connectée à Internet et à votre LAN :</p>
<ul>
<li>Verifiez que vous avez les fonctions nécessaires et les
modules compilés et chargés. Reportez vous aux
sections précédentes pour les details.</li>
<li>Vérifiez
<code>/usr/src/linux/Documentation/Changes</code> et assurez vous
que vous avez la configuration minimale requise pour les outils
réseaux d'installés.</li>
<li>Assurez vous d'avoir bien suivi tous les tests de la section
<a href="#Testing">Testing</a> de ce HOWTO.</li>
<li>Vous devriez utiliser <a href=
"http://netfilter.filewatcher.org/ipchains/">ipchains</a> pour
manipuler IP Masq et les règles de firewalling.</li>
<li>Les port forwarders standards IPAUTOFW et IPPORTFW ont
été remplacés par <a href=
"http://juanjox.kernelnotes.org/">IPMASQADM</a>. Vous aurez besoin
d'appliquer ces patches au noyau, de le recompiler, compiler le
nouvel outil IPMASQADM et ensuite de convertir vos anciens jeux de
règles de firewall IPAUTOFW/IPPORTFW avec la nouvelle
syntaxe. Cette partie est entièrement traitée dans la
section <a href="#Forwarders">Forwarders</a> .</li>
<li>Recommencer à vérifier toute l'installation et la
configuration ! Souvent, c'est juste une erreur typographiqe ou une
simple erreur que vous cherchez.</li>
</ul>
<h2><a name="ss7.39">7.39 Je viens de faire la mise à jour
vers le noyau 2.0.38+, pourquoi IP Masquerade ne fonctionne pas
?</a></h2>
<p>Il y a plusieurs choses que vous devez vérifiant, si on
considère que votre machine Linux IP Masq est bien
connectée a Internet et à votre LAN :</p>
<ul>
<li>Verifiez que vous avez les fonctions nécessaires et les
modules compilés et chargés. Reportez vous SVP aux
sections précédentes pour les details.</li>
<li>Vérifiez
<code>/usr/src/linux/Documentation/Changes</code> et assurez vous
que vous avez la configuration minimale requise pour les outils
réseaux installés.</li>
<li>Assurez vous d'avoir bien suivi tous les tests de la section
<a href="#Testing">Testing</a> de ce HOWTO.</li>
<li>Vous devriez utiliser <a href="http://www.xos.nl/">ipfwadm</a>
pour manipuler IP Masq et les règles de firewalling. Si vous
voulez utiliser IPCHAINS, vous aurez besoin d'appliquer un patch
aux noyaux 2.0.x.</li>
<li>Recommencez à vérifier toute l'installation et la
configuration ! Souvent, c'est juste une erreur de typographie ou
une erreur toute simple que vous cherchez.</li>
</ul>
<h2><a name="ss7.40">7.40 J'ai besoin d'aide sur les connexions EQL
et IP Masq</a></h2>
<p>EQL n'a rien à faire avec IP Masq bienqu'ils soient
souvent combinés sur les machines Linux. C'est pourquoi, je
vous recommande de voir la nouvelle version de <a href=
"http://home.indyramp.com/masq/eql/eql.html">Robert Novak's EQL
HOWTO</a> pour vos besoins sur EQL.</p>
<h2><a name="ss7.41">7.41 J'arrive pas faire fonctionner IP
Masquerade ! Quelles options ai-je pour les Plateformes Windows
?</a></h2>
<p>Vous voulez abandonner une solution gratuite, sûre, haute
performance qui fonctionne avec un minimum de ressources
matérielles pour quelquechose qui a besoin de plus de
matériel, avec des performances inférieures et moins
sûr ? (AMHO. Et oui, j'ai des expériences grandeur
nature de ces choses là ;-)</p>
<p>Okay, c'est votre choix. Si vous voulez une solution NAT et/ou
proxy Windows, voici une liste convenable. Je n'ai pas de
préférence pour ces outils puisque je ne m'en suis
jamais servi.</p>
<ul>
<li>Firesock (par les créateurs de Trumpet Winsock)
<ul>
<li>Fait aussi Proxy</li>
<li><a href=
"http://www.trumpet.com.au">http://www.trumpet.com.au</a></li>
</ul>
</li>
<li>Iproute
<ul>
<li>programme DOS créé pour fonctionner sur des
286+</li>
<li>a besion d'une autre machine telle que Linux MASQ</li>
<li><a href=
"http://www.mischler.com/iproute/">http://www.mischler.com/iproute/</a></li>
</ul>
</li>
<li>Microsoft Proxy
<ul>
<li>Necessite Windows NT Server</li>
<li>Très cher</li>
<li><a href=
"http://www.microsoft.com">http://www.microsoft.com</a></li>
</ul>
</li>
<li>NAT32
<ul>
<li>Compatible avec Windows 95/98/NT</li>
<li><a href="http://www.nat32.com">http://www.nat32.com</a></li>
<li>Environ $25 pour Win9x et $47 pour WinNT</li>
</ul>
</li>
<li>SyGate
<ul>
<li><a href="http://www.sygate.com">http://www.sygate.com</a></li>
</ul>
</li>
<li>Wingate
<ul>
<li>Fait Proxy</li>
<li>Coûte environ $30 pour 2-3 IPs</li>
<li><a href=
"http://www.wingate.com">http://www.wingate.com</a></li>
</ul>
</li>
<li>Winroute
<ul>
<li>Fait NAT</li>
<li><a href=
"http://www.winroute.cz/en/">http://www.winroute.cz/en/</a></li>
</ul>
</li>
</ul>
<p>Enfin faites une recherche sur le web sur "MS Proxy Server",
"Wingate", "WinProxy", ou allez sur <a href=
"http://www.winfiles.com">www.winfiles.com</a>. Et ne dites surtout
a personnes que c'est nous qui vous envoyons.</p>
<h2><a name="ss7.42">7.42 Je voudrais aider à developper IP
Masquerade. Que puis-je faire ?</a></h2>
<p>Abonnez vous à la mailing list Linux IP Masquerading
DEVELOPERS et demander aux développeurs sur quoi vous pouvez
aider. Pour plus de détails sur comment s'abonner aux
mailing lists, regardez la section <a href=
"#Masq-List">Masq-List</a> de la FAQ.</p>
<p>SVP NE posez PAS de questions non relatifs au
développement d'IP Masquerade là-bas !!!!</p>
<h2><a name="ss7.43">7.43 Où puis-je trouver plus
d'informations sur IP Masquerade?</a></h2>
<p>Vous pouvez trouvez plus d'informations sur IP Masquerade ici :
<a href="http://ipmasq.cjb.net/">Linux IP Masquerade Resource</a>,
site dont s'occupe David Ranch.</p>
<p>Vous pouvez aussi trouver des informations sur <a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html">Dranch's
Linux page</a>, où se trouvent les documents de TrinityOS et
d'autres documents sur Linux.</p>
<p>Vous pouvez aussi trouver des informations sur <a href=
"http://www.indyramp.com/masq/">The Semi-Original Linux IP
Masquerading Web Site</a> entretenu par Indyramp Consulting, qui
fournit aussi les mailing lists IP Masq.</p>
<p>Enfin, vous pouvez trouver des réponses aux questions
spécifiques dans les archives des mailing lists IP MASQ et
IP MASQ DEV. Reportez vous à la FAQ <a href=
"#Masq-List">Masq-List</a> pour de plus amples détails.</p>
<h2><a name="ss7.44">7.44 Je veux traduire ce HOWTO dans une autre
langue, que dois-je faire ?</a></h2>
<p>Assurez vous que la langue dans laquelle vous voulez traduire
n'est pas déjà traitée par quelqu'un d'autre.
Mais la plupart des HOWTOs traduits sont VIEUX et ont besoin
d'être mis à jour. Une liste des HOWTO traduits est
disponible ici : <a href="http://ipmasq.cjb.net/">Linux IP
Masquerade Resource</a>.</p>
<p>Si une copie de la version <b>en cours</b> de l'IP MASQ HOWTO
n'existe pas dans la langue que vous proposez,
téléchargez SVP la version la plus récente du
code SGML de l'IP-MASQ HOWTO ici : <a href=
"http://ipmasq.cjb.net/">Linux IP Masquerade Resource</a>. De
là, continuez votre travail tout en produisant du bon code
SGML. Pour plus d'aide sur le SGML, vous pouvez voir <a href=
"http://www.sgmltools.org">www.sgmltools.org</a></p>
<h2><a name="ss7.45">7.45 Ce HOWTO semble périmé,
continuez vous à le mettre à jour ? Pouvez vous
inclure plus d'information sur ... ? Comptez vous le rendre
meilleur ?</a></h2>
<p>Oui, ce HOWTO est toujours mis à jour. Par le
passé, j'ai été coupable d'être trop
occupé avec deux emplois et ne pas avoir assez de temps pour
travailler dessus, mes excuses. A partir de v1.50, David Ranch a
commencé à réaménager ce document et le
maintenir à jour.</p>
<p>Si vous pensez qu'un sujet devrait être ajouté
à ce HOWTO, envoyez SVP un email à <a href=
"mailto:ambrose@writeme.com">ambrose@writeme.com</a> and <a href=
"mailto:dranch@trinnet.net">dranch@trinnet.net</a>. Ca serait
encore mieux si vous pouviez fournir ces informations. Nous
incluerons alors ces informations dans ce HOWTO si nous les
trouvons appropriées et quand nous les aurons
testées. Merci beaucoup pour vos contributions !</p>
<p>Nous avons beaucoup de nouvelles idées et de plans pour
améliorer ce HOWTO, tels que des études de cas qui
vont traiter différentes installations réseaux
impliquant de IP Masquerade, plus de sécurité via des
jeux de règles IPFWADM/IPCHAINS 'strong', plus
d'entrées dans la FAQ, etc. Si vous pensez pouvoir nous
aider, SVP faites le ! Merci.</p>
<h2><a name="ss7.46">7.46 Je viens de faire marcher IP Masquerade,
c'est super ! Je veux vous remercier les gars, que puis-je faire
?</a></h2>
<ul>
<li>Pouvez vous traduire la version la plus récente de ce
HOWTO dans une autre langue ?</li>
<li>Remerciez les developpeurs et évaluez le temps qu'ils y
ont passé et les efforts qu'il ont faits.</li>
<li>Joignez vous à la mailing list IP Masquerade et aidez
les nouveaux utilisateurs de MASQ.</li>
<li>Envoyez nous un email et dites nous à quel point vous
êtes heureux.</li>
<li>Présentez Linux à d'autres personnes et aidez les
quand ils ont des problèmes.</li>
</ul>
<h2><a name="s8">8. Divers</a></h2>
<h2><a name="ss8.1">8.1 Sources Utiles</a></h2>
<p>NDT : Toutes ces sources sont bien entendu anglophone et
j'ignore s'il existe des versions traduites pour les documents
mentionnés.</p>
<ul>
<li><a href="http://ipmasq.cjb.net/">IP Masquerade Resource
page</a> Regroupe toutes les informations nécessaires pour
installer IP Masquerade sur les noyaux 2.0.x, 2.2.x, et même
le vieux 1.2 !</li>
<li><a href="http://juanjox.kernelnotes.org">Juan Jose Ciarlante's
WWW site</a> Qui est la personne qui s'occupe actuellement de la
maintenance de Linux IP Masquerade.</li>
<li><a href="http://www.indyramp.com/lists/masq">IP Masquerade
mailing list Archives</a> contient les messages envoyés
récemment aux mailing lists.</li>
<li><a href=
"http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html">David
Ranch's Linux page including the TrinityOS Linux document and
current versions of the IP-MASQ-HOWTO.</a>. Ses sujets tels que IP
MASQ, jeux de règles IPFWADM/IPCHAINS 'strong', PPP, Diald,
Cablemodems, DNS, Sendmail, Samba, NFS, Security, etc. y sont
traités.</li>
<li>La page des applications IP Masquerading <a href=
"http://www.tsmservices.com/masq">(IP Masquerading Applications
page)</a>: Une liste exhaustive des applications qui fonctionnent
ou qui peuvent être accordées de façon à
ce qu'ils fonctionnent à travers un serveur Linux IP
masquerading.</li>
<li>Pour les personnes qui installent IP Masq sur MkLinux, envoyez
un email à Taro Fukunaga : <a href=
"mailto:tarozax@earthlink.net">tarozax@earthlink.net</a> pour qu'il
vous envoie une version de son court HOWTO pour MkLinux.</li>
<li><a href="http://www.indyramp.com/masq/ip_masquerade.txt">IP
masquerade FAQ</a> quelques informations d'ordre
général</li>
<li><a href=
"http://netfilter.filewatcher.org/ipchains/">http://netfilter.filewatcher.org/ipchains/</a>
La doc de Paul Russel et peut-être une ancienne sauvegarde
ici : <a href="http://www.linuxdocs.org/IPCHAINS-HOWTO.html">Linux
IPCHAINS HOWTO</a>. Ce HOWTO contient beaucoup d'informations sur
l'utilisation d'IPCHAINS, de même que les sources et les
fichiers binaires de l'outil ipchains.</li>
<li><a href="http://www.xos.nl/linux/ipfwadm/">X/OS Ipfwadm
page</a> contiens les sources, les binaires, la documentation, et
d'autres informations au sujet de paquet <code>ipfwadm</code></li>
<li>Allez voir la <a href=
"http://www.greatcircle.com/">GreatCircle's Firewall mailing
list</a> : Une excellente source pour les jeux de règles
'strong' pour le firewall.</li>
<li>Le <a href="http://www.linuxdoc.org/LDP/nag/nag.html">LDP
Network Administrator's Guide</a> est un MUST pour l'administrateur
Linux débutant essayant d'installer un réseau.</li>
<li>Le <a href=
"http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html">Linux NET-3-4
HOWTO</a> est aussi un autre document exhaustif sur la
manière d'installer et de configurer un réseau
Linux.</li>
<li>Les <a href=
"http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html">Linux ISP
Hookup HOWTO</a> et <a href=
"http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html">Linux PPP HOWTO</a>
vous fournissent les renseignements nécessaires sur les
démarches à suivre pour connecter votre machine Linux
à Internet.</li>
<li>Le <a href=
"http://www.linuxdoc.org/HOWTO/Ethernet-HOWTO.html">Linux
Ethernet-Howto</a> est une bonne source d'information pour
installer un LAN Ethernet.
<p><a name=
"Donald Becker's NIC drivers and utils FAQ-Hardware"></a></p>
</li>
<li><a href="http://cesdis.gsfc.nasa.gov/linux/drivers/">Donald
Becker's NIC drivers and Support Utils</a></li>
<li>Vous pourriez aussi peut-être être
intéressé par le <a href=
"http://www.linuxdoc.org/HOWTO/Firewall-HOWTO.html">Linux
Firewalling and Proxy Server HOWTO</a></li>
<li>Le <a href=
"http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html">Linux Kernel
HOWTO</a>vous guidera à travers le processus de compilation
du noyau.</li>
<li>D'autres <a href=
"http://www.linuxdoc.org/HOWTO/HOWTO-INDEX/howtos.html">Linux
HOWTOs</a> tels que Kernel HOWTO</li>
<li>Faire des 'Post' sur le newsgroup USENET : <a href=
"news:comp.os.linux.networking">comp.os.linux.networking</a></li>
</ul>
<h2><a name="ss8.2">8.2 Sources Linux IP Masquerade</a></h2>
<p>La <a href="http://ipmasq.cjb.net/">Linux IP Masquerade
Resource</a> est un site web dédié à Linux IP
Masquerade dont s'occupe aussi Ambrose Au. Il a les
dernières informations relatif à IP Masquerade et
toute autre information qui pourrait ne pas être inclus dans
ce HOWTO.</p>
<p>Vous pouvez trouver La Linux IP Masquerade Resource aux endroits
suivant :</p>
<ul>
<li><a href="http://ipmasq.cjb.net/">http://ipmasq.cjb.net/</a>,
Site Primaire, redirigé vers <a href=
"http://ipmasq.cjb.net/">http://ipmasq.cjb.net/</a></li>
<li><a href="http://ipmasq2.cjb.net/">http://ipmasq2.cjb.net/</a>,
Site Secondaire, redirigé vers <a href=
"http://www.geocities.com/SiliconValley/Heights/2288/">http://www.geocities.com/SiliconValley/Heights/2288/</a></li>
</ul>
<h2><a name="ss8.3">8.3 Merci aux personnes suivantes :</a></h2>
<p>Par ordre alphabétique :</p>
<ul>
<li>Gabriel Beitler, gabrielb@voicenet.com<br>
pour avoir fourni la section 3.3.8 (installation de Novell)</li>
<li>Juan Jose Ciarlante, irriga@impsat1.com.ar<br>
pour ses contributions à son outil de port forwarding pour
IPMASQADM, son travail sur les sources des noyaux 2.1.x et 2.2.x,
le patch LooseUDP original, etc.</li>
<li>Steven Clarke, steven@monmouth.demon.co.uk<br>
pour sa contribution : l'outil IP de port forwarding IPPORTFW</li>
<li>Andrew Deryabin, djsf@usa.net<br>
pour sa contribution : le module ICQ MASQ</li>
<li>Ed Doolittle, dolittle@math.toronto.edu<br>
pour sa suggestion : l'option <code>-V</code> dans la commande
<code>ipfwadm</code> pour une sécurité accrue</li>
<li>Matthew Driver, mdriver@cfmeu.asn.au<br>
pour son importante aide à ce HOWTO, et avoir fourni la
section 3.3.1 (configuration de Windows 95)</li>
<li>Ken Eves, ken@eves.com<br>
pour la FAQ qui fourni des informations inestimables à ce
HOWTO</li>
<li>John Hardin, jhardin@wolfenet.com<br>
pour ses outils de forwarding de PPTP et de IPSEC</li>
<li>Glenn Lamb, mumford@netcom.com<br>
pour le patch LooseUDP</li>
<li>Ed. Lott, edlott@neosoft.com<br>
pour une longue liste de systèmes et de logiciels
testés</li>
<li>Nigel Metheringham, Nigel.Metheringham@theplanet.net<br>
pour ses versions des HOWTO sur l'IP Packet Filtering et l'IP
Masquerading, qui font de ce HOWTO un document meilleur et plus
technique<br>
sections 4.1, 4.2, et d'autres</li>
<li>Keith Owens, kaos@ocs.com.au<br>
pour son excellent guide sur ipfwadm section 4.2<br>
et sa correction de l'option <code>ipfwadm -deny</code> qui
évite un trou de sécurité, et clarifie le
status du <code>ping</code> avec IP Masquerade</li>
<li>Michael Owings, mikey@swampgas.com<br>
pour sa section sur CU-SeeMe et son Linux IP-Masquerade Teeny
How-To</li>
<li>Rob Pelkey, rpelkey@abacus.bates.edu<br>
pour les sections 3.3.6 et 3.3.7 (configuration de MacTCP et d'Open
Transport)</li>
<li>Harish Pillay, h.pillay@ieee.org<br>
pour la section 4.5 (connexion avec Diald)</li>
<li>Mark Purcell, purcell@rmcs.cranfield.ac.uk<br>
pour la section 4.6 (IPautofw)</li>
<li>David Ranch, dranch@trinnet.net<br>
aide à mettre à jour et à entretenir ce HOWTO
et la Linux IP Masquerade Resource Page, le document TrinityOS ,
..., trop de choses pour être listés ici :-)</li>
<li>Paul Russell, rusty@linuxcare.com.au<br>
pour tout son travail sur IP CHAINS, les patches noyau IP
Masquerade, etc</li>
<li>Ueli Rutishauser, rutish@ibm.net<br>
pour la section 3.3.9 (configuration d'OS/2 Warp)</li>
<li>Steve Grevemeyer, grevemes@tsmservices.com<br>
pour avoir repris la page IP Masq Applications à Lee Nevo et
l'avoir mise à jour en une backend de BD</li>
<li>Fred Viles, fv@episupport.com& nl;pour ses patches pour un
port forwarding correct de FTP</li>
<li>John B. (Brent) Williams, forerunner@mercury.net<br>
pour la section 3.3.7 (configuraion d'Open Transport)</li>
<li>Enrique Pessoa Xavier, enrique@labma.ufrj.br<br>
pour sa suggestion de configuraiton pour BOOTp</li>
<li>Toutes les personnes de la mailing list d'IP-MASQ,
masq@tiffany.indyramp.com<br>
pour leur aide et leur soutien aux nouveaux utilisateurs de Linux
MASQ</li>
<li>Les autres développeurs de code et de documentations
d'IP Masquerade pour cette exceptionne fonction
<blockquote>
<ul>
<li>Delian Delchev, delian@wfpa.acad.bg</li>
<li>David DeSimone (FuzzyFox), fox@dallas.net</li>
<li>Jeanette Pauline Middelink, middelin@polyware.iaf.nl</li>
<li>Miquel van Smoorenburg, miquels@q.cistron.nl</li>
<li>Jos Vos, jos@xos.nl</li>
<li>Et ceux que j'aurais pu oubliés de mentionner ici (SVP
faites le moi savoir)</li>
</ul>
</blockquote>
</li>
<li>Tous les utilisateurs qui ont envoyé des feedback ou des
suggestions à la mailing list, surtout ceux qui ont
signalé des erreurs dans ce document ou les clients qui sont
compatibles ou pas.</li>
<li>Nous nous excusons si nous avons omis des noms importants, pas
encore inclus des informations que certains utilisateurs nous ont
envoyé, etc. Il y a de nombreuses suggestions et
idées qui nous sont envoyés mais il n'y pas assez de
temps pour vérifier et intégrer ces changements.
David Ranch essaie continuellement de faire de son mieux pour
intégrer ces informations, que l'on m'envoie, dans ce HOWTO.
Je vous remerci de votre effort, et j'espère que vous
comprendrez notre situtation.</li>
</ul>
<h2><a name="ss8.4">8.4 Reference</a></h2>
<ul>
<li>IP masquerade FAQ original par Ken Eves</li>
<li>archive de l'IP masquerade mailing list par Indyramp
Consulting</li>
<li>Site WWWW IP Masquerade par Ambrose Au</li>
<li>page Ipfwadm par X/OS</li>
<li>Linux HOWTOs Linux sur les réseaux</li>
<li>Certains sujets traités dans TrinityOS par David
Ranch</li>
</ul>
<h2><a name="ss8.5">8.5 Changes</a></h2>
<ul>
<li>TO do - HOWTO:
<ul>
<li>Add the scripted IPMASQADM example to the Forwarders section.
Also confirm the syntax.</li>
<li>Add a little section on having multiple subnets behind a MASQ
server</li>
<li>Confirm the IPCHAINS ruleset and make sure it is consistant
with the IPFWADM ruleset</li>
</ul>
<p>TO DO - WWW page:</p>
<ul>
<li>Update all PPTP urls from lowrent to
ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html</li>
<li>Update the PPTP patch on the masq site</li>
<li>Update the portfw FTP patch</li>
</ul>
<p>Changes from 1.90 to 1.95 - 11/14/00</p>
<ul>
<li>Added a quick upfront notice in the intro that running a SINGLE
NIC in MASQ mutliple ethernet segments is NOT recommended and
linked to the relivant FAQ entry. Thanks to Daniel Chudnov for
helping the HOWTO be more clear.</li>
<li>Added a pointer in the Intro section to the FAQ section for
users looking for how MASQ is different from NAT and Proxy
services.</li>
<li>Reordered the Kernel requirements sections to be 2.2.x, 2.4.x,
2.0.x</li>
<li>Expanded the kernel testing in Section 3 to see if a given
kernel already supports MASQ or not.</li>
<li>Reversed the order of the displayed simple MASQ ruleset
examples (2.2.x and 2.0.x)</li>
<li>Cleaned up some formatting issues in the 2.0.x and 2.2.x
rc.firewall files</li>
<li>Noted in the 2.2.x rc.firewall that the defrag option is gone
in some distro's proc (Debian, TurboLinux, etc)</li>
<li>Added a NOTE #3 to the rc.firewall scripts to include
instructions for Pump. Thanks to Ross Johnson for this one.</li>
<li>Cleaned up the simple MASQ ruleset examples for both the 2.2.x
and 2.2.x kernels</li>
<li>Updated the simple and stronger IPCHAINS and IPFWADM rulesets
to include the external interface names (IPCHAINS is -i; IPFWADM is
-W) to avoid some internal traffic MASQing issues.</li>
<li>Vastly expanded the Section 5 (testing) with even more testing
steps with added complete examples of what the output of the
testing commands should look like.</li>
<li>Moved the H.323 application documentation from NOT supported to
Supported. :)</li>
<li>Reordered the Multiple LAN section examples (2.2.x then
2.0.x)</li>
<li>Made some additional clarifications to the Multiple LAN
examples
<p>Fixed a critical typo with multiple NIC MASQing where the
network examples had the specified networks reversed. Thanks to
Matt Goheen for catching this.</p>
</li>
<li>Added a little intro to MFW in the PORTFW section.</li>
<li>Reveresed the 2.0.x and 2.2.x sections for PORTFW</li>
<li>Updated the news regarding PORTFWing FTP traffic for 2.2.x
kernels
<hr>
<pre>
NOTE: At this time, there *IS* a BETA level IP_MASQ_FTP module
for PORT Forwarding FTP connections 2.2.x kernels which also supports
adding additional PORTFW FTP ports on the fly without the requirement
of unloading and reloaded the IP_MASQ_FTP module and thus breaking any
existing FTP transfers.
</pre>
<hr></li>
<li>Added a top level note about PORTFWed FTP support</li>
<li>Added a noted to the 2.0.x PORTFW'ed FTP example why users
DON'T need to PORTFW port 20.</li>
<li>Updated the PORTFW section to also mention that users can use
FTP proxy applications like the one from SuSe to support PORTFWed
FTP-like functionality. Thanks to Stephen Graham for this one.</li>
<li>Updated the example for how to enable PORTFWed FTP to also
include required configurations to how the ip_masq_ftp module is
loaded for users who use multiple PORTs to contact multiple
internal FTP servers. Thanks to Bob Britton for reminding me about
this one.</li>
<li>Added a FAQ entry for users who have embedded ^Ms in their
rc.firewall file</li>
<li>Expanded the FAQ entry talking about how MASQ is different from
NAT and Proxy to include some informative URLs.</li>
<li>Updated the explanation of the MASQ MTU issue and describe the
two main explanations of the issue.</li>
<li>Clarified that per the RFC, PPPoE should only require an MTU of
1490 though some ISPs require a setting of 1460. Because of this, I
have updated the example to show an MTU of 1490.</li>
<li>Broke out the Windows 9x sections into Win95 and Win98 as they
use different settings (DWORD vs. STRING). I also updated the
sections to be more clear and the Registry backup methods have been
updated.</li>
<li>Fixed a typo where the NT 4.0 Registry entries were backwards
(Tcpip/Parameters vs. Parameters/Tcpip).</li>
<li>Fixed an issue where the WinNT entry should have been a DWORD
and not a STRING.</li>
<li>A serious thanks goes out to Geoff Mottram for his various
PPPoE and various Windows Registry entry fixes.</li>
<li>Added an explicit URL for Oident in the IRC FAQ entry</li>
<li>Updated the FAQ section regarding some broken "netstat"
versions</li>
<li>Added new FAQ sections for MASQ accounting ideas and traffic
shaping</li>
<li>Expanded the IPROUTE2 FAQ entry on what Policy-routing is.</li>
<li>Moved the IPROUTE2 URLs to the 2.2.x Kernel requirements
section and also added a few more URLs as well.</li>
<li>Corrected the "intnet" variable in the stronger IPCHAINS
ruleset to reflect the 192.168.0.0 network to be consistent with
the rest of the example. Thanks to Ross Johnson for this one.</li>
<li>Added a new FAQ section for people asking about forwarding
problems between multiple internal MASQed LANs.</li>
<li>Added a new FAQ section about users wanting to PORTFW all ports
from multiple external IP addresses to internal ones. I also
touched on people trying to PORTFW all ports on multiple IP ALIASed
interfaces and also noted the Bridge+Firewall HOWTO for DSL and
Cablemodem users who have multiple IPs in a non-routed
environment.</li>
<li>Added Mandrake 7.1, Mandrake 7.2, and Slackware 7.1 to the
supported list</li>
<li>Added Redhat 7.0 to the MASQ supported distros. Thanks to
Eugene Goldstein for this one.</li>
<li>Fixed a mathematical error in the "Maximum Throughput"
calculation in the FAQ section. Thanks to Joe White @ ip255@msn.com
for this one.</li>
<li>Fixed the fact that the Windows9x MTU changes are a STRING
change and not a DWORD change to the registry. Thanks to
jmoore@sober.com for this one.</li>
<li>Updated the comments in the 2.0.x rc.firewall script to note
that the ip_defrag option is for both 2.0 and 2.2 kernels. Thanks
to pumilia@est.it for this clarification.</li>
</ul>
<p>Changes from 1.85 to 1.90 - 07/03/00</p>
<ul>
<li>Updated the URL for TrinityOS to reflect its new layout</li>
<li>Caught a typo in the IPCHAINS rulesets where I was setting
"ip_ip_always_defrag" instead of "ip_always_defrag"</li>
<li>The URL to Taro Fukunaga was invaild since it was using "mail:"
instead of "mailto:"</li>
<li>Added some clarification to the "Masqing multiple internal
interfaces" where some people didn't understand why eth0 was
referenced multiple times.</li>
<li>Fixed another "space after the EXTIP variable" bug in the
stronger IPCHAINS section. I guess I missed one.</li>
<li>In Test #7 of Section 5, I referred users to go back to step
#4. Thats should have been step #6.</li>
<li>Updated the kernel versions that came with SuSe 5.2 and
6.0</li>
<li>Fixed a typo (or vs. of) in Section 7.2</li>
<li>Added Item #9 to the Testing MASQ section to refer users who
are still haing MASQ problems to read the MTU entry in the FAQ</li>
<li>Improved the itemization in Section 5</li>
<li>Updated the IPCHAINS syntax to show the MASQ/FORWARD table.
Before, it was valid to run "ipchains -F -L" but now only "ipchains
-M -L" works.</li>
<li>Updated the LooseUDP documentation to reflect the new LooseUDP
behavior in 2.2.16+ kernels. Before, it was always enabled, now, it
defaults to OFF due to a possible MASQed UDP port scanning
vunerability. I have updated the BASIC and SEMI-STRONG IPCHAINS
rulesets to reflect this option.</li>
<li>Updated the recommended 2.2.x kernel to be 2.2.16+ since there
is a TCP root exploit vunerability in all lesser versions.</li>
<li>Added Redhat 6.2 to the MASQ supported list</li>
<li>Updated the link for Sonny Parlin's FWCONFIG to now point to
fBuilder.</li>
<li>Updated the various example IP addresses from 111.222.333.444
to be 111.222.121.212 to be within a valid IP address range</li>
<li>Updated the URL for the BETA H.323 MASQ module</li>
<li>Finally updated the MTU FAQ section to help out PPPoE DSL and
Cablemodem users. Basically, the <a href=
"#MTU-issues">MTU-issues</a> section now reflects that users can
also change the MTU settings of all of their INTERNAL machines to
solve the dreaded MASQ MTU issue.</li>
<li>Added a clarification to the PORTFW section that PORTFWed
connections that work for EXTERNAL clients will not work for
INTERNAL clients. If you also need INTERNAL portfw, you will need
to also impliment the REDIR tool as well. I also noted that this
issue is fixed in the 2.4.x kernels with Netfilter.</li>
<li>I also added a technical explanation from Juanjo to the end of
the PORTFW section to why this senario doesn't work properly.</li>
<li>Updated all of the IPCHAINS URLs to point to Paul Rusty's new
site at http://netfilter.filewatcher.org/ipchains/</li>
<li>Updated Paul Rustys email address</li>
<li>Added a new FAQ section for users whose connections remain idle
for a long time and their PORTFWed connection no longer work.</li>
<li>Updated all the URLs to the LDP that pointed to metalab.unc.edu
to the new site of linuxdoc.org</li>
<li>Updated the Netfilter URLs to point to renamed HOWTOs,
etc.</li>
<li>I also updated the status of the 2.4.x support to note that I
*will* add full Netfilter support to this HOWTO and if the time
comes, then split that support off into a different HOWTO.</li>
<li>Updated the 2.4.x Requirements section to reflect how NetFilter
has changed compared to IPFWADM and IPCHAINS and gave a PROs/CONs
list of new features and changes to old behaviors.</li>
<li>Added a TCP/IP math example to the "My MASQ connection is slow"
FAQ entry to better explain what a user should expect performance
wise.</li>
<li>Updated the HOWTO to reflect that newer versions of the "pump"
DHCP client now can run scripts upon bringup, lease renew,
etc.</li>
<li>Updated the PORTFWing of FTP to reflect that several users say
they can successfully forward FTP traffic to internal machines
without the need of a special ip_masq_ftp module. I have made the
HOWTO reflect that users should try it without the modified module
first and then move to the patch if required.</li>
</ul>
<p>Changes from 1.82 to 1.85 - 05/29/00</p>
<ul>
<li>Ambrose Au's name has been taken off the title page as David
Ranch has been the primary maintainer for the HOWTO for over a
year. Ambrose will still be involved with the WWW site though.</li>
<li>Deleted a stray SPACE in section 6.4</li>
<li>Re-ordered the compatible MASQ'ed OS section and added
instructions for setting up a AS/400 system running on OS/400.
Thanks to jaco@libero.it for the notes.</li>
<li>Added an additional PORFW-FTP patch URL for FTP access if HTTP
access fails.</li>
<li>Updated the kernel versions for Redhat 5.1 & 6.1 in the
FAQ</li>
<li>Added FloppyFW to the list of MASQ-enabled Linux distros</li>
<li>Fixed an issue in the Stronger IPFWADM rule set where there
were spaces between "ppp_ip" and the "=".</li>
<li>In the kernel compiling section for 2.2.x kernels, I removed
the reference to enable "CONFIG_IP_ALWAYS_DEFRAG". This option was
removed from the compiling section and enabled by default with MASQ
enabled in 2.2.12.</li>
<li>Because of the above change in the kernel behavior, I have
added the enabling of ip_always_defrag to all the rc.firewall
examples.</li>
<li>Updated the status of support for H.323. There is now ALPHA
versions of modules to support H.323 on both 2.0.x and 2.2.x
kernels.</li>
<li>Added Debian v2.2 to the supported MASQ distributions list</li>
<li>Fixed a long standing issue where the section that covered
explicit filtering of IP addresses for IPCHAINS had old IPFWADM
syntax. I've also cleaned this section up a little and made it a
little more understandable.</li>
<li>Doh! Added Juan Ciarlante's URL to the important MASQ resources
section. Man.. you guys need to make me more honest than
this!!</li>
<li>Updated the HOWTO to reflect kernels 2.0.38 and 2.2.15</li>
<li>Rerversed the order shown to compile kernels to show 2.2.x
kernels first as 2.0.x is getting pretty old.</li>
<li>Updated the 2.2.x kernel compiling section to reflect the
changed options for the latter 2.2.x kernels.</li>
<li>Added a a possible solution for people that fail to get past
MASQ test #5.</li>
</ul>
<p>Changes from 1.81 to 1.82 - 01/22/00</p>
<ul>
<li>Added a missing subsection for /proc/sys/net/ipv4/ip_dynaddr in
the stronger IPCHAINS ruleset. Section 6.5</li>
<li>Changed the IP Masq support for Debian 2.1 to OUI</li>
<li>Reorganized and updated the "Masq is slow" FAQ section to
include fixing Ethernet speed and duplex issues.</li>
<li>Added a link to Donald Becker's MII utilities for Ethernet NIC
cards</li>
<li>Added a missing ")" for the 2.2.x section (previously fixed it
only for the 2.0.x version) to the ICQ portfw script and changed
the evaluation from -lt to -le</li>
<li>Added Caldera eServer v2.3 to the MASQ supported list</li>
<li>Added Mandrake 6.0, 6.1, 7.0 to the MASQ supported list</li>
<li>Added Slackware v7.0 to the MASQ supported list</li>
<li>Added Redhat 6.1 to the MASQ supported list</li>
<li>Added TurboLinux 4.0 Lite to the MASQ supported list</li>
<li>Added SuSe 6.3 to the MASQ supported list</li>
<li>Updated the recommended stable 2.2.x kernel to be anything
newer than 2.2.11</li>
<li>In section 3.3, the HOWTO forgot how to tell the user how to
load the /etc/rc.d/rc.firewall upon each reboot. This has now been
covered for Redhat (and Redhat-based distros) and Slackware.</li>
<li>Added clarification in the Windows WFWG v3.x and NT setup
sections why users should NOT configure the DHCP, WINS, and
Forwarding options.</li>
<li>Added a FAQ section on how to fix FTP problems with MASQed
machines.</li>
<li>Fixed a typo in the Stronger firewall rulesets. The "extip"
variabl cannot have the SPACE between the variable name and the "="
sign. Thanks to johnh@mdscomp.com for the sharp eye.</li>
<li>Updated the compatibly section: Mandrake 7.0 is based on 2.2.14
and TurboLinux v6.0 runs 2.2.12</li>
</ul>
<p>Changes from 1.80 to 1.81 - 01/09/00</p>
<ul>
<li>Updated the ICQ section to reflect that the new ICQ Masq module
supports file transfer and real-time chat. The 2.0.x module still
has those limitations.</li>
<li>Updated Steven E. Grevemeyer's email address. He is the
maintainer of the IP Masq Applications page.</li>
<li>Fixed a few lines that were missing the work AREN'T for the
"setsockopt" errors.</li>
<li>Updated a error the strong IPCHAINS ruleset where it was using
the variable name "ppp_ip" instead of "extip".</li>
<li>Fixed a "." vs a "?" typo in section 3.3.1 in the DHCP comment
section.</li>
<li>Added a missing ")" to the ICQ portfw script and changed the
evaluation from -lt to -le</li>
<li>Updated the Quake Module syntax to NOT use the "ports="
verbage</li>
</ul>
<p>Changes from 1.79 to 1.80 - 12/26/99</p>
<ul>
<li>Fixed a space typo when setting the "ppp_ip" address.</li>
<li>Fixed a typo in the simple IPCHAINS ruleset. "deny" to
"DENY"</li>
<li>Updated the URLs for Bjorn's "modutils" for Linux</li>
<li>Added verbage about NetFilter and IPTables and gave URLs until
it is added to this HOWTO or a different HOWTO.</li>
<li>Updated the simple /etc/rc.d/rc.firewall examples to notify
users about the old Quake module bug.</li>
<li>Updated the STRONG IPFWADM /etc/rc.d/rc.firewall to clarify
users about dynamic IP addresses (PPP & DHCP), newer DHCPCD
syntax, and the old Quake module bug.</li>
<li>Updated the STRONG IPCHAINS /etc/rc.d/rc.firewall to ADD a
missing section on dynamic IP addresses (PPP & DHCP) and the
old Quake module bug.</li>
<li>Added a note in the "Applications that DO NOT work" section
that there IS a beta module for Microsoft NetMeeting (H.323 based)
v2.x on 2.0.x kernels. There is NON versions available for
Netmeeting 3.x and/or 2.2.x kernels as of yet.</li>
</ul>
<p>Changes from 1.78 to 1.79 - 10/21/99</p>
<ul>
<li>Updated the HOWTO name to reflect that it isn't a MINI
anymore!</li>
</ul>
<p>Changes from 1.77 to 1.78 - 8/24/99</p>
<ul>
<li>Fixed a typeo in "Section 6.6 - Multiple Internal Networks"
where the -a policy was ommited.</li>
<li>Deleted the 2.2.x kernel configure option "Drop source routed
frames" since it is now enabled by default and the kernel compile
option was removed.</li>
<li>Updated the 2.2.x and all other IPCHAINS sections to notify
users of the IPCHAINS fragmentation bug.</li>
<li>Updated all the URLs point at Lee Nevo's old IP Masq
Applications page to Seg's new page.</li>
</ul>
<p>Changes from 1.76 to 1.77 - 7/26/99</p>
<ul>
<li>Fixed a typo in the Port fowarding section that used "ipmasqadm
ipportfw -C" instead of "ipmasqadm portfw -f"</li>
</ul>
<p>Changes from 1.75 to 1.76 - 7/19/99</p>
<ul>
<li>Updated the "ipfwadm: setsockopt failed: Protocol not
available" message in the FAQ to be more clear instead of making
the user hunt for the answer in the Forwarders section.</li>
<li>Fixed incorrect syntax in section 6.7 for IPMASQADM and
"portfw"</li>
</ul>
<p>Changes from 1.72 to 1.75 - 6/19/99</p>
<ul>
<li>Fixed the quake module port setup order for the weak IPFWADM
& IPCHAINS ruleset and the strong IPFWADM ruleset as well.</li>
<li>Added a user report about port forwarding ICQ 4000 directly in
and using ICQ's default settings WITHOUT enabling the "Non-Sock"
proxy setup.</li>
<li>Updated the URLs for the IPMASQADM tool</li>
<li>Added references to Taro Fukunaga, tarozax@earthlink.net for
his MkLinux port of the HOWTO</li>
<li>Updated the blurb about Sonny Parlin's FWCONFIG tool to note
new IPCHAINS support</li>
<li>Noted that Fred Vile's patch for portfw'ed FTP access is ONLY
available for the 2.0.x kernels</li>
<li>Updated the 2.2.x kernel step with a few clarifications on the
Experiemental tag</li>
<li>Added Glen Lamb's name to the credits for the LooseUDP
patch</li>
<li>Added a clarification on installing the LooseUDP patch that it
should use "cat" for non-compressed patches.</li>
<li>Fixed a typo in the IPAUTO FAQ section</li>
<li>I had the DHCP client port numbers reversed for the IPFWADM and
IPCHAINS rulesets. The order I had was if your Linux server was a
DHCP SERVER.</li>
<li>Added explicit /sbin path to all weak and strong ruleset
examples.</li>
<li>Made some clarifications in the strong IPFWADM section
regarding Dynamic IP addresses for PPP and DHCP users. I also noted
that the strong rulesets should be re-run when PPP comes up or when
a DHCP lease is renewed.</li>
<li>Added reference in the 2.2.x requirements, updated the ICQ FAQ
section, and added Andrew Deryabin to credits section for his ICQ
MASQ module.</li>
<li>Added some clarifcation in the FAQ section why the 2.1.x and
2.2.x kernels went to IPCHAINS.</li>
<li>Added a little FAQ section on Microsoft File/Print/Domain
services (Samba) through a MASQ server. I also added a URL to a
Microsoft Knowledge base document pour de plus amples
détails.</li>
<li>Added clarification in the FAQ section that NON Debian
distribution supports IP masq out of the box.</li>
<li>Updated the supported MASQ distributions in the FAQ
section.</li>
<li>Added to the Aliased NIC section of the FAQ that you CANNOT
masq out of an aliased interface.</li>
<li>Wow.. never caught this before but the "ppp-ip" variable in the
strong ruleset section is an invalid variable name! It has been
renamed to "ppp_ip"</li>
<li>In both the IPFWADM and IPCHAINS simple ruleset setup areas, I
had a commented out section on enabling DHCP traffic. Problem is,
it was below the final reject line! Doh! I moved both up a
section.</li>
<li>In the simple IPCHAINS setup, the #ed out line for DHCP users,
I was using the IPFWADM "-W" command instead of IPCHAINS's "-i"
parameter.</li>
<li>Added a little blurb to the Forwarders section the resolution
to the famous "ipfwadm: setsockopt failed: Protocol not available"
error. This also includes a little /proc test to let people confirm
if IPPORTFW is enabled in the kernel. I also added this error to a
FAQ section for simple searching.</li>
<li>Added a Strong IPCHAINS ruleset to the HOWTO</li>
<li>Added a FAQ section explaining the "kernel:
ip_masq_new(proto=UDP): no free ports." error.</li>
<li>Added an example of scripting IPMASQADM PORTFW rules</li>
<li>Updated a few of the Linux Documentation Project (LDP)
URLs</li>
<li>Added Quake III support in the module loading sections of all
the rc.firewall rulesets.</li>
<li>Fixed the IPMASQADM forwards for ICQ</li>
</ul>
</li>
<li>1.72 - 4/14/99 - Dranch: Added a large list of Windows
NAT/Proxy alternatives with rough pricing and URLs to the FAQ.</li>
<li>1.71 - 4/13/99 - Dranch: Added IPCHAINS setups for multiple
internal MASQed networks. Changed the ICQ setup to use ICQ's
default 60 second timeout and change IPFWADM/IPCHAINS timeout to
160 seconds. Updated the MASQ and MASQ-DEV email list and archive
subscription instructions.</li>
<li>1.70 - 3/30/99 - Dranch: Added two new FAQ sections that cover
SMTP/POP-3 timeout problems and how to masquerade multiple internal
networks out different external IP addresses with IPROUTE2.</li>
<li>1.65 - 3/29/99 - Dranch: Typo fixes, clarifications of required
2.2.x kernel options, added dynamic PPP IP address support to the
strong firewall section, additional quake II module ports, noted
that the LooseUDP patch is built into later 2.2.x kernels and its
from Glenn Lamb and not Dan Kegel, added more game info in the
compatibility section.</li>
<li>1.62 - Dranch: Make the final first-draft changes to the doc
and now announce it the the MASQ email list.</li>
<li>1.61 - Dranch: Make editorial changes, cleaned things up and
fixed some errors in the Windows95 and NT setups.</li>
<li>1.58 - Dranch: Addition of the port forwarding sections;
LooseUDP setup; Ident servers for IRC users, how to read firewall
logs, deleted the CuSeeme Mini-HOWTO since it is rarely used.</li>
<li>1.55 - Dranch: Complete overhaul, feature and FAQ addition, and
editing sweep of the v1.50 HOWTO. Completed the 2.2.x kernel and
IPCHAINS configurations. Did a conversion from IPAUTOFW to IPPORTFW
for the examples that applied. Added many URLs to various other
documentation and utility sites. There are so many changes.. I hope
everyone likes it. Final publishing of this new rev of the HOWTO to
the LDP project won't happen until the doc is looked over and
approved by the IP MASQ email list (then v2.00).</li>
<li>1.50 - Ambrose: A serious update to the HOWTO and the initial
addition of the 2.2.0 and IPCHAINS configurations.</li>
<li>1.20 - Ambrose: One of the more recent HOWTO versions that
solely dealt with < 2.0.x kernels and IPFWADM.</li>
</ul>
</body>
</html>
|