Mise à jour iptable

[grabeul78]

Bonsoir,

J'ai suivis le tuto de Grand'Pa (un grand merci au passage pour son site plus que très utile !) afin de bloquer de façon permanente des adresses ip extérieur via un fichier /etc/masq_DropListOfIP.
Jusque là, tout fonctionne bien !
Lorsque je modifie le fichier, je lance le "signal-event remoteaccess-update" pour la mise à jour.
Mon seul petit problème : en faisant cela, iptable rajoute en plus de ce qu'il a déjà les ip contenus dans le fichier.
Après une mise à jour, on se retrouve donc avec les premières adresse ip (celles avant la mise à jour) en double.
Pour remettre tout en ordre, je dois faire un : signal-event post-upgrade; signal-event reboot et là, plus de doublon...
Le serveur n'étant pas sous W*****S, je pense qu'il doit avoir un moyen de faire cela plus "proprement".
Si quelqu'un a une astuce...

Cordialement

[unnilennium]

effectivement le How to de rgand pa n'es tpas optimisé de ce coté là.

Il assume que masq flush tout iptable quand un signal-event remoteaccess-update est fait, mais ce n'est pas le cas.
Il faut que chaque règle prévois de supprimer son ancien petit avant d'ajouter le nouveau .
regarde les autres regles dans etc/e-smith/templates/etc/rc.d/init.d/masq/ vers le 91 .... il y'a un replace, un flush et un insert et il ya une detection du numero de regle deja present pour le replace ou flush.

donc c'est a améliorer ou a defaut faire un petit script qui les efface avant de lancer le signal event

JP

[unnilennium]

de mon coté sans être un expert de iptables je tenterais de remplacer la ligne :
$OUT .= " /sbin/iptables -I INPUT -i \$OUTERIF -s $ipaddress -j DROP\n";

par deux lignes dans cet ordre

$OUT .= " /sbin/iptables --delete INPUT -i \$OUTERIF -s $ipaddress -j DROP\n";
$OUT .= " /sbin/iptables -I INPUT -i \$OUTERIF -s $ipaddress -j DROP\n";


Il y'a des chances que tu es une erreur qui te revienne soit sur la console soit dans /var/log/message t'indiquant que la regle pour l'ip que tu as rajouté n'existe pas et que par conséquent il peut pas la supprimer ... a verifier.


apres on peut améliorer en faisant une vérification si la ligne existe et ne la rajouter que si elle n'existe pas

en bash je ferais : /sbin/iptables -L INPUT|grep $ipaddress |grep "DROP" et si ca me retourne quelque chose je fais rien , si ca me retourne rien j'ajoute la règle.

voila l'esprit , maintenant reste à adapter sous perl

après on peut encore améliorer ...
je me suis rendu compte que mon ip n'est pas à banir .... je veux que cela soit supprimé si je la supprime du fichier ....
arrivé la je pense qu'on gagne du temps a créer une nouvelle chaine Banned_IP si elle n'existe pas, et flusher le contenu, puis créer les nouvelles regles dedans plutot que de $%#&! le bordel dans INPUT

le troll est lancé

JP