[FRsAG] nftables / gateway

[Jacques MICHAU]

Hopla les admins,

Fraichement passé de iptables à nftables sur un tas de debian stable (je
suis en retard pour la migration -> nftables), j'en ai une seule qui
fait passerelle et que je viens juste de migrer.

Je fais mes rÚgles etc et là le drame, les machines NATtées derriÚre la
passerelle ne peuvent pas sortir, et les dnat de ports de l'extérieur
vers le LAN ne passent pas non plus.

Ca ne semble pas être les rÚgles nft, elles semblent raisonnables même
si mon expérience en nftables est limitée.

Je regarde les autres pistes qui bloqueraient l'ip forwarding et
pourtant tout me semble bon :

* /proc/sys/net/ipv4/ip_forward qui vaut 1
* net.ipv4.ip_forward=1 dans /etc/sysctl.conf + sysctl -p /etc/sysctl.conf
* si c'est systemd qui fait suer, j'ai tenté comme vu dans des docs un
fichier /etc/systemd/netword/eth1.network (eth1 étant mon lan, eth0
mon l'interface publique) et contenant
o [Match]
Name=eth1

[Network]
IPForward=ipv4   # j'ai tenté yes car pas sur de savoir si  ça a
évolué de "ipv4" en "yes"

Une autre idée, un retour d'expérience ? Les manips ci-dessus sont tout
ce que je trouve de solutions temporaires ou définitives, en théorie,
pour activer le forwarding.

Détail : avant j'étais en iptables mais géré par shorewall ; depuis j'ai
viré le pkg shorewall, iptables aussi et rebooté au cas où il traine un
truc moisi.

Je fais des tcpdump de ports qui doivent être forwardé sur mon LAN, je
vois bien des demandes entrer puis rien qui traverse.

thx

[Wallace]

Salut,

Tu fais tes rÚgles en direct ou tu passes par un wrapper?

Déjà bravo pour cette transition car à part quand on fait à la main, la
plupart des wrappers ne gÚrent pas encore nftables ou n'ont pas été
publié à temps dans les distros concernées.

On a bien essayé mais on a préféré rester sur iptables aprÚs avoir fait
face à pas mal de soucis notamment avec les vrf.

On refera un test sur Debian 11 et la prochaine Ubuntu LTS.

Post by Jacques MICHAU
Hopla les admins,
Fraichement passé de iptables à nftables sur un tas de debian stable
(je suis en retard pour la migration -> nftables), j'en ai une seule
qui fait passerelle et que je viens juste de migrer.
Je fais mes rÚgles etc et là le drame, les machines NATtées derriÚre
la passerelle ne peuvent pas sortir, et les dnat de ports de
l'extérieur vers le LAN ne passent pas non plus.
Ca ne semble pas être les rÚgles nft, elles semblent raisonnables même
si mon expérience en nftables est limitée.
Je regarde les autres pistes qui bloqueraient l'ip forwarding et
* /proc/sys/net/ipv4/ip_forward qui vaut 1
* net.ipv4.ip_forward=1 dans /etc/sysctl.conf + sysctl -p
/etc/sysctl.conf
* si c'est systemd qui fait suer, j'ai tenté comme vu dans des docs
un fichier /etc/systemd/netword/eth1.network (eth1 étant mon lan,
eth0 mon l'interface publique) et contenant
o [Match]
Name=eth1
[Network]
IPForward=ipv4   # j'ai tenté yes car pas sur de savoir si ça
a évolué de "ipv4" en "yes"
Une autre idée, un retour d'expérience ? Les manips ci-dessus sont
tout ce que je trouve de solutions temporaires ou définitives, en
théorie, pour activer le forwarding.
Détail : avant j'étais en iptables mais géré par shorewall ; depuis
j'ai viré le pkg shorewall, iptables aussi et rebooté au cas où il
traine un truc moisi.
Je fais des tcpdump de ports qui doivent être forwardé sur mon LAN, je
vois bien des demandes entrer puis rien qui traverse.
thx
--
Jacques
_______________________________________________
Liste de diffusion du FRsAG
http://www.frsag.org/

[Jacques MICHAU]

Salut,

Je voulais pas spammer en balançant un fichier de conf à rallonge ;
certains m'ont répondu en direct, j'ai donné ma conf ; ce week-end j'ai
pas trop le temps de tester les retours mais je vais le faire.

Et comme je pensais que c'était peut-être une bidouille systemd rapport
au forwarding que j'aurais pu louper, en trainant une conf depuis 4 ou 5
releases debian a base de shorewall/iptables qui fait une bonne partie
du boulot toute seule, je voulais déjà jauger si certains avaient un
retour direct style "pareil on a été embêté j'ai activé tel truc et
zou". Bref là je vais creuser les réponses qu'on m'a faites. Si tu veux
je t'envoie la conf no souci.

Bonne fin de we à tout(e)s, je répondrai à tous ceux qui m'ont écrit, je
manque juste globalement pas mal de temps.

A+

Jacques

Post by Wallace
Salut,

Je fais mes règles etc et là le drame, les machines NATtées derrière
la passerelle ne peuvent pas sortir, et les dnat de ports de
l'extérieur vers le LAN ne passent pas non plus.

Je ne vois pas bien comment on peut t'aider si tu ne mets pas les règles
que tu as actuellement en place sur ton bastion ou au moins un extrait
de ces règles.
En tout cas, si cela peut te rassurer, j'ai une config similaire qui
marche parfaitement bien.

_______________________________________________
Liste de diffusion du FRsAG
http://www.frsag.org/