Distribution EOLE » Outils Eole » ERA

Bonjour,

Nous souhaitons faire une redirection sélective. Dans une zone peda-ext dont le flux est "interdit par défaut", voici les règles que nous avons écrit, via l'era:

            <descendantes default_policy="0">
                <directive service="tous" priority="1" action="16" attrs="0" nat_extr="exterieur_bastion" nat_port="0" src_inv="0" dest_inv="0" serv_inv="0" libelle="pas de description" >
                    <source name="pedago_net"/>
                    <destination name="exterieur"/>
                </directive>
                <directive service="bcdi" priority="1" action="2" attrs="0" src_inv="0" dest_inv="0" serv_inv="0" libelle="pas de description" >
                    <source name="pedago_net"/>
                    <destination name="tout_exterieur"/>
                </directive>
                <directive service="tous" priority="2" action="2" attrs="4" src_inv="0" dest_inv="0" serv_inv="0" libelle="pas de description" >
                    <source name="pedago_net"/>
                    <destination name="cour"/>
                </directive>
                <directive service="http" priority="4" action="4" attrs="0" nat_port="3128" src_inv="0" dest_inv="1" serv_inv="0" libelle="pas de description" >
                    <source name="servSe3"/>
                    <destination name="cour"/>
                </directive>
            </descendantes>

C'est la dernière régle qui nous intéresse.

Et voici les règles iptables que nous obtenons:

/sbin/iptables -t nat -A POSTROUTING -o %%interface_gw -s %%adresse_network_eth2/%%adresse_netmask_eth2 -d 0/0 -j SNAT --to-source %%adresse_ip_eth0
/sbin/iptables -t filter -A ped-ext -m state --state NEW -p tcp --dport 9014 --tcp-flags SYN,RST,ACK SYN -i eth2 -o %%interface_gw -s %%adresse_network_eth2/%%adresse_netmask_eth2 -d 0.0.0.0/0.0.0.0 -j ACCEPT
/sbin/iptables -t filter -A ped-ext -m state --state NEW -i eth2 -o %%interface_gw -s %%adresse_network_eth2/%%adresse_netmask_eth2 -d %%adresse_ip_eth3/%%adresse_netmask_eth3 -j ULOG --ulog-prefix "era ped-ext" 
/sbin/iptables -t filter -A ped-ext -m state --state NEW -i eth2 -o %%interface_gw -s %%adresse_network_eth2/%%adresse_netmask_eth2 -d %%adresse_ip_eth3/%%adresse_netmask_eth3 -j ACCEPT
/sbin/iptables -t filter -A ped-bas -i eth2 -p tcp --dport 3128 -j ACCEPT
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 80 --tcp-flags SYN,RST,ACK SYN -i eth2 -s %%ip_servSe3/255.255.255.255 -d ! %%adresse_ip_eth3/%%adresse_netmask_eth3 -j REDIRECT --to-ports 3128

Comme on le voit, une règle d'autorisation d'accès au service 3128 sur le bastion est faite par défaut. Problème, ce n'est pas ce qui est demandé. on le demande pour servSe3, pas pour toute la zone pedago.

Cordialement,