Plus d'acces serveur

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Plus d'acces serveur

cocolabombe0

Bonsoir, j'ai eu un problème avec teamspeak. Je n'ai plus eu du tout d'accès.
Ni moi, ni une autre personne.
J'ai regardé un peu sur internet et vu des commandes à exécuter. Je les ai fais sans effet.
J'ai changé le port dans le fichier de config suivi d'un service teamspeak restart.
Pas de changement.
J'ai essayé de faire un service iptable stop et sans effet non plus.
Je fais un reboot et là, c'est la catastrophe.
Je n'ai plus d'accès.
J'ai bien un accès en mode rescue (online) et en root mais je ne vois pas les commandes que je peux faire pour rétablir sur mon accès normal

J'ai essayé les accès à jail.local, portsentry.ignore... mais il n'y a rien a affiché.

J'ai monté mes partitions puis ouvert le fichier rules.v4 suivant let tuto online sur son site mais je ne comprend pas bien ou cela bloque.

# Generated by iptables-save v1.4.21 on Fri Jun 10 13:48:15 2016
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.2/32 -d 172.17.0.2/32 -p tcp -m tcp --dport 9117 -j MASQUERADE
-A POSTROUTING -s 172.17.0.3/32 -d 172.17.0.3/32 -p tcp -m tcp --dport 8081 -j MASQUERADE
-A POSTROUTING -s 172.17.0.4/32 -d 172.17.0.4/32 -p tcp -m tcp --dport 5050 -j MASQUERADE
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 5000 -j DNAT --to-destination 172.17.0.2:9117
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 172.17.0.3:8081
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 5050 -j DNAT --to-destination 172.17.0.4:5050
COMMIT
# Completed on Fri Jun 10 13:48:15 2016
# Generated by iptables-save v1.4.21 on Fri Jun 10 13:48:15 2016
*filter
:INPUT ACCEPT [1170684:147248643]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1087157:2107153614]
:DOCKER - [0:0]
:DOCKER-ISOLATION - [0:0]
:fail2ban-ssh - [0:0]
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A FORWARD -j DOCKER-ISOLATION
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 9117 -j ACCEPT
-A DOCKER -d 172.17.0.3/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 8081 -j ACCEPT
-A DOCKER -d 172.17.0.4/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 5050 -j ACCEPT
-A DOCKER-ISOLATION -j RETURN
-A fail2ban-ssh -j RETURN
COMMIT
# Completed on Fri Jun 10 13:48:15 2016

Est ce que c'est -A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh vu que le port que j'utilise n'est pas le port 22?

Cordialement Nicolas.

cocolabombe0

Bonjour, des personnes à quelques commande que je peux essayer pour ravoir accès?
Du genre, autoriser tous les ports, désactiver ou de bannir tout ce qui a été bloqué avec le mode rescue.
Nicolas.

Salimeche

Salut,

Arrives-tu à pinger le serveur ?

cocolabombe0

Non je n'arrive pas à faire un ping sur le serveur.
Mais je pense qu'il y a quelques chose qui fonctionne car je reçoit les mails pour dire que les fail2ban fonctionnent.

Salimeche

Essaye de suivre les conseils de nami007.

cocolabombe0

La plupart des commande ne fonctionneront pas je pense car je suis en mode rescue et je pense qu'ils seront lancé en mode rescue si je les lance.
J'ai regardé dans le host.deny et dans le portsentry mais j'ai rien vu.

Pourtant c'est les deux seuls que j'ai installer.

La différence c'est que sur n'importe quelle iP je n'accepte pas à mon serveur.
Patmr exemple en Http je n'accède pas depuis mon forfait téléphone ni depuis chez moi.

Aerya

Vire tes règles IPtables justement et reboot en mode normal. Pour exécuter des commandes sur "ta" partition en mode rescue il faut te chrooter dessus.
Cf mon tutoriel IPtables si tu veux y voir plus clair.

cocolabombe0

Je ne sais pas si c'est la bonne méthode.

chroot /mnt/md124
/bin/bash
update-rc.d -f fail2ban remove

Mon fichier pour démarrer fail2ban est /mnt/md124/etc/init.d/fail2ban.
Si je fais cela cela va bien bloqué le démarrage de mon fail2ban?

Je n'ai pas vu de script en place pour les règles.

Je dois peut être rajouter un .sh pour les règles.

Je peux utiliser ça?

#!/bin/sh
### BEGIN INIT INFO
# Provides: vpn.7.yourserver.tor
# Required-Start: $remote_fs $syslog $network
# Required-Stop: $remote_fs $syslog $network
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Description: vpn.7.yourserver.tor
### END INIT INFO

# Remettre les regles IPtables a 0
iptables -F
iptables -X

# Autoriser le routage IPv4
echo "1" > /proc/sys/net/ipv4/ip_forward

# Autoriser tout trafic sortant
iptables -P OUTPUT ACCEPT

# Autoriser le trafic existant
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# SSH In
iptables -t filter -A INPUT -p tcp --dport 22xxx -j ACCEPT

# SSH Out
iptables -t filter -A OUTPUT -p tcp --dport 22xxx -j ACCEPT

# FTP Out
iptables -t filter -A OUTPUT -p tcp --dport 20:21 -j ACCEPT

# FTP In
modprobe ip_conntrack_ftp # ligne facultative avec les serveurs OVH
iptables -t filter -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


# Sauvegarder les regles pour qu elles soient chargees si reboot
iptables-save -c > /etc/iptables-save

C'est bon? Ou je dois aussi remplacer des choses? La fin, c'est bien /etc/iptables-save ou /mnt/md124/etc/iptables-save?
puis faire

chmod +x /mnt/md124/firewall.sh
bash /mnt/md124/firewall.sh

Aerya

Tes règles IPtables sont dans rules.v4 et rules.v6 (pour IPv4 et IPv6). Oui ce script IPtables est une base en effet mais là je pense que le plus simple est de virer justement toute règle IPtables afin de repartir de 0.

Pour Fail2ban aucune idée de comment il a été installé mais je dirais plutôt update-rc.d fail2ban disable pour le faire sauter au boot. Regarde aussi dans /etc/default, il devrait y être. Tu peux alors l'éditer/le retirer.

Pour te chrooter sur une partition c'est la bonne commande.

cocolabombe0

Pour remettre à zéro mon rules.v4, je copie le rules.v6 en gros.
J'ai mis aussi le fail2ban de default.

#nano /mnt/md124/etc/iptables/rules.v4
# Generated by iptables-save v1.4.21 on Fri Jun 10 13:48:15 2016
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.2/32 -d 172.17.0.2/32 -p tcp -m tcp --dport 9117 -j MASQUERADE
-A POSTROUTING -s 172.17.0.3/32 -d 172.17.0.3/32 -p tcp -m tcp --dport 8081 -j MASQUERADE
-A POSTROUTING -s 172.17.0.4/32 -d 172.17.0.4/32 -p tcp -m tcp --dport 5050 -j MASQUERADE
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 5000 -j DNAT --to-destination 172.17.0.2:9117
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 8080 -j DNAT --to-destination 172.17.0.3:8081
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 5050 -j DNAT --to-destination 172.17.0.4:5050
COMMIT
# Completed on Fri Jun 10 13:48:15 2016
# Generated by iptables-save v1.4.21 on Fri Jun 10 13:48:15 2016
*filter
:INPUT ACCEPT [1170684:147248643]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1087157:2107153614]
:DOCKER - [0:0]
:DOCKER-ISOLATION - [0:0]
:fail2ban-ssh - [0:0]
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A FORWARD -j DOCKER-ISOLATION
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 9117 -j ACCEPT
-A DOCKER -d 172.17.0.3/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 8081 -j ACCEPT
-A DOCKER -d 172.17.0.4/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 5050 -j ACCEPT
-A DOCKER-ISOLATION -j RETURN
-A fail2ban-ssh -j RETURN
COMMIT
# Completed on Fri Jun 10 13:48:15 2016

#nano /mnt/md124/etc/iptables/rules.v6
# Generated by ip6tables-save v1.4.21 on Fri Jun 10 13:08:07 2016
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
# Completed on Fri Jun 10 13:08:07 2016

nano /mnt/md124/etc/default/fail2ban
# This file is part of Fail2Ban.
#
# Fail2Ban is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; either version 2 of the License, or
# (at your option) any later version.
#
# Fail2Ban is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License
# along with Fail2Ban; if not, write to the Free Software
# Foundation, Inc., 59 Temple Place, Suite 330, Boston, MA  02111-1307  USA
#
# Author: Cyril Jaquier
#
# $Revision$

# Command line options for Fail2Ban. Refer to "fail2ban-client -h" for
# valid options.
FAIL2BAN_OPTS=""

# Run fail2ban as a different user. If not set, fail2ban
# will run as root.
#
# The user is not created automatically.
# The user can be created e.g. with
#    useradd --system --no-create-home --home-dir / --groups adm fail2ban
# Log files are readable by group adm by default. Adding the fail2ban
# user to this group allows it to read the logfiles.
#
# Another manual step that needs to be taken is to allow write access
# for fail2ban user to fail2ban log files. The /etc/init.d/fail2ban
# script will change the ownership when starting fail2ban. Logrotate
# needs to be configured separately, see /etc/logrotate.d/fail2ban.
#
# FAIL2BAN_USER="fail2ban"