Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Problème de configuration pare-feu

Skyroots

Bonjour à tous,
Je reprends la conversation. J'ai un problème de configuration de mon pare-feu concernant thunderbird.
En effet, si je ne mets pas de pare-feu, thunderbird marche bien, mais avec mon pare-feu, ça ne marche pas. (tout le reste semble bien fonctionner, internet, etc)

Pour le pare-feu, au lancement du pc un script shell se lance avec notamment ce qui suit:

##### THUNDERBIRD:

# Serveur MAIL SMTP:25
iptables -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT

# Serveur MAIL POP3:110
iptables -t filter -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 110 -j ACCEPT

# Serveur MAIL IMAP:143
iptables -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT

Avez-vous une idée pour résoudre le problème ?

Merci à tous !

nam1962

Euhh.. vous avez fumé ?
Des paramétrages de port sur un ordi perso GNU/Linux ??

Côté sécurité (ou plutôt confort), pour un particulier il y a deux trois outils.

Pour voir ceux à installer, voici les infos à donner :

grep -oP '},"name":"\K[^"]+' ~/.mozilla/firefox/*.*default*/addons.json
grep -oP '},"name":"\K[^"]*' ~/.thunderbird/*.default*/addons.json

Skyroots

Merci pour votre réponse... ça fait bien longtemps que je ne fume plus que des cigarettes :lol:
Plus sérieusement je ne comprends pas votre message...
J'ai essayé d'inclure les deux commandes grep dans le script mais ça ne fonctionne toujours pas.

xubu1957

@Skyroots

nam1962 veut vérifier les extensions présentes, tu donne les réponses, en te servant du Retour utilisable de commande.

bruno

Skyroots a écrit En effet, si je ne mets pas de pare-feu, thunderbird marche bien, mais avec mon pare-feu, ça ne marche pas. (tout le reste semble bien fonctionner, internet, etc)

Ne mets donc pas de pare-feu. Cela ne sert strictement à rien.

Skyroots a écrit Pour le pare-feu, au lancement du pc un script shell se lance avec notamment ce qui suit:

##### THUNDERBIRD:

# Serveur MAIL SMTP:25
iptables -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT

# Serveur MAIL POP3:110
iptables -t filter -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 110 -j ACCEPT

# Serveur MAIL IMAP:143
iptables -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT

Ta machine héberge un serveur de courriel complet : SMTP, POP et IMAP, pour avoir besoin d'autoriser les connexions entrantes sur leur port respectifs ?
Tu es sûr que tes comptes de courriels ne son pas configurés pour utiliser des protocoles sécurisés avec TLS (SMTPS, IMAPS, POP3s) ?
Non seulement le pare-feu ne sert à rien, mais il vaut bien mieux ne pas en avoir qu'en avoir un mal configuré…

Pending...

Perso, j'active UFW par principe, mais effectivement, je sais que sur ma configuration de bureau, c'est pas d'une grande utilité.

Si tu y tiens absolument, je crois qu'il y a un log. tu peux jeter un œil dessus pour voir ce qu'il bloque de Thunderbird et ajouter les règles en conséquences.

nam1962

Pour comprendre : https://www.maccagnoni.eu/post/2016-01-le-pare-feu-appliqu%C3%A9-%C3%A0-la-maison/ (et au passage on comprend pourquoi c'est inutile derrière une box)
Quand on est à l'extérieur, là aussi c'est inutile, mieux vaut utiliser un VPN (on a souvent un VPN sans le savoir, par exemple toute freebox a un VPN intégré)

Skyroots

Merci pour vos messages. Je ne m'y connais pas mais en lisant cela par exemple il semble conseillé d'avoir un pare-feu: https://doc.ubuntu-fr.org/pare-feu
"À la maison: Les deux cas dépeignent les configurations des utilisateurs. Dans ces deux cas, avoir un pare-feu reste conseillé."

@nam1962 et @xubu1957:

grep -oP '},"name":"\K[^"]+' ~/.mozilla/firefox/*.*default*/addons.json
English (GB) Language Pack
Français Language Pack
English (South African) Language Pack
English (CA) Language Pack

grep -oP '},"name":"\K[^"]*' ~/.thunderbird/*.default*/addons.json
English (GB) Language Pack (Thunderbird)
Français Language Pack (Thunderbird)

@bruno: je ne suis pas capable de répondre à ta question désolé
@Pending...: non plus

J'avoue ne pas m'y connaître mais il semble que les bons ports ne sont pas ouverts ? Comment ouvrir les ports requis pour thunderbird via mon script de lancement ?

Merci à vous tous.

nam1962

Le mieux, comme on t'a dit est de virer totalement ce script.
Par contre tu peux protéger ton Firefox en ajoutant :

ublock origin
decentraleyes
privacy badger

(tu devras parfois les désactiver pour des sites légitimes, car ils bloquent beaucoup)

cookie autodelete
facebook container

Et si tu ouvres beaucoup d'onglets :
autotab discard

Pour la sécurité des mails, regarde ce tuto

[supprimé]

Saltu skyroots.

Je vais être radical mais dans ton cas, définir des règles iptables et un pare-feu sont carrément inutiles. Tu t'embêtes pour vraiment pas grand chose.
Effectivement ton poste va écouter les ports 25, 110 et 143, mais aussi il va écouter les ports 80 et 443. Les requêtes partent de ton PC mais ne vont pas vers ton PC, dans tous ces cas si tu es derrière une Box, comme tu es configuré en NAT, ton poste est invisible d'internet. Tu confirmeras que tu n'as pas de service HTTP ou IMAP sur ton poste.

Par contre, le port 110 correspond à POP, plus aucun serveur de messagerie n'utilise POP. Tu devrais configurer TB en IMAP !

bruno

rogn... a écritEffectivement ton poste va écouter les ports 25, 110 et 143, mais aussi il va écouter les ports 80 et 443.

Son poste est en écoute sur ces ports uniquement s'il héberge des serveur SMTP, POP, IMAP, HHTP(S). Ce qui n'est très certainement pas le cas.

rogn... a écritPar contre, le port 110 correspond à POP, plus aucun serveur de messagerie n'utilise POP. Tu devrais configurer TB en IMAP !

La très grande majorité des serveurs de courriel sont accessibles en POP et en IMAP. Par contre il est conseillé d'utiliser, lorsque c'est possible, leurs équivalents chiffrés : POP3S ou IMAPS.

[supprimé]

bruno a écritSon poste est en écoute sur ces ports uniquement s'il héberge des serveur SMTP, POP, IMAP, HHTP(S). Ce qui n'est très certainement pas le cas.

La communication vers les serveurs est aussi l'objet d'écoute des ports sur les machines clients, sinon pas de transfert IP, mais bon, je ne vais pas débattre sur les définitions, ça va vite être fatiguant.

bruno a écritLa très grande majorité des serveurs de courriel sont accessibles en POP et en IMAP

Pas sûr... J'ai du configurer Gmall pour que a messagerie soit accessible depuis IMAP, Outlook utilise de préférence l'Exchange Active Sync qui n'a rien à voir ni avec POP ni IMAP... l'un ou l'autre protocole est de moins en moins utilisé parce que l'on préfère le webmail au client mail.
Fin bref, IMAP a été mis en place pour ne pas télécharger les messages du serveur, mais les laisser sur le serveur.

bruno

rogn... a écrit
bruno a écritSon poste est en écoute sur ces ports uniquement s'il héberge des serveur SMTP, POP, IMAP, HHTP(S). Ce qui n'est très certainement pas le cas.
La communication vers les serveurs est aussi l'objet d'écoute des ports sur les machines clients, sinon pas de transfert IP, mais bon, je ne vais pas débattre sur les définitions, ça va vite être fatiguant.

Non. Le client ne se met en écoute, sur un port aléatoire non privilégié, que lorsqu'il a établi une communication avec le serveur.

Sur une installation de base d'une station de travail aucun service n'est en écoute vers l'extérieur (il peut y en avoir certains en écoute sur l'interface de bouclage). Ce qui rend particulièrement absurde l'utilisation d'un pare-feu.

--
[HS]Les services gmail et outlook sont parfaitement accessibles en IMAP et en POP. Les webmails utilisent pour la plupart IMAP. POP permet de conserver une copie des messages sur le serveur.[/HS]

jean-luc5629

Bonsoir,

Essayer de prouver à une personne que le Pare-feu, Chkrootkit, Rkhunter,...ne servent à rien dans son cas ; c'est un peu comme prouver à un malade atteint d'hypocondrie qu'il n'est pas malade ; par la porte ou par la fenêtre, il se retrouvera une autre maladie.
😛

Skyroots

Je vous crois, je n'y connais rien. Le pare-feu est complètement inutile pour un pc perso. Je vais donc l'enlever. Mais alors cela contre-dit ce qui est expliqué sur cette page https://doc.ubuntu-fr.org/pare-feu et alors il faudrait la modifier.

@nam1962: merci bien, je viens d'installer les extensions de Firefox comme suggéré. J'ai aussi lu le tuto sur la sécurité des mails. C'est très intéressant et je vais suivre les recommandations, mais il n'est pas question de pare-feu si j'ai bien compris.

Désolé d'être un peu lourd, mais me re-confirmez vous que pour la sécurité de mon pc, sachant que je n'ai pas d'antivirus, la sécurisation de Firefox est suffisante ?
Quid des logiciels divers et variés ou jeux vidéos en ligne ?

N'y a-t-il rien à configurer en plus pour sécuriser la messagerie? (à part faire attention aux messages qu'on ouvre, avoir un mot de passe compliqué, avoir un domaine sécurisé, etc) ?

Lorsque j'envoie un message par Thunderbird, pendant le processus d'envoi je vois les messages "connected to smtp-outlook..." puis "connected to imap-outlook...", donc il passe bien par ces ports.
Mais pour moi, SMTP, IMAP, POP, port n°48378, etc, c'est du charrabia :/

Pour info, voici le script que j'avais pris d'un tuto dont je n'ai plus l'adresse:

#!/bin/sh

### BEGIN INIT INFO
# Provides:          rules.v4
# Required-Start:    $remote_fs $syslog $time
# Required-Stop:     $remote_fs $syslog $time
# Should-Start:      $network $named slapd autofs ypbind nscd nslcd winbind
# Should-Stop:       $network $named slapd autofs ypbind nscd nslcd winbind
# Default-Start:     2 3 4 5
# Default-Stop:      0 1 6
# Short-Description: ceci correspond au parametrage perso du parefeu iptables
# Description:       parametrages ipV4
#
#
#
### END INIT INFO


FW_start() {
echo "[Démarrage du pare-feu]"

### EFFACE TOUT LES PARAMETRES
iptables -F
iptables -t filter -F
iptables -t nat -F
iptables -t mangle -F
echo "Vidages [OK]"

### REGLES DE FILTRAGE
# Autoriser le Loopback
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Ne pas casser les connexions déjà établies
iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t filter -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# PING (ICMP)
iptables -t filter -A INPUT -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -j ACCEPT

# SSH
iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 22 -j ACCEPT

# Serveur web (HTTP)
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT

# Serveur web (HTTPS)
iptables -t filter -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 443 -j ACCEPT

# Serveur FTP 
iptables -t filter -A INPUT -p tcp --dport 20:21 -j ACCEPT
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 20:21 -j ACCEPT



# autoriser mails:
iptables -A INPUT -p tcp --dport imap2 -j ACCEPT

# essai pour thunderbird (NE MARCHE PAS):
#iptables -t filter -A INPUT -p tcp --dport 587 -j ACCEPT
#iptables -t filter -A OUTPUT -p tcp --dport 587 -j ACCEPT

#iptables -t filter -A INPUT -p tcp --dport 993 -j ACCEPT
#iptables -t filter -A OUTPUT -p tcp --dport 993 -j ACCEPT

##### THUNDERBIRD:

# Serveur MAIL SMTP:25
iptables -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT

# Serveur MAIL POP3:110
iptables -t filter -A INPUT -p tcp --dport 110 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 110 -j ACCEPT

# Serveur MAIL IMAP:143
iptables -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT


# Serveur MAIL POP3S:995
iptables -t filter -A INPUT -p tcp --dport 995 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 995 -j ACCEPT


# DNS In/Out
iptables -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A INPUT -p udp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT

# NTP
iptables -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT

# Rejeter tout le reste
iptables -A INPUT -j DROP
echo "Filtrages [OK]"


### POLITIQUES
# Trafic entrants bloqués
iptables -P INPUT DROP

# Trafic forwardés bloqués
iptables -P FORWARD DROP

# Trafic sortants bloqués
iptables -P OUTPUT DROP

echo "Politiques [OK]"
}


FW_stop() {
echo "[Arret du pare-feu]"

# Supprime tous les filtres
iptables -F
iptables -t filter -F
iptables -t nat -F
iptables -t mangle -F

# Attribut une politiques "ACCEPT" aux tables
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t filter -P INPUT ACCEPT
iptables -t filter -P FORWARD ACCEPT
iptables -t filter -P OUTPUT ACCEPT

iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT

iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
}


FW_restart() {
FW_stop;
sleep 2;
FW_start;
}


case "$1" in
'start')
FW_start
;;

'stop')
FW_stop
;;

'restart')
FW_restart
;;

'status')
iptables -L
iptables -t nat -L
iptables -t mangle -L
;;

*)
echo "Usage: firewall {start|stop|restart|status}"
;;
esac

patked

bonjour,

skyrooys a écritDésolé d'être un peu lourd, mais me re-confirmez vous que pour la sécurité de mon pc, sachant que je n'ai pas d'antivirus, la sécurisation de Firefox est suffisante ?

Bah, non, je comprends pas du tout que cela ait été dit. Les pirates vont savourer

Hacker en 2019 c'est un job à part entière avec des milliers d'emplois :cool:, Certes, la proba qu'on te pirate est faible, mais en ayant jeté un oeil sur mes log, un jour, je m'étais aperçu que des cocos avec ip chinoises, russe etc faisait des tentative de ssh root sur un de PC exposé sur internet (ce n'est pas ton cas). Probablement pour utiliser mon réseau fibre à gros débit pour leurs besoins. Ce sont des robots bien sur. Bon, j'ai un pc exposé sur internet, pas toi.

Mais je te rassure, tu n'es pas malade, comme j'ai pu malheureusement lire.
Ou alors on est 2. Mais on est plus en fait :/
Effectivement, je vois certains experts qui ont écrit que c'est inutile pour un particulier, je suis loin d'avoir cet avis, comme d'autres experts, surtout en 2019.
J'utilise donc le pare feu linux. ça a de gros avantages que je ne vais pas lister en intégralité, mais par exemple quand qq vient chez moi et que je lui donne l'accès wifi, il n'a pas accès à mes partages (j'ai 3 pc qui eux ont le droit de voir les partages), grace au pare feu linux. De la même manière si qq crack ma clé wifi (facile), il ne va pas pouvoir aussi facilement qu'il pourrait le croire, rentrer sur les pc, accéder aux partages.
Un seul de mes PC est accessible en ssh de l'extérieur (toujours grace au pare feu linux). J'arrête là....

Thunderbird fonctionne bien avec pare feu actif, j'ai ouvert les port SMTP (il y en a d'autre), je te donnerai ma conf si tu le souhaites au moins pour envoi recpt des mails.

sinon l'outil GUFW est parfait pour configurer le pare feu , en mode graphique, avec export sauvegarde de la configuration.

nam1962

@Skyroots : tu as eu assez de réponses, reposer la question une 3e ou 4e fois pourrait laisser penser à une trollade...
Mets plutôt [résolu] dans le titre de ton premier post.

@patked : c'est très amusant de venir mettre une pièce dans le bastringue, sans manifestement avoir lu les réponses, mais il serait mieux que tu t'abstiennes pour éviter le ridicle.
Car a dire "je mets un pare-feu car je me méfie des gens à qui je donne mon mot de passe wifi... " on se demande si tu as toute ta tête à leur donner.
Quand quelqu'un profite de l'accès au net d'un tiers, il y a plus de chances d'avoir des ennuis avec hadopi ou la police...

Et pour les "piratages" de votre *buntu, eh bien si ça existait, on verrait des fils dessus, surtout avec les millions de membres des forums anglo-saxons. Mais non en fait, rien, que dalle !

[supprimé]

patked a écritDe la même manière si qq crack ma clé wifi (facile), il ne va pas pouvoir aussi facilement qu'il pourrait le croire, rentrer sur les pc, accéder aux partages.

Tu fais comment pour crack la clé wifi si c'est si facile ? Je suis impatient de le savoir...

Ah oui, plus personne d'humain n'utilise WEP :rolleyes: .

patked a écritEffectivement, je vois certains experts qui ont écrit que c'est inutile pour un particulier, je suis loin d'avoir cet avis, comme d'autres experts, surtout en 2019.

MDR, le pare-feu c'est un truc que l'on utilisait et configurait en ... 2001 avec Windows XP :lol: :lol:

nam1962

rogn... a écrit(...)
Tu fais comment pour crack la clé wifi si c'est si facile ? Je suis impatient de le savoir...

(...)

..avec de l'expert de ce calibre, je vois une méthode valable en WPA2 : le dictionnaire, à la main

- Password - raté
- 123456 - reraté
- azerty - bingo !

[supprimé]

Ah non, c'est

qwerty - bingo !

:lol:

Page suivante »