<!doctype linuxdoc system>

<article>

<title>Linux IP Masquerade HOWTO (version fran&ccedil;aise)
<author>David Ranch (version orginale),
<tt><htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"></tt>
&nl;
Pejvan AHMAD-BEIGUI (traduction - v1.95-b : le 28 juin 2001),
<tt><htmlurl url="maito:pejvan.ahmad-beigui@ensimag.imag.fr" name="pejvan.ahmad-beigui@ensimag.imag.fr"></tt>
<date>v1.95, November 14, 2000
<abstract>
Ce document d&eacute;crit la mise en application de l'IP Masquerading sur une machine Linux. IP Masq est une forme de Traduction d'Adresse Reseau (Network Address Translation ou NAT en anglais) qui permet &agrave; un ou plusieurs ordinateurs qui ne poss&eacute;dent pas d'adresses IP, de communiquer sur Internet gr&acirc;ce &agrave; l'unique adresse IP d'une machine Linux. Ces ordinateurs &eacute;tant connect&eacute;s de mani&egrave;re interne sur le serveur Linux.
</abstract>

<toc>

<!-- Section 1 -->
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - - - -->

<sect> Introduction
<p>
<sect1> Introduction &agrave; l'IP Masquerading ou IP MASQ en abr&eacute;g&eacute;
<p>

Ce document d&eacute;crit la mise en application de l'IP Masquerading sur une machine Linux. IP Masq est une forme de Traduction d'Adresse Reseau (Network Address Translation ou NAT en anglais) qui permet &agrave; un ou plusieurs ordinateurs, qui ne poss&egrave;dent pas d'adresses IP, de communiquer sur Internet gr&acirc;ce &agrave; l'unique adresse IP d'une machine Linux. Ces ordinateurs &eacute;tant connect&eacute;s de mani&egrave;re interne sur le serveur Linux. Cette connexion peut se faire avec les diff&eacute;rentes techonologies LAN (Local Area Networks ou en fran&ccedil;ais, r&eacute;seaux locaux) tels que Ethernet, TokenRing, FDDI mais aussi par d'autres types de connexions tels que le PPP ou le SLIP. Ce document utilisera Ethernet comme exemple principal puisque c'est le scenario le plus commun.
<p>
<quote>
<em><bf>Ce document se destine aux utilisateurs d'un des deux noyaux stable Linux : 2.0.38+ et 2.2.17+ sur un compatible PC (NDT : j'utilise comme routeur linux un vieux Sparc Classic et ca fonctionne parfaitement). Les noyaux plus anciens tels que 1.2.x, 1.3.x, et 2.1.x NE sont PAS trait&eacute;s dans ce document et, peuvent &ecirc;tre consid&eacute;r&eacute;s comme d&eacute;fectueux pour certaines versions. Nous vous recommandons de faire la mise &agrave; jour vers un des noyaux Linux stables avant d'utiliser l'IP Masquerading. Les nouveaux noyaux 2.3 et 2.4 avec le nouveau code NetFilter ne sont pas encore trait&eacute;s mais les URLs sont fournis ci-dessous. Une fois que les caract&eacute;ristiques de Netfilter seront finalis&eacute;es, le nouveau code sera trait&eacute; dans ce HOWTO.</bf></em>
<p>
<em><bf>Si vous voulez configurer IP Masq sur un Macintosh, contactez par email (en anglais) Taro Fukunaga, <htmlurl url="mailto:tarozax@earthlink.net" name="tarozax@earthlink.net"> pour recevoir une copie de sa version abreg&eacute;e du HOWTO pour MkLinux.</bf></em>
</quote>

<sect1> Avant-Propos, Feedback &amp; Credits
<p>
En tant que nouvel utilisateur, j'ai trouv&eacute; la configuration de l'IP masquerade sous Linux tr&egrave;s d&eacute;routante (noyau 1.2.x &agrave; cette &eacute;poque). Bien qu'il y ait eu une FAQ et une mailing list, il n'avait pas de document dedi&eacute;. Il y avait aussi de la demande sur la mailing list pour un tel HOWTO. J'ai alors decid&eacute; d'&eacute;crire ce HOWTO comme point de d&eacute;part pour les nouveaux utilisateurs et de poser les fondations qui permettraient aux autres utilisateurs de l'&eacute;toffer dans le futur. Si vous avez des suggestions, des corrections, etc. &agrave; nous soumettre au sujet de ce document pour nous permettre de l'am&eacute;liorer, n'hesitez pas. 
<p>
Ce document &eacute;tait bas&eacute; sur la FAQ originale de Ken Eves, et des nombreux messages salutaires de la mailing list de l'IP Masquerade. Je remercie tout particulierement M. Matthew Driver dont le message sur la mailing list m'a inspir&eacute; l'organisation et finalement la r&eacute;daction de ce document. Derni&egrave;rement, David Ranch a r&eacute;&eacute;crit ce HOWTO et a ajout&eacute; un nombre cons&eacute;quent de sections pour le rendre aussi complet que possible.
<p>
Envoyez nous vos feedbacks et commentaires (en anglais) &agrave; <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> et <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net"> si vous avez des corrections &agrave; nous soumettre ou si des information/URLS/etc. manquent. Si vous avez des commentaires sur la traduction de ce document, ou des erreurs/am&eacute;liorations &agrave; signaler, vous pouvez me contacter a : <htmlurl url="mailto:pejvan.ahmad-beigui@ensimag.imag.fr" name="pejvan.ahmad-beigui@ensimag.imag.fr">. Votre aide inestimable va certainement influencer la prochaine version de ce HOWTO !
<p>
<bf>Ce HOWTO est destin&eacute; &agrave; &ecirc;tre aussi complet que possible pour permettre la mise en place de votre r&eacute;seau ipmasquerad&eacute;e aussi rapidement que possible. David n'est pas un r&eacute;dacteur technique professionnel. Vous pourrez donc trouver les informations de ce document pas assez g&eacute;n&eacute;raux et/ou objectifs. Les derni&egrave;res news et infos concernant ce HOWTO et les autres d&eacute;tails sur l'IP MASQ se trouvent &agrave; l'<url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource">, site web que nous mettons &agrave; jour activement. Si vous avez des questions techniques sur l'IP Masquerade, contactez SVP la Mailing List plut&ocirc;t que d'envoyer un email &agrave; David. La plupart des probl&egrave;mes sur l'IP MASQ sont les m&ecirc;mes pour TOUS et peuvent &ecirc;tre facilement r&eacute;solus par quelqu'un sur la Mailing List. De plus, la r&eacute;ponse vous parviendra bien plus rapidement sur la liste que le reply de David.</bf>

<p>
La derni&egrave;re version de ce document se trouve (sous differents formats dont l'HTML et le PostScript) sur les sites suivants
<itemize>
  <item><htmlurl url="http://ipmasq.cjb.net/" name="http://ipmasq.cjb.net/: The IP Masquerade Resources">
  <item><htmlurl url="http://ipmasq2.cjb.net/" name="http://ipmasq2.cjb.net/: The IP Masquerade Resources MIRROR">
  <item><htmlurl url="http://www.linuxdoc.org" name="The Linux Documentation Project">
  <item><htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#ipmasq" name="Dranch's Linux page">
  <item>Vous pouvez aussi consulter l'<url url="http://ipmasq.cjb.net/index.html&num;mirror" name="IP Masquerade Resource Mirror Sites Listing"> pour obtenir la liste de nos sites mirroirs.
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Copyright &amp; D&eacute;sistement
<p>

Ce document est <tt>copyright(c) 2000 David Ranch</tt> pour la version originale et  <tt>copyright(c) 2001 Pejvan AHMAD-BEIGUI</tt> pour la version fran&ccedil;aise et est un document GRATUIT. Vous pouvez le redistribuer suivant les termes de la GNU General Public License. 
<p>
Les informations contenues dans ce document, sont &agrave; notre connaissance, corrects. Cependant, lIP Masquerading de Linux est &eacute;crits par des humains et peut donc contenir des erreurs, bugs, etc.
<p>
Aucune personne, groupe ou autre organisme ne peut etre tenu responsable des dommages caus&eacute;s &agrave; votre (vos) ordinateur(s) ou des pertes dus &agrave; l'utiisations des informations de ce document. i.e :
<p>
<quote>
<bf>LES AUTHEURS ET LES PERSONNES PARTICIPANT AU DEVELOPPEMENT DE CE DOCUMENT NE PEUVENT ETRE TENUS RESPONSABLES DES DOMMAGES CAUSES PAR L'UTILISATION DES INFORMATIONS CONTENUES DANS CE DOCUMENT.</bf> 
</quote>

Ok, avec tout ca derni&egrave;re nous... que le spectacle commence.


<!-- Section 2 -->
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect> Connaissances Pr&eacute;liminaires
<p>

<sect1> Qu'est-ce que l'IP Masquerade?
<p>
L'IP Masquerade est une fonctionnalit&eacute; r&eacute;seau de Linux similaire &agrave; la Translation d'Adresse R&eacute;seau un-vers-plusieurs que l'on trouve dans beaucoup de firewalls et de routeurs commerciaux. Par exemple, si une machine Linux est connect&eacute;e &agrave; Internet via PPP, Ethernet, etc., l'IP Masquerading permet aux ordinateurs "internes" connect&eacute;s &agrave; cette machine Linux (via PPP, Ethernet, etc.) d'acc&eacute;der aussi &agrave; Internet. L'IP Masquerading fonctionne m&ecirc;me si ces machines internes n'ont pas d'<em>adresses IP officielles</em>.
<p>
MASQ permet &agrave; un groupe de machines d'avoir acc&egrave;s &agrave; Internet via la passerelle MASQ de mani&egrave;re <em>transparente</em>. Pour les autres ordinateurs connect&eacute;s &agrave; Internet, tout le traffic g&eacute;n&eacute;r&eacute; va sembler provenir du serveur Linux IP MASQ lui-m&ecirc;me. En plus de ces fonctionnalit&eacute;s, IP Masquerade fournit les bases de la cr&eacute;ation d'un environnement r&eacute;seau de HAUTE s&eacute;curit&eacute;. Avec un firewall bien configur&eacute;, casser la securit&eacute; d'un syst&egrave;me de masquerading et d'un LAN interne bien configur&eacute; devrait &ecirc;tre tr&egrave;s difficile.
<p>
Si vous voulez savoir en quoi MASQ diff&egrave;re des solutions 1:1 NAT and Proxy, reportez vous &agrave; la partie
<ref id="what-is-masq"> de la FAQ.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Situation Actuelle
<p>
IP Masquerade est sorti il y a plusieurs ann&eacute;es maintenant et il est plut&ocirc;t mature depuis les noyaux 2.2.x.
Depuis le noyau 1.3.x, Linux est fourni avec MASQ. Aujourd'hui de nombreuses personnes et entreprises l'utilisent avec d'excellents r&eacute;sultats.  
<p>
Les utilisations courantes du r&eacute;seau tels que la navigation Web, les TELNET, PING, TRACEROUTE, etc. fonctionnent bien avec IP Masquerade. D'autres types de communications, tels que FTP, IRC, et Real Audio fonctionnent bien avec les modules IP MASQ appropri&eacute;s charg&eacute;s en memoire. Certains programmes r&eacute;seaux tels que les streaming audio (MP3s, True Speech, etc.) fonctionnent aussi. Quelques personnes sur la mailing list ont m&ecirc;me r&eacute;ussi &agrave; obtenir de bons r&eacute;sultats avec des logiciels de video conferencing. 
<p>
A noter aussi que faire de l'IP Masquerading avec UNE seule carte r&eacute;seau (NIC) pour MASQuer entre des r&eacute;seaux Ethernet interne et externe N'est PAS recommand&eacute;. Pour plus de d&eacute;tails, reportez vous SVP &agrave; la partie <ref id="aliasing"> de la FAQ.
<p>
Dans tous les cas, reportez vous SVP &agrave; la partie <ref id="Supported Client Software"> pour une liste plus compl&egrave;te des logiciels fonctionnant sous IP MASQ.
<p>
IP Masquerade fonctionne bien comme serveur pour des 'machines clientes' tournant sous diff&eacute;rents syst&egrave;mes d'exploitations (operating sytems ou OS en anglais) et diff&eacute;rents materiels dont :
<p>
<itemize>
<item>Unix:  Sun Solaris, *BSD, Linux, Digital UNIX, etc.
<item>Microsoft Windows 2000, NT (3.x et 4.x), 95/98/ME, Windows for Workgroups (avec le package TCP/IP) 
<item>IBM OS/2
<item>ordinateurs Apple Macintosh sous MacOS avec soit MacTCP soit Open Transport
<item>syst&egrave;mes sous DOS avec les packet drivers et le package NCSA Telnet
<item>VAXen
<item>Compaq/Digital Alpha sous Linux et NT
<item>m&ecirc;me les ordinateurs Amiga avec AmiTCP ou la pile AS225.   
</itemize>
<p>
Cette liste continue encore et toujours mais ce qu'il faut bien comprendre, c'est que si votre OS comprend le TCP/IP, il devrait fonctionner avec l'IP Masquerade !
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Qui Peut Profiter de l'IP Masquerade?
<p>
<itemize>
<item>Si vous avez un serveur Linux connect&eacute; &agrave; Internet 
<item>Si vous avez des ordinateurs connect&eacute;s &agrave; ce serveur dans un sous-r&eacute;seau local et si ces ordinateurs "parlent" le TCP/IP et/ou 
<item>si votre serveur Linux a un ou plusieurs modems et se comporte comme un serveur PPP ou SLP pour connecter d'autres ordinateurs 
<item>ces <bf/AUTRES/ ordinateurs n'ont pas d'adresses IP officielles ou publiques (i.e. avec des adresses priv&eacute;es). 
<item>Et bien s&ucirc;r, si vous voulez que ces <bf/AUTRES/ ordinateurs communiquent sur Internet sans depenser d'argent suppl&eacute;mentaire pour l'acquisition d'adresses IP publiques / officielles ou, soit configurer Linux pour en faire un routeur soit acheter un routeur externe. 
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Qui n'a pas besoin d'IP Masquerade ?
<p>
<itemize>
<item>Si vous avez une ordinateur Linux isol&eacute; connect&eacute; &agrave; Internet (bien que mettre en place un firewall serait une bonne id&eacute;e), ou
<item>si vous avez d&eacute;j&agrave; des adresses IP publiques pour vos <bf/AUTRES/ machines, et
<item>et bien s&ucirc;r, si vous n'aimez pas trop l'id&eacute;e de devoir utiliser Linux en 'free ride' et vous vous sentez plus &agrave; l'aise avec des outils commerciaux mais chers qui font exactement la m&ecirc;me chose.
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Comment fonctionne IP Masquerade ?
<p>
Tir&eacute; de la FAQ sur l'IP Masquerade de Ken Eves:
<verb>
  Voici un dessin de la configuration la plus simple:

   SLIP/PPP         +------------+                         +-------------+
   vers votre FAI   |  Linux     |         SLIP/PPP        | un          |
  <---------- modem1|    #1      |modem2 ----------- modem3| ordinateur  |
    111.222.121.212 |            |           192.168.0.100 |             |
                    +------------+                         +-------------+


    Sur le dessin ci-desus, une machine Linux, Linux #1, avec IP_MASQUERADING d'installe
    est connecte a Internet par le modem1 via SLIP/ou/PPP. Elle a une adresse IP publique :
    111.222.121.212. Elle a aussi un modem2 qui permet a l'appelant des connexions SLIP/ou/PPP.

    La seconde machine (qui n'a pas besoin de tourner sous Linux) ce connecte a la machine 
    Linux #1 et commence une session SLIP/ou/PPP. Elle N'a PAS d'adresse IP publique
    sur Internet c'est pourquoi elle utilise l'adresse privee 192.168.0.100 (voir ci-dessous).

    Avec IP Masquerade et une configuration de routage correcte, la machine "un ordinateur" 
    peut interagir avec Internet comme si elle y etait directement connectee (a quelques
    petites exceptions pres).

Citons Pauline Middelink:
  N'oublions pas de mentionner le fait que la machine "un ordinateur" doit avoir Linux #1
  configure comme sa passerelle (que ca soit la route par defaut ou juste un sous reseau
  n'a pas d'importance). Si la machine "un ordinateur" ne peut pas faire ca, alors la
  machine Linux doit etre configuree de telle sorte que le proxy arp fonctionne pour toute
  les adresses de routage. Mais la mise en place et la configuration d'un proxy arp depasse
  le cadre de ce document.
  
L'extrait suivant est tire d'un post sur comp.os.linux.networking qui a ete modifie
de facon a tenir compte des noms utilises dans l'exemple precedent :

   o Je dis a la machine "un ordinateur" que mon Linux, connecte via PPP ou SLIP, est
   sa passerelle.
   o Quand un paquet provenant d"un ordinateur" arrive a ma machine Linux, elle va lui
   assigner un nouveau numero de port source TCP/IP et va coller sa propre adresse IP
   dans l'entete du paquet, tout en sauvegardant l'entete originale. Le server MASQ
   va ensuite envoyer le paquet ainsi modifie sur Internet via son interface SLIP/PPP.
   o Quand un paquet arrive d'Internet vers la machine Linux, Linux va examiner si son
    numero de port est l'un des numeros qu'il avait assigne precedement. Si c'est le cas,
    le server MASQ va recuperer le port et l'adresse IP originale et les remettre dans
    l'entete de paquet qui est revenu. Enfin Linux va renvoyer ce paquet a la machine 
    "un ordinateur".
   o La machine qui a envoye le paquet ne fera pas la difference. 
</verb>

<p>
<bf>Un Autre Exemple d'IP Masquerading :</bf>

<p>
 Un exemple typique est donn&eacute; dans le diagramme ci-dessous :
<verb>

    +----------+
    |          |  Ethernet
    | A        |::::::
    |          |.2   : 192.168.0.x
    +----------+     :
                     :      +----------+   PPP   
    +----------+     :   .1 |  Linux   |   link
    |          |     :::::::| Masq-Gate|:::::::::::::::::::// Internet
    | B        |::::::      |          |  111.222.121.212
    |          |.3   :      +----------+
    +----------+     :
                     :
    +----------+     :
    |          |     :
    | C        |::::::
    |          |.4    
    +----------+  
                
    |                       |          |
    | <- Reseau Interne --> |          | <- Reseau Externe ---->
    |                       |          |
</verb>

Dans cet exemple, il y a (4) ordinateurs qui m&eacute;ritent notre attention.
Il y a aussi sans doute quelque chose tout &agrave; droite d'o&ugrave; provient votre 
connexion PPP &agrave; Internet (serveur terminal, etc.) et il y a aussi un
serveur distant (tr&egrave;s tr&egrave;s loin de la droite de cette page) sur Internet
avec qui vous voulez communiquer. Le serveur Linux <bf><tt>Masq-Gate</tt></bf>
est la passerelle d'IP Masquerading pour TOUT le r&eacute;seau interne constitu&eacute; des
machines <bf><tt>A</tt></bf>, <bf><tt>B</tt></bf> et <bf><tt>C</tt></bf>. C'est
par l&agrave; que se fera leur acc&egrave;s &agrave; Internet. Le r&eacute;seau interne utilise une des 
<htmlurl url="http://www.cis.ohio-state.edu/htbin/rfc/rfc1918.html" 
name="adresses reserv&eacute;es pour les r&eacute;seaux priv&eacute;s par le RFC-1918">. Dans notre cas,
c'est les adresses de Classe C 192.168.0.0. Le serveur Linux a l'adresse 192.168.0.1
alors que les autres ordinateurs ont les adresses suivantes :
<p>
<itemize>
<item>A: 192.168.0.2
<item>B: 192.168.0.3
<item>C: 192.168.0.4
</itemize>

Les trois machines, <tt>A</tt>, <tt>B</tt> et <tt>C</tt>, peuvent tourner
sous n'importe quel syst&egrave;me d'exploitation pour peu qu'ils puissent communiquer 
par TCP/IP. Les OS tels que <bf>Windows 95</bf>, <bf>Macintosh MacTCP ou OpenTransport 
</bf> et <bf>Linux</bf> peuvent se connecter &agrave; d'autres machines sur Internet.
Lorsqu'il est lanc&eacute;, le serveur IP Masquerade ou <tt>portail MASQ</tt> convertit toutes
les connexions internes de telle sorte qu'ells semblent provenir du <tt>passerelle MASQ</tt>
lui m&ecirc;me. MASQ reconvertit ensuite les donn&eacute;es qui lui reviennent sur un port masquerad&eacute;
et ces donn&eacute;es sont renvoy&eacute;es vers la machine qui en est &agrave; l'origine.
A cause de cela, les ordinateurs du r&eacute;seau interne voient une route directe vers Internet
et ne sont pas au courant que leurs donn&eacute;es sont masquerad&eacute;es. C'est ce que l'on appelle
une connexion "transparente".

NB:  Vous pouvez vous reporter &agrave; <ref id="FAQ"> pour de plus amples d&eacute;tails sur les sujets tels que :
<p>
<itemize>
  <item>les diff&eacute;rences entre NAT, MASQ, et les serveurs Proxy.
  <item>le fonctionnement des firewalls pour les trames
</itemize>



<label id="2.2.x-Requirements">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configurations Requises pour IP Masquerade sous Linux 2.2.x
<p>

<quote> <bf>
** Reportez vous SVP &agrave; l'<url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> pour les informations les plus r&eacute;centes**
</bf> </quote> 
<p>
<itemize>
<item>Les sources du noyau 2.2.x disponible sur le site :<htmlurl url="http://www.kernel.org/" name="http://www.kernel.org/"> 
&nl;
NOTE #1: Les noyaux Linux 2.2.x inf&eacute;rieurs &agrave; 2.2.16 ont un trou de s&eacute;curit&eacute; (TCP root exploit) et les versions inf&eacute;rieures &agrave; 2.2.11 ont un bug de fragmentation dans IPCHAINS. Pour cette raison, les personnes qui utilisent des r&egrave;gles IPCHAINS tr&egrave;s restrictives sont attaquables. Mettez &agrave; jour votre noyau vers une version corrig&eacute;e.
<p>
NOTE #2: La plupart des nouvelles distributions compatibles<ref id="MASQ-supported-Distributions"> tels que Redhat 5.2 peuvent ne pas correspondre &agrave; l'installation de Linux 2.2.x requise. Des utilitaires tels que DHCP, NetUtils, etc. vont devoir &ecirc;tre
mis &agrave; jour. Vous pourrez trouver plus de details dans ce HOWTO.
<p>
<item>Modules noyau, de pr&eacute;f&eacute;r&eacute;nce 2.1.121 ou mieux, disponibles sur les sites suivants : <htmlurl url="http://www.pi.se/blox/modutils/index.html" name="http://www.pi.se/blox/modutils/index.html"> or <htmlurl url="ftp://ftp.ocs.com.au/pub/modutils/" name="ftp://ftp.ocs.com.au/pub/modutils/">
<p>
<item>Un r&eacute;seau fonctionnant sous TCP/IP ou un LAN trait&eacute; dans <url url="http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> et le <url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="Network Administrator's Guide"> &nl; Vous pouvez aussi regarder le document <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">.
TrinityOS est un guide tr&egrave;s complet pour le r&eacute;seau sous linux. Il traite de nombreux th&egrave;mes dont : l'IP MASQ, la s&eacute;curit&eacute;,les DNS, DHCP, Sendmail, PPP, Diald, NFS, VPNs bas&eacute;s sur IPSEC et poss&egrave;de une section sur les performances. Il contient plus de 50
sections au total !
<p>
<item>La connexion de votre machine Linux &agrave; Internet est trait&eacute;e dans :<url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO">, <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">, <url url="http://www.linuxdoc.org/HOWTO/mini/DHCP/index.html" name="Linux DHCP mini-HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/Cable-Modem/index.html" name="Linux Cable Modem mini-HOWTO"> and <url url="http://www.linuxdoc.org/HOWTO/mini/ADSL.html" name="http://www.linuxdoc.org/HOWTO/mini/ADSL.html">
<p>
<item>IP Chains 1.3.9 ou sup&eacute;rieur est disponible ici :<htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/">.
&nl;
Des informations suppl&eacute;mentaires sur les versions requises et les derni&egrave;res mises &agrave; jour de IPCHAINS HOWTO etc. se trouvent &agrave; l'URL suivant : <url url="http://netfilter.filewatcher.org/ipchains/" name="Linux IP Chains page">
<p>
<item>La configuration, la compilation et l'installation d'un nouveau noyau Linux sont expliqu&eacute;es dans le <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO">
<p>
<item>Vous pouvez t&eacute;l&eacute;charger de nombreux utilitaires optionnels pour IP Masquerade qui permettent des fonctionnalit&eacute;s suppl&eacute;mentaires tels que :
<itemize>
port-forwarder ou re-diriger des ports TCP/IP :
  <itemize>
    <item><url url="http://juanjox.kernelnotes.org/" name="IP PortForwarding (IPMASQADM) - RECOMMENDED"> ou l'ancien <htmlurl url="http://www.geocities.com/SiliconValley/Campus/4869/" name="mirror">.
  </itemize>
</itemize>
<p>
module ICQ MASQ
<itemize>
  <item><htmlurl url="http://members.tripod.com/~djsf/masq-icq/" name="module ICQ MASQ d'Andrew Deryabin"> 
</itemize>
<p>

Solutions de PORTFW pour FTP:
<itemize>
   <item> Les deux noyaux 2.2.x et 2.0.x ont un Module MASQ pour PORTFWer un FTP vers une machine MASQu&eacute;e. Reportez vous SVP &agrave; la page relative aux applications (<htmlurl url="http://ipmasq.cjb.net" name="IPMASQ WWW site">) pour les d&eacute;tails complets.
   <item> Il y a un proxy FTP complet fait par SuSE qui poss&egrave;de une fonction similaire au PORTFWing pour acc&eacute;der &agrave; un serveur FTP interne. Pour plus de details, reportez vous SVP &agrave; l'URL : <htmlurl url="http://www.suse.de/en/support/proxy_suite/index.html" name="SuSe Proxy URL">
</itemize>
<p>

IPROUTE2 pour la vraie 1:1 NAT, le routage bas&eacute; sur la source (Policy-based / source routing), et le fa&ccedil;onnage du Traffic :
<p>
<itemize>
  <item><htmlurl url="ftp://ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.inr.ac.ru/ip-routing">
  <p>
  <item>La documentation se trouve ici : <htmlurl url="http://www.compendium.com.ar/policy-routing.txt" name="http://www.compendium.com.ar/policy-routing.txt"> 
  <item>L' <htmlurl url="http://www.linuxdoc.org/HOWTO/Adv-Routing-HOWTO.html"
name="Advanced Routing HOWTO">
  <item><htmlurl url="http://defiant.coinet.com/iproute2/">
  <p>
  Voici quelques serveurs mirroirs pour le code source:
  <p>
  <htmlurl url="ftp://linux.wauug.org/pub/net" name="ftp://linux.wauug.org/pub/net">
  <htmlurl url="ftp://ftp.nc.ras.ru/pub/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.nc.ras.ru/pub/mirrors/ftp.inr.ac.ru/ip-routing/">
  <htmlurl url="ftp://ftp.gts.cz/MIRRORS/ftp.inr.ac.ru/" name="ftp://ftp.gts.cz/MIRRORS/ftp.inr.ac.ru/">
  <htmlurl url="ftp://ftp.funet.fi/pub/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://ftp.funet.fi/pub/mirrors/ftp.inr.ac.ru/ip-routing/ (STM1 to USA)">
  <htmlurl url="ftp://sunsite.icm.edu.pl/pub/Linux/iproute/" name="ftp://sunsite.icm.edu.pl/pub/Linux/iproute/">
  <htmlurl url="ftp://ftp.sunet.se/pub/Linux/ip-routing/" name="ftp://ftp.sunet.se/pub/Linux/ip-routing/">
  <htmlurl url="ftp://ftp.nvg.ntnu.no/pub/linux/ip-routing/" name="ftp://ftp.nvg.ntnu.no/pub/linux/ip-routing/">
  <htmlurl url="ftp://ftp.crc.ca/pub/systems/linux/ip-routing/" name="ftp://ftp.crc.ca/pub/systems/linux/ip-routing/">
  <htmlurl url="ftp://ftp.paname.org" name="ftp://ftp.paname.org (France)">
  <htmlurl url="ftp://donlug.ua/pub/mirrors/ip-route/" name="ftp://donlug.ua/pub/mirrors/ip-route/">
  <htmlurl url="ftp://omni.rk.tusur.ru/mirrors/ftp.inr.ac.ru/ip-routing/" name="ftp://omni.rk.tusur.ru/mirrors/ftp.inr.ac.ru/ip-routing/">
  <p>
  les RPMs sont disponibles ici : <htmlurl url="ftp://omni.rk.tusur.ru/Tango/" name="ftp://omni.rk.tusur.ru/Tango/"> et la : <htmlurl url="ftp://ftp4.dgtu.donetsk.ua/pub/RedHat/Contrib-Donbass/KAD/" name="ftp://ftp4.dgtu.donetsk.ua/pub/RedHat/Contrib-Donbass/KAD/">

</itemize>

Reportez vous SVP &agrave; l'<url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> pour plus d'informations sur ces patches ou d'autres &eacute;ventuels patches.
</itemize>

<label id="2.3.x/2.4.x-Requirements">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>  Configurations Requises pour IP Masquerade sous Linux 2.3.x and 2.4.x
<p>

<quote> <bf>
** Reportez vous SVP &agrave; l'<url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> pour les informations les plus r&eacute;centes**</bf> </quote> 
<p>
<label id="NetFilter">
<itemize>
<item> Les nouveaux noyaux 2.3.x et 2.4.x utilisent un nouveau syst&egrave;me appel&eacute; NetFilter (un peu &agrave; la mani&egrave;re des noyaux 2.2.x qui
utilis&egrave;rent IPCHAINS). Heureusement, <bf>contrairement</bf> &agrave; la migration vers IPCHAINS, le nouvel utilitaire NetFilter arrive avec des modules noyaux qui permettent d'utiliser de fa&ccedil;on NATIVE la syntaxe d'IPCHAINS et d'IPFWADM et donc il n'est pas n&eacute;cessaire de r&eacute;ecrire tous vos anciens scripts. Mais il pourrait y avoir quelques avantages &agrave; le faire (vitesse, nouvelles fonctionnalit&eacute;s, etc.) mais tout ca d&eacute;pend de la qualit&eacute; de vos anciennes r&egrave;gles. De nombreux changements d'architectures ont eu lieu dans ce nouveau code et permettent beaucoup plus de flexibilit&eacute;, et de fonctionnalit&eacute;s &agrave; venir, etc.
<p>
Voici quelques avantages et inconvenients des nouvelles fonctionnalit&eacute;s :
<p>
<bf>avantages:</bf>
<itemize>
  <item>VRAIE 1:1 NAT pour ceux qui veulent avoir des sous-reseaux TCP/IP et qui veulent jouer avec
  <item>PORTFWing integr&eacute;. IPMASQADM n'est donc plus obligatoire
  <item>le PORTFWing integr&eacute; fonctionne pour le traffic externe et interne. Ce qui signifie que les utilisateurs qui utilisaient PORTFW pour le traffic externe et le REDIR pour le traffic interne ne vont plus avoir &agrave; utiliser deux utilitaires !
  <item>Capacit&eacute; de routage Policy-Based compl&egrave;te (routage d'adresse TCP/IP base sur la source)
  <item>Compatible avec les capacit&eacute;s FastRoute de Linux pour obtenir un packet forwarding beaucoup plus rapide (changement de r&eacute;seau Linux)
  <item>compatibilit&eacute; compl&egrave;te avec TCP/IP v4, v6, et m&ecirc;me DECnet (ack!)
  <item>compatible avec les wildcard pour les noms d'interface comme : ppp* pour PPP0, PPP1, etc.
  <item>permet le filtrage des entr&eacute;es et des sorties sur les INTERFACES
  <item>Filtrage Ethernet MAC
  <item>limitation du taux des paquets de type Denial of Service (DoS)
  <item>fonctionnalit&eacute; tr&egrave;s simple, g&eacute;n&eacute;rique, de type stateful d'inspection
  <item>la fonction Packet REJECT poss&egrave;de maintenant un renvoie de messages ICMP configurable par l'utilisateur
  <item>Diff&eacute;rents niveaux de logging (diff&eacute;rents paquets peuvent aller dans differents niveaux de SYSLOG)
</itemize>
<p>
<bf>inconv&eacute;nients:</bf>
<itemize>
  <item>Puisque NetFilter est une architecture toute neuve, la plupart des anciens modules noyaux de MASQ vont devoir
  &ecirc;tre r&eacute;&eacute;crits. C'est &agrave; dire que pour le moment, seul le module FTP a &eacute;t&eacute; mis &agrave; jour et les modules suivants ont encore besoin de l'e&ecirc;tre :
  <p>
  ip_masq_cuseeme.o  ip_masq_icq.o  ip_masq_quake.o   ip_masq_user.o
  ip_masq_irc.o  ip_masq_raudio.o  ip_masq_vdolive.o
  <p>
  Il existe un document expliquant comment faire ce portage ici :<url url="http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO-5.html" name="http://netfilter.kernelnotes.org/unreliable-guides/netfilter-hacking-HOWTO-5.html">, Si vous avez le temps, votre talent serait d'une grande aide pour porter ces modules plus rapidement.
</itemize>
<p>
Dans la version actuelle de ce HOWTO, NetFilter N'est PAS trait&eacute;. Une fois que les fonctionnalit&eacute; de NetFilter seront fix&eacute;es, NetFilter sera trait&eacute; dans -ce- HOWTO ou peut &ecirc;tre &eacute;ventuellement dans un nouveau HOWTO. D'ici l&agrave;, vous pouvez vous tournez vers ces liens pour la documentation de NetFilter. Pour le moment, la configuration et la r&eacute;solution des conflits et probl&egrave;mes du nouveau NetFilter va &ecirc;tre similaire &agrave; 95% &agrave; celles du IPCHAINS actuel. En raison de tout &ccedil;a, ce HOWTO va &ecirc;tre utile aux utilisateurs de firewall NetFilter et de NAT.
<p>
<htmlurl url="http://netfilter.filewatcher.org/unreliable-guides/index.html" name="http://netfilter.filewatcher.org/unreliable-guides/index.html"> et plus sp&eacute;cifiquement
<htmlurl url="http://netfilter.filewatcher.org/unreliable-guides/NAT-HOWTO.html" name="http://netfilter.filewatcher.org/unreliable-guides/NAT-HOWTO.html"> 

</itemize>

Reportez vous SVP &agrave; l'<url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> pour plus d'informations sur ces patches ou d'autres eventuels patches.


<label id="2.0.x-Requirements">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Configurations Requises pour IP Masquerade sous Linux 2.0.x
<p>

<quote> <bf>
** Reportez vous SVP &agrave; l'<url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> pour les informations les plus r&eacute;centes**</bf> </quote>
<p>
<itemize>
<item>Tout ordinateur convenable. Reportez vous SVP &agrave; la section <ref id="FAQ-Hardware"> pour de plus amples d&eacute;tails.
<p>
<item>les sources du noyau 2.0.x disponibles ici : <htmlurl url="http://www.kernel.org/" name="http://www.kernel.org/">
&nl;
(La plupart des Linux modernes <ref id="MASQ-supported-Distributions"> tels que RedHat 5.2 ont un noyau modulaire compil&eacute; avec toutes les options n&eacute;cessaires &agrave; IP Masquerade. Dans de tels cas, il n'y a pas besoin de recompiler un nouveau noyau. Si vous UPGRADEZ votre noyau, il est possible que d'autres programmes puissent &ecirc;tre requis et/ou mis &agrave; jour (ces programmes sont mentionn&eacute;s plus loin dans ce HOWTO).
<p>
<item>Modules noyaux, de pr&eacute;f&eacute;r&eacute;nce 2.1.85 ou mieux, disponible sur les sites suivants :<htmlurl url="http://www.pi.se/blox/modutils/index.html" name="http://www.pi.se/blox/modutils/index.html"> ou <htmlurl url="ftp://ftp.ocs.com.au/pub/modutils/" name="ftp://ftp.ocs.com.au/pub/modutils/">

&nl;
(les modules-1.3.57 sont le minimum requis)
<p>
<item>Un r&eacute;seau fonctionnant sous TCP/IP ou un LAN trait&eacute; dans <url url="http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> et le <url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="Network Administrator's Guide"> &nl; Vous pouvez aussi regarder le document <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">.
TrinityOS est un guide tr&egrave;s complet pour le r&eacute;seau sous linux. Il traite de nombreux th&egrave;mes dont : l'IP MASQ, la s&eacute;curit&eacute;, les DNS, DHCP, Sendmail, PPP, Diald, NFS, VPNs bas&eacute;s sur IPSEC et contient une section sur les performances. Il contient plus de 50 sections au total !
<p>
<item>La connexion de votre machine Linux &agrave; Internet est trait&eacute;e dans :<url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO">, <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">, <url url="http://www.linuxdoc.org/HOWTO/mini/DHCP/index.html" name="Linux DHCP mini-HOWTO">, <url url="http://www.linuxdoc.org/HOWTO/Cable-Modem/index.html" name="Linux Cable Modem mini-HOWTO"> et <url url="http://www.linuxdoc.org/HOWTO/mini/ADSL.html" name="http://www.linuxdoc.org/HOWTO/mini/ADSL.html">
<p>
<item>Ipfwadm 2.3 ou sup&eacute;rieur est disponible ici : <htmlurl url="ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.0.tar.gz" name="ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz">
&nl;
Des informations suppl&eacute;mentaires sur les versions requises sont disponible ici : <url url="http://www.xos.nl/linux/ipfwadm/" name="Linux IPFWADM page">
<p>
<itemize>
<item>Si vous voulez faire tourner IPCHAINS sur un noyau 2.0.38+, reportez vous ici : <url url="http://www-miaif.lip6.fr/willy/pub/linux-patches/" name="Willy Tarreau's IPCHAINS enabler for 2.0.36"> ou ici : <htmlurl url="http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html" name="Rusty's IPCHAINS for 2.0.x kernels">
</itemize>
<p>
<item>Savoir configurer, compiler, et installer un nouveau noyau Linux comme expliqu&eacute; ici :<url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO">
<p>
<item>Vous pouvez aussi appliquer plusieur patches optionnel &agrave; IP Masquerade pour lui 'apprendre' des fonctionnalit&eacute;s telles que :
<p>	
<itemize>
  <item>port-forwarder ou re-diriger des ports TCP/IP : Avec ces utilitaires, vous pouvez faire fonctionner des programmes qui normalement ne fonctionne pas derni&egrave;re un server MASQ. De plus, vous pouvez configurer le server MASQ de fa&ccedil;on &agrave; permettre aux internautes de contacter des servers WWW, TELNET, SMTP, FTP (avec un patch), etc. internes. Reportez vous SVP &agrave; la section <ref id="Forwarders"> de ce HOWTO pour de plus amples informations. Voici une liste des diff&eacute;rents patches IP Masquerade disponibles pour le noyau 2.0.x :
<p>
  <itemize>
    <item>Steven Clarke's <htmlurl url="http://www.ox.compsoc.org.uk/~steve/portforwarding.html" name="IP PortForwarding (IPPORTFW)"> - <bf>RECOMMANDE</bf>
    <item><htmlurl url="http://ipmasq.cjb.net/ipautofw.tar.gz" name="IP AutoForward"> et <url url="ftp://ftp.netis.com/pub/members/rlynch/ipautofw.tar.gz" name="un mirroir"> (IPAUTOFW) - <htmlurl url="http://ipmasq.cjb.net/tcpdeath.html" name="NON Recommande">
    <item><url url="http://ipmasq.cjb.net/redir_0.7.orig.tar.gz" name="REDIR"> pour TCP (REDIR) - NON Recommand&eacute;
    <item> <htmlurl url="http://ipmasq.cjb.net/udpred.c.gz" name="UDP redirector"> (UDPRED) - NON Recommand&eacute;
    </itemize>
    <p>
Solutions de PORTFW pour FTP: :
<p>
<itemize>
  <item>Si vous voulez utiliser le PORTFW pour renvoyer le traffic FTP vers un server FTP interne, vous aurez sans doute besoin de : <htmlurl url="http://ipmasq.cjb.net/patches/portfw-ftp-patch.tgz" name="Fred Viles's FTP server patch via HTTP"> ou <htmlurl url="ftp://ftp.e-infomax.com/ipmasq/patches/portfw-ftp-patch.tgz" name="Fred Viles's FTP server patch via FTP">. De plus amples details sont disponibles &agrave; la section <ref id="Forwarders"> de ce HOWTO.
</itemize>
<p>
forwarder des &eacute;crans X-Window :
  <itemize>
   <item><url url="ftp://sunsite.unc.edu/pub/Linux/X11/compress/dxpc-3.7.0.tar.gz" name="X-windows forwarding (DXCP)">
  </itemize>
<p>
module MASQ ICQ :
<itemize>
  <item><htmlurl url="http://members.tripod.com/~djsf/masq-icq/" name="Andrew Deryabin's ICQ MASQ module ">
</itemize>
<p>
forwarders PPTP (GRE) et VPNs SWAN (IPSEC) tunneling :
<itemize>
  <item><htmlurl url="ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html" name="John Hardin's VPN Masquerade forwarders"> ou bien l'ancien patch uniquement pour le <url url="http://ipmasq.cjb.net/ip_masq_pptp.patch.gz" name="PPTP">.  
</itemize>
<p>
Patches sp&eacute;cifiques aux jeux:
<itemize>
  <item>Glenn Lamb's <url url="ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz" name="LooseUDP for 2.0.36+"> patch.
  <p>
Jetez un coup d'oeil &agrave; la <url url="http://www.alumni.caltech.edu/&tilde;dank/peer-nat.html" name="Page NAT"> de Dan Kegel pour plus d'informations. De plus amples informations se trouvent &agrave; la section <ref id="Game-Clients">et dans la section <ref id="FAQ">.
  </itemize>
</itemize>
<p>
Reportez vous SVP &agrave; l'<url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> pour plus d'informations sur ces patches ou d'autres &eacute;ventuels patches.

</itemize>


<!-- Section 3 -->
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect> Installer IP Masquerade
<p>
<quote>
<bf>Si votre r&eacute;seau priv&eacute; contient quelqu'information vitale, vous devez soigneusement r&eacute;flechir en terme de SECURITE avant d'utiliser IP Masquerade. Par defaut, IP MASQ devient une passerelle pour vous permettre d'acceder &agrave; Internet mais il peut aussi permettre &agrave; quelqu'un de s'introduire &agrave; partir d'Internet sur votre r&eacute;seau interne.</bf>  
<p>
Une fois que vous avez IP MASQ qui fonctionne, il est VIVEMENT recommand&eacute; d'utiliser un jeu de r&egrave;gles du s&eacute;curit&eacute; largement sup&eacute;rieur, que nous appellerons STRONG (STRONG IPFWADM/IPCHAINS firewall ruleset en anglais) dans la suite. Vous pouvez vous reportez aux sections <ref id="Strong-IPFWADM-Rulesets"> et <ref id="Strong-IPCHAINS-Rulesets"> plus loin dans le texte pour plus de d&eacute;tails.
</quote>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Compiler un noyau avec les fonctionnalit&eacute;s d'IP Masquerade
<p>

<label id="Kernel-Compile">

<quote>
<bf>Si votre distribution Linux poss&egrave;de d&eacute;j&agrave; toutes les fonctions n&eacute;cessaires tels que :</bf>
<itemize>
  <item>IPFWADM/IPCHAINS
  <item>IP forwarding
  <item>IP masquerading
  <item>IP Firewalling
  <item>etc.
</itemize>
et que tous les modules relatif &agrave; MASQ y soient compil&eacute;s (la plupart des noyaux modulaires vont avoir ce dont vous avez besoin), vous N'aurez PAS besoin de recompiler un noyau. Si vous ne savez pas si votre distribution Linux est pret pour MASQ, reportez vous &agrave; la section <ref id="MASQ-supported-Distributions">. Si vous ne faites pas confiance &agrave; cette liste, ou que votre distribution n'y est pas list&eacute;e, essayez les tests suivants :
<p>
<itemize>
  <item>logguez vous sur votre machine linux et lancez la commande suivante : "ls /proc/sys/net/ipv4".
  <item>Regardez si les fichiers tels que "ip_forward", "ip_masq_debug", "ip_masq_udp_dloose"(optionnel), et "ip_always_defrag"(optionnel) existent.  
</itemize>
Si oui, c'est que votre noyau est fin pret !
<p>
Si vous ne trouvez aucun des fichiers pr&eacute;cit&eacute;s ou si votre distribution ne permet pas l'IP Masquerading par d&eacute;faut, SUPPOSEZ QU'IL NE PERMET PAS l'utilisation de MASQ par defaut ! Dans ce cas, vous allez devoir compiler un noyau... mais ne vous inquietez pas, ce n'est pas difficile.
<p>
Que la compatibilit&eacute; soit native ou pas sur votre distribution, la lecture de cette section est VIVEMENT recommand&eacute;e parce qu'elle contient d'autres informations utiles.
</quote> 

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->

<sect2> Noyaux Linux 2.2.x
<p>

<bf>Reportez vous &agrave; la section <ref id="2.2.x-Requirements">pour les logiciels n&eacute;cessaires, les patches, etc.</bf>
<p>
<itemize>
<item>D'abord, vous aurez besoin des sources du noyau 2.2.x (de pr&eacute;f&eacute;rence la derni&egrave;re version 2.2.16 ou mieux)
<p>
NB #1: Les noyaux Linux 2.2.x inf&eacute;rieurs &agrave; 2.2.16 ont un trou de securit&eacute; (TCP root exploit) et les versions inf&eacute;rieurs &agrave; 2.2.11 ont un bug de fragmentation dans IPCHAINS. Pour cette raison, les personnes qui utilisent des jeux de r&egrave;gles IPCHAINS tr&egrave;s restrictives sont attaquables. Mettez &agrave; jour votre noyau vers une version corrig&eacute;e.
<p>
NB #2: Pendant les mises &agrave; jour des noyaux 2.2.x, les options de compilations n'ont cess&eacute; de changer.
Ici nous allons vous montrer les r&eacute;glages pour la version 2.2.15. Si vous utilisez une version ant&eacute;rieure du noyau, les dialogues
peuvent para&icirc;tre diff&eacute;rents. Nous vous recommandons de faire la mise &agrave; jour vers la derni&egrave;re version du noyau en raison des
nouvelles fonctionnalit&eacute;s et de la stabilit&eacute; accrue qu'elle procure.
<p>
<item>Ne soyez pas effray&eacute; si c'est la premi&egrave;re fois que vous compilez un noyau. En fait c'est plut&ocirc;t facile et plusieurs URLs que vous trouverez dans la section <ref id="2.2.x-Requirements"> traitent de &ccedil;a.
<p>
<item>Decompressez les sources du noyau dans le r&eacute;pertoire <tt>/usr/src/</tt> en utilisant la commande <tt>tar xvzf linux-2.2.x.tar.gz -C /usr/src</tt> ou "x" repr&eacute;sente la version de votre noyau 2.2. Une fois ceci termin&eacute;, v&eacute;rifiez que le dossier ou le lien symbolique vers <tt>/usr/src/linux/</tt> existe bien.
<p>
<item>Appliquez tous les patches, optionnels ou non, au source de votre noyau. Pour le 2.2.1, IP Masq n'a pas pas besoin de patch pour fonctionner correctement. Des fonctionnalit&eacute;s telles que PPTP ou le forwarding de X-Window sont optionnels. Vous pouvez vous reporter &agrave; la section <ref id="2.2.x-Requirements"> pour les URLs et &agrave; l'<htmlurl url="http://ipmasq.cjb.net/" name="IP Masquerade Resources"> pour les informations les plus r&eacute;centes et les liens vers les patches.
<p>
<item>Voici les options de compilations MINIMALES dont vous allez avoir besoin lors de la compilation de votre noyau. Vous aurez aussi besion de configurer votre noyau pour utiliser vos interfaces reseaux. Reportez vous au <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> et le fichier README qui se trouve dans le dossier des sources du noyau pour de plus amples informations sur la compilation du noyau.
<p> 
R&eacute;pondez par <bf><em>YES ou NO</em></bf> aux questions suivantes. Toutes les options ne seront pas disponibles si votre noyau
n'est pas patch&eacute; convenablement comme d&eacute;crit ci-dessous dans ce HOWTO :
</itemize>

<tscreen>
<verb>

  * Prompt for development and/or incomplete code/drivers (CONFIG_EXPERIMENTAL) [Y/n/?]
    - YES: Bienque non requis par IP MASQ, cette option permet au noyau de creer les 
    modules MASQ et d'activer l'option 'port forwarding'

  -- Les options ne correspondant a MASQ sont omis --

  * Enable loadable module support (CONFIG_MODULES) [Y/n/?]
    - YES:  Permet de charger les modules noyau d'IP MASQ

  -- Les options ne correspondant a MASQ sont omis --

  * Networking support (CONFIG_NET) [Y/n/?]
    - YES: Active les capacites reseau

  -- Les options ne correspondant a MASQ sont omis --

  * Sysctl support (CONFIG_SYSCTL) [Y/n/?] 
    - YES: vous donne le pouvoir d'activer/desactiver des options tels que le forwarding,
     les IP dynamiques, le LooseUDP, etc.
    
  -- Les options ne correspondant a MASQ sont omis --

  * Packet socket (CONFIG_PACKET) [Y/m/n/?]
    - YES: Bienque ca soit OPTIONNEL, il est recommande d'activer cette fontionnalite 
    qui permet d'utiliser TCPDUMP pour 
    debugguer les eventuels problems d'IP MASQ
  
  * Kernel/User netlink socket (CONFIG_NETLINK) [Y/n/?] 
    - YES: Bienque ca soit OPTIONNEL, cette fonctionnalite permet de creer des logs 
    des problemes du firewall avance tel que le routage des messages etc.

  * Routing messages (CONFIG_RTNETLINK) [Y/n/?]
    - NO:  Cette option n'a rien a voir avec les logs du packet firewall
    
  -- Les options ne correspondant a MASQ sont omis --

  * Network firewalls (CONFIG_FIREWALL) [Y/n/?]
    - YES: Permet de configurer le noyau avec l'utilitaire de firewall IPCHAINS
    
  * Socket Filtering (CONFIG_FILTER) [Y/n/?]
    - OPTIONAL:  Bienque cette option n'ai rien a voir avec IPMASQ, si vous 
    comptez installer un serveur DHCP sur votre reseau interne, vous AUREZ besoin
    de cette option.

  * Unix domain sockets (CONFIG_UNIX) [Y/m/n/?]
    - YES: Active les mecanismes de sockets TCP/IP d'UNIX.

  * TCP/IP networking (CONFIG_INET) [Y/n/?]
    - YES: Active les protocoles TCP/IP

  -- Les options ne correspondant a MASQ sont omis --

  * IP: advanced router (CONFIG_IP_ADVANCED_ROUTER) [Y/n/?]
    - YES: Permet de configurer les options avances de MASQ que nous verrons plus loins


  * IP: policy routing (CONFIG_IP_MULTIPLE_TABLES) [N/y/?]
    - NO: Pas necessaire pour MASQ mais les utilisateurs qui ont besoin de fonctions avancees telles
    que le source address-based TCP/IP ou le routage par TOS doivent activer cette option.
    
  * IP: equal cost multipath (CONFIG_IP_ROUTE_MULTIPATH) [N/y/?]
    - NO: Pas necessaire pour les fonctions usuelles de MASQ

  * IP: use TOS value as routing key (CONFIG_IP_ROUTE_TOS) [N/y/?] 
    - NO:  Pas necessaire pour les fonctions usuelles de MASQ

  * IP: verbose route monitoring (CONFIG_IP_ROUTE_VERBOSE) [Y/n/?]
    - YES: Necessaire si vous voulez utiliser les codes de routage pour eliminer les paquets 
    IP spoofes (vivement recommande) et si vous voulez les mettres dans les logs.
    
  * IP: large routing tables (CONFIG_IP_ROUTE_LARGE_TABLES) [N/y/?]
    - NO:  Pas necessaire pour les fonctions usuelles de MASQ

  * IP: kernel level autoconfiguration (CONFIG_IP_PNP) [N/y/?] ?
    - NO:  Pas necessaire pour les fonctions usuelles de MASQ

  * IP: firewalling (CONFIG_IP_FIREWALL) [Y/n/?]
    - YES: Active les capacites de firewalling.
    
  * IP: firewall packet netlink device (CONFIG_IP_FIREWALL_NETLINK) [Y/n/?]
    - OPTIONAL: Bienqu'OPTIONNELLE, cette fonction permet a IPCHAINS de copier quelques paquets
    vers l'utilitaire UserSpace pour des verifications supplementaires.
    
  * IP: transparent proxy support (CONFIG_IP_TRANSPARENT_PROXY) [N/y/?]
    - NO:  Pas necessaire pour les fonctions usuelles de MASQ

  * IP: masquerading (CONFIG_IP_MASQUERADE) [Y/n/?]
    - YES: Permet a IP Masquerade de readresser certains paquets TCP/IP specifiques de l'interieur
    vers l'exterieur
    
  * IP: ICMP masquerading (CONFIG_IP_MASQUERADE_ICMP) [Y/n/?]
    - YES: Permet de masquerader les paquets ICMP de ping (dans tous les cas, les codes d'erreur
    d'ICMP sont MASQues). Cette fonction est importante pour regler les problemes de connexion.

  * IP: masquerading special modules support (CONFIG_IP_MASQUERADE_MOD) [Y/n/?]
    - YES: Bienqu'OPTIONNELLE, cette option permet d'activer plus loin le port forwarding de 
    TCP/IP qui permet aux ordinateurs exterieurs de ce connecter vers des machines MASQuees
    specifiques (donc internes).
    
  * IP: ipautofw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPAUTOFW) [N/y/m/?]
    - NO: IPautofw est une methode heritee du port forwardinf. C'est essentiellement du vieux
    code qui est reconnu pour avoir des problemes. NON recommande.
    
  * IP: ipportfw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPPORTFW) [Y/m/n/?]
    - YES: Active IPPORTFV qui permet a des ordinateurs externe se trouvant sur Internet de
    communiquer avec un ordinateur MASQue interne specifique. Cette fonctionnalite est typiquement
    utilisee pour acceder a des serveurs SMTP, TELNET et WWW. Le port forwarding pour le FTP aura
    besoin d'un patch supplementaire dont nous avons donne la description dans la FAQ de ce HOWTO.
    Des informations supplementaires sont disponibles dans la section Forwards de ce HOWTO.
     
  * IP: ip fwmark masq-forwarding support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_MFW) [Y/m/n/?]
    - OPTIONAL: C'est une nouvelle methode pour faire du PORTFW. Avec elle, IPCHAINS peut marquer 
    les paquets sur lesquels il faut faire du travail supplementaire. Avec l'utilitaire UserSpace,
    qui ressemble a IPMASQADM ou IPPORTFW, IPCHAINS pourra alors automatiquement readresser les paquets.
    Pour le moment, cette partie du code est moins testee que PORTFW mais reste neanmoins tres 
    prometteur. Nous vous recommandons d'utiliser pour le l'instant IPMASQADM et IPPORTFW. Si vous
    avez des reflexions sur MFW, envoyez les moi par email SVP.
     
  * IP: optimize as router not host (CONFIG_IP_ROUTER) [Y/n/?]
    - YES: Optimise le noyau pour le reseau bienque nous ne sachions pas si les gains de performance
    sont significatives ou pas.

  * IP: tunneling (CONFIG_NET_IPIP) [N/y/m/?]
    - NO: OPTIONNEL pour le tunneling IPIP a traver IP Masq. Si vous avez besoin de fonctionnalites
    VPN/tunneling, il est recommande d'utiliser soit les tunnels GRE soit les tunnels IPSEC
    
  * IP: GRE tunnels over IP (CONFIG_NET_IPGRE) [N/y/m/?]
    - NO: OPTIONNEL. Permet l'activation de tunnels GRE et PPTP a travers IP MASQ.

    -- Les options ne correspondant a MASQ sont omis -- 

  * IP: TCP syncookie support (not enabled per default) (CONFIG_SYN_COOKIES) [Y/n/?]
    - YES: VIVEMENT recommande pour la securite TCP/IP de base.
    
    -- Les options ne correspondant a MASQ sont omis --

  * IP: Allow large windows (not recommended if <16Mb of memory) * (CONFIG_SKB_LARGE) [Y/n/?]
    - YES: Ceci est recommande pour optimiser les fenetres TCP de Linux
    
    -- Les options ne correspondant a MASQ sont omis --

  * Network device support (CONFIG_NETDEVICES) [Y/n/?]
    - YES: active la sous couche materielle du reseau sous Linux
    
    -- Les options ne correspondant a MASQ sont omis --

  * Dummy net driver support (CONFIG_DUMMY) [M/n/y/?] 
    - YES:  Bienqu'OPTIONNELLE, cette option peut aider pendant le debuggage

  == N'oubliez pas d'activer les drivers de votre carte reseau !! ==

    -- Les options ne correspondant a MASQ sont omis --

  == N'oubliez pas d'actiner la comptabiliter PPP/SLIP si vous voulez un modem RPC ou PPPoE/DSL !! ==

    -- Les options ne correspondant a MASQ sont omis --

  * /proc filesystem support (CONFIG_PROC_FS) [Y/n/?]
    - YES: Necessaire pour activer le system de forwarding sous Linux
    
</verb>
</tscreen>

NB: Nous n'avons activ&eacute; ici que les options n&eacute;cessaires pour l'IP Masquerade. Vous devez
s&eacute;lectionner en plus les options sp&eacute;cifiques &agrave; votre installation.

<itemize>
  <item>Apres la compilation du noyau, vous devrez compiler et installer les modules IP MASQ gr&acirc;ce aux commandes :
  <tscreen>
  <verb>
  make modules; make modules_install
  </verb>
  </tscreen>
  <p>
  <item> Vous devrez ensuite ajouter quelques lignes &agrave; votre fichier <tt>/etc/rc.d/rc.local</tt> pour charger automatiquement les modules IP Masquerades et activer IP MASQ apr&egrave;s chaque red&eacute;marrage :
  <p>
  <tscreen>
  <verb>
        .
        .
        .
        #rc.firewall script - Lance IPMASQ et le firewall
        /etc/rc.d/rc.firewall
        .
        .
        .
  </verb>
  </tscreen>

</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->

<sect2> Noyaux Linux 2.0.x
<p>

<bf>Reportez vous &agrave; la section <ref id="2.0.x-Requirements">pour les logiciels n&eacute;cessaires, les patches, etc.</bf>
<p>
<itemize>
<item>D'abord, vous aurez besoin des sources du noyau 2.0.x (de pr&eacute;f&eacute;rence la derni&egrave;re version 2.0.38 ou mieux)
<p>
<item>Ne soyez pas effray&eacute; si c'est la premi&egrave;re fois que vous compilez un noyau. En fait c'est plut&ocirc;t facile et plusieurs URLs que vous trouverez dans la section <ref id="2.2.x-Requirements"> traitent de ca.
<p>
<item>D&eacute;compressez les sources du noyau dans le repertoire <tt>/usr/src/</tt> en utilisant la commande <tt>tar xvzf linux-2.2.x.tar.gz -C /usr/src</tt> ou "x" repr&eacute;sente la version de votre noyau 2.2. Une fois ceci termin&eacute;, v&eacute;rifiez que le dossier ou le lien symbolique vers <tt>/usr/src/linux/</tt> existe.
<p>
<item>Appliquez tous les patches, optionnels ou non, au source de votre noyau. Des fonctionnalites telles que PPTP ou le forwarding de X-Window sont optionnels. Vous pouvez vous reporter &agrave; la section <ref id="2.0.x-Requirements"> pour les URLs et &agrave; l'<htmlurl url="http://ipmasq.cjb.net/" name="IP Masquerade Resources"> pour les informations les plus r&eacute;centes et les liens vers les patches.
<p>
<item>Voici les options de compilations MINIMALES dont vous allez avoir besoin lors de la compilation de votre noyau. Vous aurez aussi besion de configurer votre noyau pour utiliser vos interfaces reseaux. Reportez vous au <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO"> et le fichier README qui se trouve dans le dossier des sources du noyau pour de plus amples informations sur la compilation du noyau.
<p> 
Repondez par <bf><em>YES ou NO</em></bf> aux questions suivantes. Toutes les options ne seront pas disponibles si votre noyau
n'est pas patch&eacute; convenablement comme d&eacute;crit ci-dessus dans ce HOWTO :
</itemize>

<tscreen><verb>
  * Prompt for development and/or incomplete code/drivers (CONFIG_EXPERIMENTAL) [Y/n/?] 
    - YES: cette option permet selectionner les fonctionnalites IP Masquerade
    
  * Enable loadable module support (CONFIG_MODULES) [Y/n/?] 
    - YES: Permet de charger les modules noyau d'IP MASQ

  * Networking support (CONFIG_NET) [Y/n/?]
    - YES: Active les capacites reseau

  * Network firewalls (CONFIG_FIREWALL) [Y/n/?]
    - YES: Active l'utilitaire de firewall IPFWADM

  * TCP/IP networking (CONFIG_INET)
    - YES: Active les protocoles TCP/IP

  * IP: forwarding/gatewaying (CONFIG_IP_FORWARD)
    - YES: Permet le forwarding et le routage des paquets - Controle par IPFWADM

  * IP: syn cookies (CONFIG_SYN_COOKIES) [Y/n/?]
    - YES: VIVEMENT recommande pour la securite TCP/IP de base.

  * IP: firewalling (CONFIG_IP_FIREWALL) [Y/n/?]
    - YES: Active les capacites de firewalling.

  * IP: firewall packet logging (CONFIG_IP_FIREWALL_VERBOSE) [Y/n/?]
    - YES: (OPTIONNEL mais VIVEMENT recommande): Permet de rapporter les chocs contre le firewall

  * IP: masquerading (CONFIG_IP_MASQUERADE [Y/n/?]
    - YES: Permet a IP Masquerade de readresser certains paquets TCP/IP specifiques de l'interieur
    vers l'exterieur
    
  * IP: ipautofw masquerade support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPAUTOFW) [Y/n/?]
    - NO:  IPautofw est une methode heritee du port forwardinf. C'est essentiellement du 
    vieux code qui est reconnu pour avoir des problemes. NON recommande.

  * IP: ipportfw masq support (EXPERIMENTAL) (CONFIG_IP_MASQUERADE_IPPORTFW) [Y/n/?]
    - YES: Cette option est DISPONIBLE UNIQUEMENT GRACE A UN PATCH pour les noyaux 2.0.x
    
       Cette option permet a des ordinateurs externe se trouvant sur Internet de communiquer
       avec un ordinateur MASQue interne specifique. Cette fonctionnalite est typiquement
       utilisee pour acceder a des serveurs SMTP, TELNET et WWW. Le port forwarding pour le
       FTP aura besoin d'un patch supplementaire dont nous avons donne la description dans 
       la FAQ de ce HOWTO. Des informations supplementaires sont disponibles dans la section
       Forwards de ce HOWTO.

  * IP: ICMP masquerading (CONFIG_IP_MASQUERADE_ICMP) [Y/n/?]
    - YES: Permet de masquerader les paquets ICMP. Bienqu'optionnelles, de nombreux programmes
    ne vont PAS fonctionnement correctement sans cette option.

  * IP: loose UDP port managing (EXPERIMENTAL) (CONFIG_IP_MASQ_LOOSE_UDP) [Y/n/?] 
    - YES: Cette option est DISPONIBLE UNIQUEMENT GRACE A UN PATCH pour les noyaux 2.0.x

	Avec cette option, des ordinateurs internes (ie MASQues) pourrons jouer au 
	jeux compatibles NAT sur Internet. Des details supplementaires sont donnes 
	dans la section FAQ de ce HOWTO.

  * IP: always defragment (CONFIG_IP_ALWAYS_DEFRAG) [Y/n/?]
    - YES: Cette option optimise les connexions IP MASQ - VIVEMENT recommande
    
  * IP: optimize as router not host (CONFIG_IP_ROUTER) [Y/n/?] 
    - YES: Optimise le noyau pour le reseau
    
  * IP: Drop source routed frames (CONFIG_IP_NOSR) [Y/n/?]
    - YES: HIGHLY recommended for basic network security

  * Dummy net driver support (CONFIG_DUMMY) [M/n/y/?]
    - YES: VIVEMENT recommande pour la securite TCP/IP de base.

  * /proc filesystem support (CONFIG_PROC_FS) [Y/n/?] 
    - YES: Necessaire pour activer les capacites de forwarding de Linux
    
</verb>
</tscreen>

NB: Nous n'avons activ&eacute; ici que les options n&eacute;cessaire pour IP Masquerade. Vous devez s&eacute;lectionner en plus les options sp&eacute;cifiques &agrave; votre installation.

<itemize>
<item>Apr&egrave;s la compilation du noyau, vous devrez compiler et installer les modules IP MASQ gr&acirc;ce aux commandes :
<tscreen>
<verb>
make modules; make modules_install
</verb>
</tscreen>

<item> Vous devrez ensuite ajouter quelques lignes &agrave; votre fichier <tt>/etc/rc.d/rc.local</tt> pour charger automatiquement les modules IP Masquerades et activer IP MASQ apr&egrave;s chaque red&eacute;marrage :
  <p>
  <tscreen>
  <verb>
        .
        .
        .
        #rc.firewall script - Lance IPMASQ et le firewall
        /etc/rc.d/rc.firewall
        .
        .
        .
  </verb>
  </tscreen>

</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->

<sect2> Noyaux Linux 2.3.x / 2.4.x
<p>

<bf>Les noyaux 2.3.x et 2.4.x ne sont PAS trait&eacute;s dans ce HOWTO pour le moment. Reportez vous &agrave; la section <ref id="2.3.x/2.4.x-Requirements">  pour les URLs etc. jusqu'&agrave; ce que ces noyaux soient trait&eacute;s dans un nouveau HOWTO.</bf>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Affecter des adresses IP priv&eacute;es au LAN interne
<p>
Puisque toutes les machines <bf>INTERNES MASQ&eacute;es</bf> ne devraient pas avoir d'adresses IP officielles, il doit exister une fa&ccedil;on sp&eacute;cifique et reconnue d'affecter des adresses &agrave; ces machines sans entrer en conflit avec l'adresse IP de quelqu'un d'autre.
<p>
Tir&eacute; de la FAQ IP Masquerade originelle :
<p>
<htmlurl url="http://www.cis.ohio-state.edu/htbin/rfc/INDEX.rfc.html" name="RFC 1918"> est un document officiel traitant des adresses IP qui doivent &ecirc;tre utilis&eacute;es pour des r&eacute;seaux non-connect&eacute;s ou "priv&eacute;s". Il y a 3 blocs de nombres mis de c&ocirc;t&eacute;s expr&egrave;s 
dans ce but.
<tscreen>
<verb>

Section 3: L'espace des Adresses Privees



L'Internet Assigned Numbers Authority (IANA) a reserve les trois blocs d'adresses IP suivants
pour les reseaux prives :

              10.0.0.0        -   10.255.255.255
              172.16.0.0      -   172.31.255.255
              192.168.0.0     -   192.168.255.255

Le premier bloc sera designe comme le "24-bit block", le second comme "20-bit block", et le 
dernier comme "16-bit block". Remarquez que le premier bloc n'est rien d'autres qu'un simple reseau
de Classe A, alors que le second est un espace de 16 reseaux contigus de classe B, et le troisieme 
est un blocs de 255 reseaux contigus de Classe C.
</verb>
</tscreen>
Je pr&eacute;f&egrave;re utiliser le r&eacute;seau 192.168.0.0 avec un masque de sous-r&eacute;seau de classe C : 255.255.255.0 et ce HOWTO refl&eacute;te cette pr&eacute;f&eacute;rence. Mais, chacun des r&eacute;seaux priv&eacute;s ci-dessus est valide. Assurez vous simplement d'utiliser le bon masque de sous-r&eacute;seau.

Donc, si vous utiliser le r&eacute;seau de Classe C, vous devrez num&eacute;roter vos machines TCP/IP ainsi : 192.168.0.1, 192.168.0.2, 192.168.0.3, ..., 192.168.0.x
<p>
192.168.0.1 est habituellement la passerelle interne ou la machine MASQ Linux. Notez aussi ques les adresses 192.168.0.0 et 192.168.0.255 sont les adresses du r&eacute;seau et de broadcast respectivement (et sont donc RESERVES). Evitez d'utiliser ces adresses sur vos machines sinon votre r&eacute;seau risque de ne pas fonctionner correctement.

<label id="firewall-examples">

<sect1> Politiques de configuration de l'IP FORWARDING
<p>
A partir d'ici, vous devrez avoir votre noyau et les autres packages n&eacute;cessaires d'install&eacute;s. Toutes les adresses IP du r&eacute;seau, la passerelle, et le DNS devront aussi &ecirc;tre configur&eacute;s dans votre serveur Linux MASQ. Si vous ne savez pas configurer vos cartes r&eacute;seau, reportez vous SVP aux HOWTOs list&eacute;s dans les sections <ref id="2.0.x-Requirements"> ou <ref id="2.2.x-Requirements">.
<p>
Maintenant, la seule chose qui reste &agrave; faire, c'est de configurer l'IP firewalling pour permettre le FORWARD et le MASQUERADE des paquets appropri&eacute;s vers les machines appropri&eacute;es :
<p>

<quote>
** Ceci peut &ecirc;tre accomplis de diff&eacute;rentes fa&ccedil;ons. Les suggestions et les examples suivants ont fonctionn&eacute; chez moi, mais vous aurez peut-&ecirc;tre des besoins ou des id&eacute;es diff&eacute;rents.
</quote>
<p>
<quote>
** Cette section fournit seulement le MINIMUM de r&egrave;gles de firewall pour faire fonctionner l'IP Masquerade. Une fois que vous aurez test&eacute; IP MASQ (comme d&eacute;crit plus loin dans ce HOWTO), reportez vous aux sections <ref id="Strong-IPFWADM-Rulesets"> et <ref id="Strong-IPCHAINS-Rulesets"> pour des jeux de r&egrave;gles de firewalling plus s&ucirc;res. Vous pouvez aussi lire en plus les manuels de IPFWADM (2.0.x) et/ou IPCHAINS(2.2.x) pour de plus amples d&eacute;tails.
</quote>


<label id="rc.firewall-2.2.x">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->

<sect2> Noyaux Linux 2.2.x
<p>

NB : <bf>IPFWADM n'est plus un utilitaire de firewall </bf> qui permette de manipuler les r&egrave;gles d'IP Masquerade pour les noyaux
2.1.x et 2.2.x. Ces nouveaux noyaux utilisent maintenant l'utilitaire IPCHAINS. Pour de plus amples d&eacute;tails sur les raisons de ce changement, vous pouvez vous reporter &agrave; la section <ref id="FAQ">.


Cr&eacute;ez le fichier /etc/rc.d/rc.firewall avec les r&egrave;gles naives suivantes :

<tscreen>
<verb>

#!/bin/sh
#
# rc.firewall - test IP Masquerade naif pour les noyaux 2.1.x et 2.2.x 
#               avec IPCHAINS
#
# Charge les modules necessaires a IP MASQ
#
#   NB: Charger uniquement les modules IP MASQ dont vous avez besoin. Tous les modules 
#   IP MASQ actuels sont montres ci-dessous mais sont commentes pour les empecher 
#   de se charger.

# Necessaire pour le chargement initial des modules
#
/sbin/depmod -a

# Permet le masquerading correct des transfert de fichier par FTP avec la methode PORT
/sbin/modprobe ip_masq_ftp

# Permet le masquerading de RealAudio par UDP. Sans ce module,
#       RealAudio FONCTIONNERA mais en mode TCP. Ce qui peu causer une baisse
#       dans la qualite du son
#
#/sbin/modprobe ip_masq_raudio

# Permet le masquerading des transferts de fichier par DCC pour les IRC
#/sbin/modprobe ip_masq_irc


# Permet le masquerading de Quake et QuakeWorld par defaut. Ce module est
#   necessaire pour les utilisateurs multiples derriere un server Linux MASQ. Si vous voulez jouer 
#   a Quake I, II, et III, utilisez le second exemple.
#
#   NB:  si vous rencontrez des ERREURs lors de chargement du module QUAKE, c'est que vous utilisez
#   un ancien noyau buggue. Mettez a jour votre noyau pour supprimer l'erreur.
#
#Quake I / QuakeWorld (ports 26000 et 27000)
#/sbin/modprobe ip_masq_quake
#
#Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960)
#/sbin/modprobe ip_masq_quake 26000,27000,27910,27960


# Permet le masquerading du logiciel CuSeeme pour la video conference
#
#/sbin/modprobe ip_masq_cuseeme

# Permet le masquerading du logiciel VDO-live pour la video conference
#
#/sbin/modprobe ip_masq_vdolive


#CRITIQUE:  Active l'IP forwarding puisqu'il est desactive par defaut
#
#           Utilisateurs Redhat: vous pourrez essayer en changeant les options dans 
#                          /etc/sysconfig/network de:
#
#                       FORWARD_IPV4=false
#                             a
#                       FORWARD_IPV4=true
#
echo "1" > /proc/sys/net/ipv4/ip_forward


#CRITIQUE:  Active automatiquement l'IP defragmenting puisqu'il est desactive par defaut 
#           dans les noyaux 2.2.x. Ceci etait une option de compilation mais ca a change 
#           depuis le noyau 2.2.12
#
echo "1" > /proc/sys/net/ipv4/ip_always_defrag


# Utilisateurs d'IP Dynamiques:
#
#   Si vous recevez votre adresse IP de maniere dynamique a partir d'un server SLIP, PPP,
#   ou DHCP, activez option suivante qui active le hacking (au bon sens du terme NDT) des
#   adresses IP dynamique dans IP MASQ, rendant ainsi les choses plus faciles pour les 
#   programmes du type Diald.
#
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr


# Active le patch LooseUDP dont certains jeux reseaux ont besoin
#
#  Si vous etes en train d'essayer de faire fonctionner un jeu sur Internet au travers votre 
#  serveur MASQ, et vous l'avez configure le mieux que vous pouviez mais que ca fonctionne 
#  toujours pas, essayez d'activer cette option (en supprimant le # en debut de ligne). 
#  Cette option est desactivee par defaut pour eviter une probable vulnerabilite au port 
#  scanning UDP en interne.
#
#echo "1" > /proc/sys/net/ipv4/ip_masq_udp_dloose


# MASQ timeouts
#
#  timeout de 2 heures pour les sessions TCP
#  timeout de  10 sec pour le traffic apres que le paquet TCP/IP "FIN" est recu
#  timeout de 160 sec pour le traffic UDP (Important pour les utilisateur d'ICQ MASQues) 
#
/sbin/ipchains -M -S 7200 10 160


# DHCP:  Pour les personnes qui recoivent leur adresse IP externe par DHCP ou
#        BOOTP tels que les utilisateurs d'ADSL ou Cable, il est necessaire de lancer cette 
#        commande avec celle du 'deny'. "nom_interface_cliente_bootp" 
#        doit etre remplace par le nom de l'interface qui va recevoir l'adresse externe par 
#        le serveur DHCP/BOOTP. C'est souvent quelquechose du style "eth0", 
#        "eth1", etc.
#
#        Cet exemple est commante (desactive) ici :
#
#/sbin/ipchains -A input -j ACCEPT -i nom_interface_cliente_bootp -s 0/0 67 -d 0/0 68 -p udp

# Active l'IP forwarding et Masquerading simpliste
#
#  NB:    L'exemple suivant est donne pour le LAN interne 192.168.0.x avec un masque
#         de sous reseau de 255.255.255.0 soit un masque de sous reseau "24 bits"
#         connecte a Internet par l'interface eth0.
#
#         ** Changez les adreesse reseau et masque de sous reseau, et l'interface de
#         ** votre connexion a Internet de telle sorte qu'ils correspondent aux reglages de votre LAN
#
/sbin/ipchains -P forward DENY
/sbin/ipchains -A forward -i eth0 -s 192.168.0.0/24 -j MASQ


</verb></tscreen>

Une fois que vous aurez termin&eacute; de r&eacute;diger les r&egrave;gles de /etc/rc.d/rc.firewall, rendez ce dernier
ex&eacute;cutable en tapant <tt>chmod 700 /etc/rc.d/rc.firewall</tt>

<p>
Maintenant que vos r&egrave;gles de firewall sont pr&ecirc;ts, vous devez faire en sorte qu'ils soient actifs apr&egrave;s chaque red&eacute;marrage.
Vous pouvez soit d&eacute;cider de le lancer &agrave; la main &agrave; chaque fois (une vraie gal&egrave;re) ou bien de le rajouter dans vos scripts de boot.
Nous vous montrons comment faire pour chacune des deux methodes ci-dessous :
<p>
<itemize> Pour les distribs RedHat ou deriv&eacute;es de la RedHat:
<p>
<item>Il y a deux mani&egrave;res de faire charger des trucs dans RedHat : /etc/rc.d/rc.local ou le mettre le script d'init dans /etc/rc.d/init.d/. La premi&egrave;re m&eacute;thode est la plus simple. Tout ce que vous avez &agrave; faire c'est de rajouter cette ligne :
 <p>
 <itemize>
   echo "Chargement des regles de rc.firewall..."
   /etc/rc.d/rc.firewall
 </itemize>
 <p>
 &agrave; la fin de votre /etc/rc.d/rc.local et c'est tout. Le probl&egrave;me de cette approche est que si vous tournez avec le jeu de r&egrave;gles  STRONG du firewall, le firewall n'est pas actif avant les derni&egrave;res phases du d&eacute;marrage. La meilleure approche est d'avoir le firewall charg&eacute; juste apr&egrave;s que le r&eacute;seau est lanc&eacute;. A partir de ce point, ce HOWTO ne traite que de l'approche /etc/rc.d/rc.local. Si vous voulez le syst&egrave;me STRONG, je vous recommande de vous reportez &agrave; la section 10 de TrinityOS dont vous trouverez le lien &agrave; la fin de ce HOWTO.
</itemize>
<p>
<itemize>Slackware :
<p>
<item>Il y a deux mani&egrave;re de faire charger des trucs dans la Slackware: /etc/rc.d/rc.local ou modifier le fichier /etc/rc.d/rc.inet2. La premi&egrave;re methode est la plus simple. Tout ce que vous avez &agrave; faire c'est de rajouter cette ligne :
 <p>
 <itemize>
   echo "Chargement des regles de rc.firewall..."<p>
   /etc/rc.d/rc.firewall
 </itemize>
 <p>
&agrave; la fin de votre /etc/rc.d/rc.local et c'est tout. Le probl&egrave;me de cette aproche est que si vous tournez avec les jeux de r&egrave;gles STRONG du firewall, le firewall n'est pas actif avant les derni&egrave;res phases du demarrage. La meilleure approche est d'avoir le firewall charg&eacute; juste apr&egrave;s que le r&eacute;seau est lanc&eacute;. A partir de ce point, ce HOWTO ne traite que de l'approche /etc/rc.d/rc.local. Si vous voulez le syst&egrave;me STRONG, je vous recommande de vous reporter &agrave; la section 10 de TrinityOS dont vous trouverez le lien &agrave; la fin de ce HOWTO.
</itemize>

<p>
<bf>Remarques sur la mani&egrave;re dont les utilisateurs doivent s'y prendre s'il veulent modifier les r&egrave;gles de firewall que nous avons vues ci-dessus :</bf>
<p>
Vous pouvez aussi activer l'IP Masquerading sur une base de cas par cas suivant la machine au lieu de la methode ci-dessus qui 
active le reseau TCP/IP entier. Par exemple, disons que je veux que seuls les machines 192.168.0.2 et 192.168.0.8 puissent acc&eacute;der &agrave; Internet et AUCUN autre ordinateur interne. Je changerais les r&egrave;gles dans la section "Active l'IP forwarding et Masquerading simpliste" (voir ci-dessus) dans les r&egrave;gles qui se trouvent dans le fichier /etc/rc.d/rc.firewall.
<tscreen>
<verb>

#!/bin/sh
#
# Active l'IP forwarding et Masquerading simpliste
#
#  NB:    L'exemple suivant est donne pour l'activation de l'IP Masquerading pour les
#         machines 192.168.0.2 et 192.1680.0.8 avec un masque
#         de sous reseau de 255.255.255.0 soit un masque de sous reseau "24 bits"
#         connecte a Internet par l'interface eth0.
#
#         ** Changez les adreesse reseau et masque de sous reseau, et l'interface de
#         ** votre connexion a Internet de telle sorte qu'ils correspondent aux reglages de votre LAN
#
/sbin/ipchains -P forward DENY
/sbin/ipchains -A forward -i eth0 -s 192.168.0.2/32 -j MASQ
/sbin/ipchains -A forward -i eth0 -s 192.168.0.8/32 -j MASQ

</verb>
</tscreen>

<p>
<bf>Erreurs courantes :</bf>
<p>
Une erreur qui para&icirc;t courante pour les nouveaux utilisateurs d'IP Masq est de faire de la commande suivante :

/sbin/ipchains -P forward masquerade

la premiere commande.

Ne faites <bf>PAS</bf> du MASQUERADING votre politique par defaut. Sinon une personne qui peut manipuler ses tables de routage sera capable de s'infiltrer directement &agrave; travers votre passerelle, en l'utilisant pour masquerader sa propre identit&eacute; !

<p>
Encore une fois, vous pouvez ajouter ces lignes dans votre fichier <tt>/etc/rc.d/rc.firewall</tt>, ou bien dans l'un de vos autres fichiers rc de votre convenance, ou bien le lancer manuellement &agrave; chaque fois que vous avez besoin de l'IP Masquerade.
<p>
Reportez vous SVP aux sections <ref id="Strong-IPFWADM-Rulesets"> et <ref id="Strong-IPCHAINS-Rulesets"> pour un guide detaill&eacute; d'IPCHAINS et un exemple de r&egrave;gles STRONG pour IPCHAINS. Pour des d&eacute;tails suppl&eacute;mentaires sur l'utilisation d'IPCHAINS, vous pouvez vous reporter au site principal d'IPCHAINS <htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/"> ou au site <htmlurl url="http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html" name="Linux IP CHAINS HOWTO Backup">.

<p>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<label id="rc.firewall-2.0.x">

<sect2> Noyau Linux 2.0.x
<p>
Cr&eacute;ez le fichier /etc/rc.d/rc.firewall avec les r&egrave;gles naives suivantes :
<tscreen>
<verb>

# rc.firewall - Initial SIMPLE IP Masquerade setup for 2.0.x kernels using 
#               IPFWADM
# rc.firewall - test IP Masquerade naif pour les noyaux 2.0.x 
#               avec IPFWADM
#
# Charge les modules necessaires a IP MASQ
#
#   NB: Charger uniquement les modules IP MASQ dont vous avez besoin. Tous les modules IP MASQ 
#       actuels sont montres ci-dessous mais sont commentes pour les empecher de se charger.
#
# Necessaire pour le chargement initial des modules
#
/sbin/depmod -a

# Permet le masquerading correct des transfert de fichier par FTP avec la methode PORT
/sbin/modprobe ip_masq_ftp

# Permet le masquerading de RealAudio par UDP. Sans ce module,
#       RealAudio FONCTIONNERA mais en mode TCP. Ce qui peu causer une baisse
#       dans la qualite du son
#
#/sbin/modprobe ip_masq_raudio

# Permet le masquerading des transferts de fichier par DCC pour les IRC
#/sbin/modprobe ip_masq_irc


# Permet le masquerading de Quake et QuakeWorld par defaut. Ce module est
#   necessaire pour les utilisateurs multiples derriere un server Linux MASQ. Si vous voulez jouer 
#   a Quake I, II, et III, utilisez le second exemple.
#
#   NB:  si vous rencontrez des ERREURs lors de chargement du module QUAKE, c'est que vous utilisez
#   un ancien noyau buggue. Mettez a jour votre noyau pour supprimer l'erreur.
#
#Quake I / QuakeWorld (ports 26000 et 27000)
#/sbin/modprobe ip_masq_quake
#
#Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960)
#/sbin/modprobe ip_masq_quake 26000,27000,27910,27960


# Permet le masquerading du logiciel CuSeeme pour la video conference
#
#/sbin/modprobe ip_masq_cuseeme

# Permet le masquerading du logiciel VDO-live pour la video conference
#
#/sbin/modprobe ip_masq_vdolive


#CRITIQUE:  Active l'IP forwarding puisqu'il est desactive par defaut
#
#           Utilisateurs Redhat: vous pourrez essayer en changeant les options dans 
#                          /etc/sysconfig/network de:
#
#                       FORWARD_IPV4=false
#                             a
#                       FORWARD_IPV4=true
#
echo "1" > /proc/sys/net/ipv4/ip_forward


#CRITIQUE:  Active automatiquement l'IP defragmenting puisqu'il est desactive par defaut 
#           dans les noyaux 2.2.x. Ceci etait une option de compilation mais ca a change 
#           depuis le noyau 2.2.12
#
echo "1" > /proc/sys/net/ipv4/ip_always_defrag


# Utilisateurs d'IP Dynamiques:
#
#   Si vous recevez votre adresse IP de maniere dynamique a partir d'un server SLIP, PPP,
#   ou DHCP, activez option suivante qui active le hacking (au bon sens du terme NDT) des
#   adresses IP dynamique dans IP MASQ, rendant ainsi les choses plus faciles pour les 
#   programmes du type Diald.
#
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr


# MASQ timeouts
#
#   2 hrs timeout for TCP session timeouts
#  10 sec timeout for traffic after the TCP/IP "FIN" packet is received
#  160 sec timeout for UDP traffic (Important for MASQ'ed ICQ users) 
#
/sbin/ipchains -M -S 7200 10 160


# DHCP:  For people who receive their external IP address from either DHCP or 
#        BOOTP such as ADSL or Cablemodem users, it is necessary to use the 
#        following before the deny command.  The "bootp_client_net_if_name" 
#        should be replaced the name of the link that the DHCP/BOOTP server 
#        will put an address on to?  This will be something like "eth0", 
#        "eth1", etc.
#
#        This example is currently commented out.
#
#
#/sbin/ipchains -A input -j ACCEPT -i bootp_clients_net_if_name -s 0/0 67 -d 0/0 68 -p udp


# Active l'IP forwarding et Masquerading simpliste
#
#  NB:    L'exemple suivant est donne pour le LAN interne 192.168.0.x avec un masque
#         de sous reseau de 255.255.255.0 soit un masque de sous reseau "24 bits"
#         connecte a Internet par l'interface eth0.
#
#         ** Changez les adreesse reseau et masque de sous reseau, et l'interface de
#         ** votre connexion a Internet de telle sorte qu'ils correspondent aux reglages de votre LAN
#
/sbin/ipfwadm -F -p deny
/sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.0/24 -D 0.0.0.0/0

</verb>
</tscreen>

Une fois que vous aurez termin&eacute; de r&eacute;diger les r&egrave;gles de /etc/rc.d/rc.firewall, rendez le
ex&eacute;cutable en tapant <tt>chmod 700 /etc/rc.d/rc.firewall</tt>
<p>
Maintenant que vos r&egrave;gles de firewall sont pr&ecirc;ts, vous devez faire en sorte qu'ils soient actifs apr&egrave;s chaque red&eacute;marrage.
Vous pouvez soit d&eacute;cider de le lancer &agrave; la main &agrave; chaque fois (une vraie gal&egrave;re) ou bien de le rajouter dans vos scripts de boot.
Nous vous montrons comment faire pour chacune des deux methodes ci-dessous :
<p>
<itemize> Pour les distribs RedHat ou deriv&eacute;es de la RedHat:
<p>
<item>Il y a deux mani&egrave;res de faire charger des trucs dans RedHat : /etc/rc.d/rc.local ou le mettre le script d'init dans /etc/rc.d/init.d/. La premi&egrave;re methode est la plus simple. Tout ce que vous avez &agrave; faire c'est de rajouter cette ligne :
 <p>
 <itemize>
   echo "Chargement des regles de rc.firewall..."
   /etc/rc.d/rc.firewall
 </itemize>
 <p>
 &agrave; la fin de votre /etc/rc.d/rc.local et c'est tout. Le probl&egrave;me de cette approche est que si vous tournez avec les r&egrave;gles de STRONG firewall, le firewall n'est pas actif avant les derni&egrave;res phases du d&eacute;marrage. La meilleure approche est d'avoir le firewall charg&eacute; juste apr&egrave;s que le reseau est lanc&eacute;. A partir de ce point, ce HOWTO ne traite que de l'approche /etc/rc.d/rc.local. Si vous voulez le syst&egrave;me STRONG, je vous recommande de vous reporter &agrave; la section 10 de TrinityOS dont vous trouverez le lien &agrave; la fin de ce HOWTO.
</itemize>
<p>
<itemize>Slackware :
<p>
<item>Il y a deux mani&egrave;res de faire charger des trucs dans la Slackware: /etc/rc.d/rc.local ou modifier le fichier /etc/rc.d/rc.inet2. La premi&egrave;re methode est la plus simple. Tout ce que vous avez &agrave; faire c'est de rajouter cette ligne :
 <p>
 <itemize>
   echo "Chargement des regles de rc.firewall..."<p>
   /etc/rc.d/rc.firewall
 </itemize>
 <p>
&agrave; la fin de votre /etc/rc.d/rc.local et c'est tout. Le probl&egrave;me de cette aproche est que si vous tournez avec les r&egrave;gles de STRONG firewall, le firewall n'est pas actif avant les derni&egrave;res phases du d&eacute;marrage. La meilleure approche est d'avoir le firewall charg&eacute; juste apres que le reseau est lanc&eacute;. A partir de ce point, ce HOWTO ne traite que de l'approche /etc/rc.d/rc.local. Si vous voulez le syst&egrave;me STRONG, je vous recommande de vous reporter &agrave; la section 10 de TrinityOS dont vous trouverez le lien &agrave; la fin de ce HOWTO.
</itemize>

<p>
<bf>Remarques sur la mani&egrave;re dont les utilisateurs doivent s'y prendre s'il veulent modifier les r&egrave;gles de firewall que nous avons vues ci-dessus :</bf>
<p>
Vous pouvez aussi activer l'IP Masquerading sur une base de cas par cas suivant la machine au lieu de la methode ci-dessus qui 
active le reseau TCP/IP entier. Par exemple, disons que je veux que seuls les machines 192.168.0.2 et 192.168.0.8 puisssent acc&eacute;der &agrave; Internet et AUCUN autre ordinateur interne. Je changerais les r&egrave;gles dans la section "Active l'IP forwarding et Masquerading simpliste" (voir ci-dessus) dans les r&egrave;gles qui se trouvent dans le fichier /etc/rc.d/rc.firewall.
<tscreen>
<verb>

#!/bin/sh
#
# Active l'IP forwarding et Masquerading simpliste
#
#  NB:    L'exemple suivant est donne pour l'activation de l'IP Masquerading pour les
#         machines 192.168.0.2 et 192.1680.0.8 avec un masque
#         de sous reseau de 255.255.255.0 soit un masque de sous reseau "24 bits"
#         connecte a Internet par l'interface eth0.
#
#         ** Changez les adresse reseau et masque de sous reseau, et l'interface de
#         ** votre connexion a Internet de telle sorte qu'ils correspondent aux reglages de votre LAN
#
/sbin/ipfwadm -F -p deny
/sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.2/32 -D 0.0.0.0/0
/sbin/ipfwadm -F -a m -W eth0 -S 192.168.0.8/32 -D 0.0.0.0/0
</verb>
</tscreen>
<p>

<bf>Erreurs courrantes :</bf>
<p>
Une erreur qui parait courante pour les nouveaux utilisateurs d'IP Masq est de faire de la commande suivante :
<verb>
ipfwadm -F -p masquerade
</verb>
la premiere commande.

Ne faites <bf>PAS</bf> du MASQUERADING votre politique par d&eacute;faut. Sinon une personne qui peut manipuler ses tables de routage sera capable de s'infiltrer directement &agrave; travers votre passerelle, en l'utilisant pour masquerader sa propre identit&eacute; !
<p>
Encore une fois, vous pouvez ajouter ces lignes dans votre fichier <tt>/etc/rc.d/rc.firewall</tt>, ou bien dans l'un de vos autres fichiers rc de votre convenance, ou bien le lancer manuellement &agrave; chaque fois que vous avez besoin de l'IP Masquerade.
<p>
Vous pouvez vous reporter aux sections <ref id="Strong-IPCHAINS-Rulesets"> et <ref id="Strong-IPFWADM-Rulesets">pour un guide detaill&eacute; et des examples de r&egrave;gles STRONG pour IPCHAINS et IPFWADM.

<!-- Section 4 -->
<label id="Configuring-clients">

<sect> Configurer les autres machines internes qui doivent &ecirc;tre MASQu&eacute;es 
<p>
En plus des r&eacute;glages d'adresses IP appropri&eacute;s pour chaque machine MASQu&eacute;e, vous devez r&eacute;gler pour chaque machine interne l'adresse IP de la passerelle (le serveur Linux MASQ) et les adresses des serveurs DNS. En g&eacute;n&eacute;ral, ca d&eacute;coule de source. Vous entrez simplement l'adresse IP de votre serveur Linux (192.168.0.1 en g&eacute;n&eacute;ral) dans le champ r&eacute;serv&eacute; &agrave; la passerelle.
<p>
Pour les Domain Name Service (Service de Nom de Domaine ou DNS en anglais), vous pouvez utiliser n'importe quel serveur DNS disponible. Le plus &eacute;vident, c'est celui qu'utilise votre serveur Linux. Vous pouvez aussi ajouter n'importe quel domaine de recherche (facultatif).
<p>
Apres avoir reconfigur&eacute; correctement les machines internes MASQu&eacute;es, n'oubliez pas de relancer leurs 'network services' (pour tenir compte des changements) ou bien de les red&eacute;marrer.
<p>
Les instructions suivantes supposent que vous utilisez un r&eacute;seau de Classe C avec 192.168.0.1 comme IP pour votre serveur Linux MASQ. Rappelez vous aussi que les adresses sont des adresses 192.168.0.0 et 192.168.0.255 TCP/IP reserv&eacute;es.
<p>
Les plateformes ci-dessous ont &eacute;t&eacute; test&eacute;es comme machines internes MASQu&eacute;es. Voici juste un EXEMPLE de tous les syst&egrave;mes d'exploitations compatibles :
<p>
<itemize>
  <item>ordinateurs Apple Macintosh sous MacOS avec soit MacTCP soit Open Transport
  <item>Commodore Amiga avect AmiTCP ou la pile AS225
  <item>Stations Digital VAX 3520 et 3100 avec UCX (pile TCP/IP pour VMS)
  <item>Digital Alpha/AXP sous Linux/Redhat
  <item>IBM AIX sur un RS/6000
  <item>IBM OS/2 (dont Warp v3)
  <item>IBM OS400 sur un AS/400
  <item>Linux 1.2.x, 1.3.x, 2.0.x, 2.1.x, 2.2.x
  <item>Microsoft DOS (avec les packet drivers et le package NCSA Telnet, DOS Trumpet fonctionne partiellement)
  <item>Microsoft Windows 3.1 (avec le package Netmanage Chameleon)
  <item>Microsoft Windows For Workgroup 3.11 (avec le package TCP/IP)
  <item>Microsoft Windows 95, OSR2, 98, 98se
  <item>Microsoft Windows NT 3.51, 4.0, 2000 (workstation et server)  
  <item>Novell Netware 4.01 Server avec les services TCP/IP
  <item>SCO Openserver (v3.2.4.2 et 5)
  <item>Sun Solaris 2.51, 2.6, 7
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuration de Microsoft Windows 95
<p>
NDT : je n'ai acc&egrave;s &agrave; AUCUN windows, je ne peux donc pas tester ce que je traduis. Merci de me faire parvenir les incorrections.
Ceci reste valable pour toute la suite de ce document. Merci de ne pas m'en tenir rigueur.
<p>
<enum>
<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau ou ses drivers, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.
<p>
<item>Allez dans <em>'Panneaux de Configuration'</em> --> <em>'Network'</em>.
<p>
<item>Cliquez sur <em>Ajouter</em> --> <em>Protocole</em> --> <em>Manufacture: Microsoft</em> --> <em>Protocole:</em> <em>'TCP/IP protocol'</em> Si vous ne l'avez pas encore.
<p>
<item>Selectionnez le TCP/IP sur votre carte r&eacute;seau de Windows95 et s&eacute;lectionnez <em>'Proprietes'</em>.  Maintenant allez sur <em>'IP Adresse IP'</em> et rentrez comme Adresse IP 192.168.0.x, (1 &lt; x &lt; 255), et comme Masque de sous-r&eacute;seau 255.255.255.0
<p>
<item>Maintenant s&eacute;lectionnez <em>"Passerelle"</em> et ajoutez 192.168.0.1 comme passerelle dans  <em>'Passerelle'</em> et cliquer sur "Ajouter".
<p>
<item>Sous la languette <em>'Configuration DNS'</em>, mettez un nom pour votre machine et entrez le nom de domaine officiel. Si vous ne savez pas quel est votre nom de domaine, mettez celui de votre FAI. Maintenant, ajoutez tous les serveurs DNS que votre serveur Linux utilise (vous pouvez les trouver en g&eacute;n&eacute;ral dans <tt>/etc/resolv.conf</tt>). En general, ces serveurs DNS sont ceux de votre FAI, bienque vous puissiez utiliser vos propres CACHING ou serveur Authoritative DNS sur votre seveur Linux MASQ. 
Vous pouvez aussi ajouter n'importe quel domaine de recherche (facultatif).
<p>
<item>Laissez tous les autres r&eacute;glages inchang&eacute;s &agrave; moins que vous sachiez ce que vous faites.
<p>
<item>Cliquez sur <em>'OK'</em> sur toutes les fen&ecirc;tres de dialogues et r&eacute;demarrez votre ordinateur.
<p>
<item><tt/Ping/uez le serveur Linux pour tester la connexion r&eacute;seau: <em>'Executer'</em>, entrez: <tt>ping 192.168.0.1</tt>
&nl;(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore <tt/ping/uer le monde exterieur.) Si vous ne recevez pas de
r&eacute;ponses de vos PINGs, v&eacute;rifiez votre configuration r&eacute;seau.
<p>
<item> Vous pouvez aussi cr&eacute;er un fichier <tt/HOSTS/ dans the C:\Windows et pouvoir ainsi utiliser des noms de machines de votre LAN sans avoir besoin de serveur DNS. Il y a un exemple appel&eacute; <tt/HOSTS.SAM/ dans le repertoire C:\windows.
</enum>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuring Windows NT
<p>
NDT : je n'ai acc&egrave;s &agrave; AUCUN Windows, je ne peux donc pas tester ce que je traduis. Merci de me faire parvenir les incorrections.
Ceci reste valable pour toute la suite de ce document. Merci de ne pas m'en tenir rigueur.
<p>
<enum>

<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau ou ses drivers, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.
<p>
<item>Allez dans <em>'Panneaux de Configuration'</em> --> <em>'Network'</em>.
<p>
<item>Cliquez sur <em>Ajouter</em> --> <em>Protocole</em> --> <em>Manufacture: Microsoft</em> --> <em>Protocole:</em> <em>'TCP/IP protocol'</em> Si vous ne l'avez pas encore.
<p>
<item>Dans la section <em>'Logiciels et Cartes Reseaux'</em>, s&eacute;lectionnez le <em>'Protocle TCP/IP'</em> dans la boite de s&eacute;lection<em>'Logiciels Reseaux Insatalles'</em>.
<p>
<item>Dans <em>'Configuration TCP/IP'</em>, selectionnez la carte appropriee, i.e. <tt>[1]Novell NE2000 Adapter</tt>. Reglez ensuite l'adresse IP : 192.168.0.x (1 &lt; x &lt; 255), et le masque de sous-r&eacute;seau : 255.255.255.0 et la Passerelle par D&eacute;faut &agrave; 192.168.0.1
<p>
<item>N'activez aucune des options suivantes (&agrave; moins que vous sachiez exactement ce que vous faites) :
<p>
<itemize>
  <item><em>'Configuration Automatique DHCP'</em> : A moins que vous ayiez un serveur DHCP sur votre r&eacute;seau.
  <item>Rentrez n'importe quoi dans <em>'Sever WINS'</em> champs d'entr&eacute;e : A moins que vous ayiez configur&eacute; un ou plusieurs serveurs WINS.
  <item><em>Activer l'IP Forwarding</em> : A moins que vous routiez vers votre serveur NT et que vous sachiez vraiment -VRAIMENT- ce que vous faites PRECISEMENT.
</itemize>
<p>
<item>Cliquez sur <em>'DNS'</em>, saisissez les informations que votre serveur Linux utilise (g&eacute;n&eacute;ralement dans /etc/resolv.conf) et cliquez sur <em>'OK'</em>quand vous avez fini.
<p>
<item>Cliquez sur <em>'Advances'</em>, et DESACTIVEZ <em>'DNS pour la R&eacute;solution des Noms Windows'</em> et <em>'Activer la Recherche LMHOSTS'</em> &agrave; moins que vous sachiez ce que font ces options. Si vous voulez utiliser un fichier LMHOSTS, ils sont rang&eacute;s dans C:\winnt\system32\drivers\etc.
<p>
<item>Cliquez sur <em>'OK'</em> sur toutes les boites de dialogue et red&eacute;marrer votre ordinateur.
<p>
<item><tt/Ping/uez le serveur Linux pour tester la connexion r&eacute;seau: <em>'Executer'</em>, entrez: <tt>ping 192.168.0.1</tt>
&nl;(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore <tt/ping/uer le monde ext&eacute;rieur.) Si vous ne recevez pas de
r&eacute;ponses de vos PINGs, v&eacute;rifiez votre configuration r&eacute;seau.
</enum>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>  Configuration de Windows for Workgroup 3.11
<p>
NDT : je n'ai acc&egrave;s &agrave; AUCUN Windows, je ne peux donc pas tester ce que je traduis. Merci de me faire parvenir les incorrections.
Ceci reste valable pour toute la suite de ce document. Merci de ne pas m'en tenir rigueur.
<p>
<enum>

<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau ou ses drivers, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.
<p>
<item>Installez le package TCP/IP 32b si vous ne l'avez pas encore fait.
<p>
<item>Dans <em>'Main'/'Reglages Windows'/'Reglages Reseaux'</em>, cliquez sur <em>'Drivers'</em>.
<p>
<item>S&eacute;lectionnez <em>'Microsoft TCP/IP-32 3.11b'</em> dans la section <em>'Drivers Reseaux'</em>, cliquez sur <em>'Regler'</em>. 
<p>
<item>R&eacute;glez ensuite l'adresse IP : 192.168.0.x (1 &lt; x &lt; 255), et le masque de sous-r&eacute;seau : 255.255.255.0 et la Passerelle par D&eacute;faut a 192.168.0.1
<p>
<item>N'activez aucune des options suivantes (&agrave; moins que vous sachiez exactement ce que vous faites) :
<p>
<itemize>
  <item><em>'Configuration Automatique DHCP'</em> : A moins que vous ayiez un serveur DHCP sur votre r&eacute;seau.
  <item>Rentrez n'importe quoi dans <em>'Sever WINS'</em> champs d'entree : A moins que vous ayiez configur&eacute; un ou plusieurs serveurs WINS.
</itemize>
<p>
<item>Cliquez sur <em>'DNS'</em>, saisissez les informations que votre serveur Linux utilise (g&eacute;n&eacute;ralement dans /etc/resolv.conf) et cliquez sur <em>'OK'</em>quand vous avez fini. 
<p>
<item>Cliquez sur <em>'Avances'</em>, activez <em>'DNS pour la Resolution des Noms Windows'</em> et <em>'Activer la Recherche LMHOSTS'</em> que vous trouverez dans c:\windows. 
<p>
<item>Cliquez sur <em>'OK'</em> sur toutes les boites de dialogue et red&eacute;marrer votre ordinateur.
<p>
<item><tt/Ping/uez le serveur Linux pour tester la connexion r&eacute;seau: <em>'Executer'</em>, entrez: <tt>ping 192.168.0.1</tt>
&nl;(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore <tt/ping/uer le monde ext&eacute;rieur.) Si vous ne recevez pas de
r&eacute;ponses de vos PINGs, v&eacute;rifiez votre configuration r&eacute;seau.
</enum>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuration des Syst&egrave;mes Bas&eacute;s sur UNIX
<p>
<enum>
<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau et recompil&eacute; votre noyau avec les drivers correspondants, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.

<item>Installez le r&eacute;seau TCP/IP, tel que le package net-tools, si vous ne l'avez pas encore fait.
<p>
<item>Changez <em/IPADDR/ en 192.168.0.x (1 &lt; x &lt; 255), et changez ensuite <em/NETMASK/ en 255.255.255.0, <em/GATEWAY/ en 192.168.0.1, et <em/BROADCAST/ en 192.168.0.255 
<p>
Par exemple avec les Linux Redhat, vous pouvez modifier le fichier <tt>/etc/sysconfig/network-scripts/ifcfg-eth0</tt>, ou simplement le faire gr&acirc;ce au Tableau de Bord. Ces changement se font diff&eacute;remment sur les autres UNIXes tels que SunOS, BSDi, Slackware Linux, Solaris, SuSe, Debian, etc.). Reportez vous &agrave; la documentation de votre UNIX pour de plus amples informations.
<p>
<item> Ajoutez votre DNS et votre domaine de recherche dans <tt>/etc/resolv.conf</tt> et suivant la version de votre UNIX, modifiez le fichier /etc/nsswitch.conf pour activer les DNS.
<p>
<item>Vous pouvez aussi mettre &agrave; jour votre fichier <tt>/etc/networks</tt> suivant vos reglages.
<p>
<item>Red&eacute;marrer les services consern&eacute;s ou plus simplement, red&eacute;marrez votre machine.
<p>
<item>Faites un <tt/ping/ : <tt>ping 192.168.0.1</tt> pour tester votre connexion avec la passerelle.
&nl;(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore <tt/ping/uer le monde exterieur.) Si vous ne recevez pas de
r&eacute;ponses de vos PINGs, v&eacute;rifiez votre configuration r&eacute;seau.
</enum>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuration de DOS avec le package NCSA Telnet
<p>
<enum>
<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau ou ses drivers, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.
<p>
<item>Chargez les drivers correspondants. Par exemple : pour la carte Ethernet NE2000 sur le port d'E/S 300 et d'IRQ 10, tappez <tt>nwpd 0x60 10 0x300</tt> 
<p>
<item>Cr&eacute;ez un nouveau r&eacute;pertoire et dezippez le package NCSA Telnet : <tt>pkunzip tel2308b.zip</tt>
<p>
<item>Utilisez un &eacute;diteur de texte pour ouvrir le fichier <tt/config.tel/
<p>
<item>Modifiez <tt>myip=192.168.0.x</tt> (1 &lt; x &lt; 255), et netmask=255.255.255.0
<p>
<item>Dans cet exemple, vous devriez mettre : <tt>hardware=packet, interrupt=10, ioaddr=60</tt> 
<p>
<item>Vous devriez avoir au moins une machine comme passerelle, i.e. la machine Linux :
<p>
<tscreen><verb>
name=default
host=votreMachineLinux
hostip=192.168.0.1
gateway=1
</verb></tscreen>
<p>
<item>Entrez aussi les sp&eacute;cifications de votre serveur DNS : 
<p>
<tscreen><verb>
name=dns.domain.com ; hostip=123.123.123.123; nameserver=1
</verb></tscreen>
<p>
NB : remplacez les information ci-dessus par les informations DNS qu'utilisent le serveur Linux
<p>
<item>Sauvegarder votre fichier <tt/config.tel/
<p>
<item>Faites un telnet vers le serveur linux pour tester la connexion reseau : <tt>telnet 192.168.0.1</tt>. Si vous ne recevez pas de r&eacute;ponse, v&eacute;rifiez votre configuration r&eacute;seau.
</enum>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuration d'une machine tournant sous MacOS et MacTCP
<p>
<enum>
<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau ou ses drivers, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.
<p>
<item>Ouvrez le <em/tableau de bord MacTCP/. S&eacute;lection les bons drivers r&eacute;seaux (Ethernet, PAS EtherTalk) et cliquez sur le bouton  <em>'More...'</em>.
<p>
<item>Dans <em>'Obtain Address:'</em>, cliquez sur <em>'Manually'</em>.
<p>
<item>Dans <em>'Adresse IP:'</em>, s&eacute;lectionnez <em>class C</em> du menu d&eacute;roulant. Ignorez le reste de cette boite de dialogue.
<p>
<item> Remplissez les informations n&eacute;cessaires dans <em>'Adresses Serveurs de Noms :'</em>.
<p>
<item>Dans <em>'Adresse Passerelle :'</em>, entrez 192.168.0.1
<p>
<item>Cliquez sur <em>'OK'</em> pour sauvegarder vos r&eacute;glages. Dans la fen&ecirc;tre principale de <em/MacTCP/, entrez l'adresse IP de votre Mac (192.168.0.x, 1 < x < 255) dans le champs <em>'Adresse IP :'</em>.
<p>
<item>Fermez le <em/Tableau de Bord MacTCP/. Si un dialogue vous demande de red&eacute;marrer, faites le.
<p>
<item>Vous pouvez aussi faire un ping vers le serveur Linux pour tester la connexion de votre r&eacute;seau. Si vous avez le freeware <em/MacTCP Watcher/, cliquez sur le bouton <em>'Ping'</em>, et entrez l'adresse de votre serveur linux (192.168.0.1) dans le dialogue qui appara&icirc;t. (Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore <tt/ping/uer le monde exterieur.) Si vous ne recevez pas de r&eacute;ponses de vos PINGs, v&eacute;rifiez votre configuration r&eacute;seau.
<p>
<item> Vous pouvez eventuellement cr&eacute;er un fichier <tt/Hosts/ dans le Dossier Syst&egrave;me pour pouvoir utiliser des noms de machines sur votre LAN. Ce fichier existe probablement d&eacute;j&agrave; dans votre Dossier Syst&egrave;me et devrait contenir quelques exemples (en commentaire donc d&eacute;sactives) que vous pouvez modifier suivant vos besoins.
</enum>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuration d'une machine tournant sous MacOS et Open Transport 
<p>
<enum>
<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau ou ses drivers, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.
<p>
<item>Ouvrez le <em>Tableau de Bord TCP/IP</em> et choisissez <em>'Mode Utilisateur...'</em> dans le menu <em/Edit/. Verifiez que le mode en cours est au moins sur <em>'Avanc&eacute;'</em> et cliquez sur le bouton <em>'OK'</em>.
<p>
<item>Choisissez ensuite <em>'Configurations...'</em> dans le menu <em>Fichier</em>. S&eacute;lectionnez la configuration <em>'Par Defaut'</em> et cliquer sur <em>'Dupliquer...'</em>. Entrez 'IP Masq' (ou quelquechose que vous reconnaitrez comme une configuration sp&eacute;ciale) dans le dialogue de <em>'Dupliquer la Configuration'</em>, qui vous dit sans doute quelquechose du style <em>'Par Defaut copie'</em>. Cliquez ensuite sur le bouton <em>'OK'</em>, et finalement sur le bouton <em>'Selectionner'</em>
<p>
<item>Selectionnez <em>'Ethernet'</em> dans le menu deroulant <em>'Connexion :'</em>.
<p>
<item>Selectonnez l'article appropri&eacute; dans le menu d&eacute;roulant <em>'Configuration:'</em>. Si vous ne savez pas ce qu'il faut choisir, c'est que vous devez probablement choisir le m&ecirc;me article celui de votre configuration <em>'Par Defaut'</em> et quittez. Moi j'utilise <em>'Manuellement'</em>.
<p>
<item>Entrez l'adresse IP de votre Mac (192.168.0.x, 1 < x < 255) dans le champ <em>'Adresse IP :'</em>.
<p>
<item>Entrez 255.255.255.0 dans le champ <em>'Masque sous-reseau :'</em>.
<p>
<item>Entrez 192.168.0.1 dans le champ <em>'Adresse du Routeur :'</em>.
<p>
<item>Entrez les Adresses IP de vos serveurs DNS dans le champ <em>'Adr. Serv. de Noms :'</em>.
<p>
<item>Entrez votre nom domaine de recherche Internet (ex : 'microsoft.com') dans le champ <em>'Domaine de D&eacute;part'</em> en dessous
de <em>'Domaine de recherche implicite :'</em>.
<p>
<item> Les proc&eacute;dures qui suivent sont optionnels. Des valeurs incorrects peuvent causer un comportement erratique. Si vous n'&ecirc;tes pas s&ucirc;r de ce que vous faites, c'est sans doute plus s&ucirc;r de les laisser vides, non-coch&eacute;s et/ou non s&eacute;lectionn&eacute;s. Retirez les informations de ces champs si n&eacute;cessaire. A ma connaissance, il n'est pas possible, au travers des dialogues de TCP/IP, de dire au syst&egrave;me de ne pas utiliser un fichier "Hosts" pr&eacute;c&eacute;dement s&eacute;lectionn&eacute;. Si vous savez comment faire, faites moi en part.
<p>
Cochez la case <em>'802.3'</em> si votre r&eacute;seau a besoin des fen&ecirc;tres de type 802.3.
<p>
<item>Cliquez sur <em>'Options...'</em>et v&eacute;rifiez que TCP/IP est actif. J'utilise l'option <em>'Charger uniquement au besoin'</em>. Si vous lancez et quittez souvent des applications TCP/IP sans red&eacute;marrer, vous trouverez sans doute, que d&eacute;cocher l'option <em>'Charger uniquement au besoin'</em>va emp&ecirc;cher/r&eacute;duire les effets de la gestion de la m&eacute;moire sur vos machines.  Quand cette option est d&eacute;coch&eacute;e, les piles du protocole TCP/IP sont toujours charg&eacute;es et disponibles. Quand cette option est coch&eacute;e, les piles TCP/IP sont charg&eacute;es automatiquement quand il le faut et sont ensuite d&eacute;charg&eacute;es (unloaded). C'est ce chargement/d&eacute;chargement qui provoque la fragmentation de la m&eacute;moire de vos machines.
<p>
<item>Vous pouvez aussi faire un ping vers le serveur Linux pour tester la connexion de votre r&eacute;seau. Si vous avez le freeware <em/MacTCP Watcher/, cliquez sur le bouton <em>'Ping'</em>, et entrez l'adresse de votre serveur linux (192.168.0.1) dans le dialogue qui appara&icirc;t. (Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore <tt/ping/uer le monde ext&eacute;rieur.) Si vous ne recevez pas de r&eacute;ponses de vos PINGs, v&eacute;rifiez votre configuration r&eacute;seau.
<p>
<item> Vous pouvez eventuellement cr&eacute;er un fichier <tt/Hosts/ dans le Dossier Syst&egrave;me pour pouvoir utiliser des noms de machines sur votre LAN. Ce fichier existe probablement d&eacute;j&agrave; dans votre Dossier Syst&egrave;me et devrait contenir quelques exemples (en commentaire donc d&eacute;sactiv&eacute;s) que vous pouvez modifier suivant vos besoins. Sinon, vous pouvez r&eacute;cup&eacute;rer une copie d'une machine qui tourne sous MacTCP ou simplement cr&eacute;er le votre (il suit un sous format des fichiers UNIX <tt>/etc/hosts</tt>, d&eacute;crit dans la RFC952). Une fois ce fichier cr&eacute;&eacute;, ouvrez le <em>Tableau de Bord TCP/IP</em>, cliquez sur bouton <em>'Choisir un fichier "Hosts"...'</em>, et choisissez le fichier <tt/Hosts/.
<p>
<item>Cliquez sur la case de fermeture ou choisissez <em>'Fermer'</em> ou <em>'Quitter'</em> dans le menu <em>Fichier</em>, et cliquez ensuite sur <em>'Sauvegarder'</em> pour enregistrer vos changements.
<p>
<item>Les changements prennent effet immediatement mais un petit red&eacute;merrage ne ferait pas de mal non plus.

</enum>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuration du r&eacute;seau Novell sous DNS
<p>
<enum>
<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau ou ses drivers, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.
<p>
<item>T&eacute;l&eacute;chargez tcpip16.exe ici : <url url="ftp.novell.com/pub/updates/unixconn/lwp5" name="The Novell LanWorkPlace page">
<p>
<item><verb>edit c:\nwclient\startnet.bat</verb>: (voici une copie du mien)
<verb>
SET NWLANGUAGE=ENGLISH
LH LSL.COM
LH KTC2000.COM
LH IPXODI.COM
LH tcpip
LH VLM.EXE
F:
</verb>
<p>
<item><verb>edit c:\nwclient\net.cfg</verb>: (changer le lien du driver vers le votre i.e. NE2000)
<verb>
Link Driver KTC2000
        Protocol IPX 0 ETHERNET_802.3    
        Frame ETHERNET_802.3     
        Frame Ethernet_II        
        FRAME Ethernet_802.2

NetWare DOS Requester
           FIRST NETWORK DRIVE = F
           USE DEFAULTS = OFF
           VLM = CONN.VLM
           VLM = IPXNCP.VLM
           VLM = TRAN.VLM
           VLM = SECURITY.VLM
           VLM = NDS.VLM
           VLM = BIND.VLM
           VLM = NWP.VLM
           VLM = FIO.VLM
           VLM = GENERAL.VLM
           VLM = REDIR.VLM
           VLM = PRINT.VLM
           VLM = NETX.VLM

Link Support
        Buffers 8 1500
        MemPool 4096

Protocol TCPIP
        PATH SCRIPT     C:\NET\SCRIPT
        PATH PROFILE    C:\NET\PROFILE
        PATH LWP_CFG    C:\NET\HSTACC
        PATH TCP_CFG    C:\NET\TCP
        ip_address      192.168.0.xxx
        ip_router       192.168.0.1

</verb>

<verb>
Changez votre adresse IP dans le champs "ip_address" si dessus (192.168.0.x, 1 < x < 255) 
et cr&eacute;ez enfin le fichier c:\bin\resolv.cfg:

SEARCH DNS HOSTS SEQUENTIAL
NAMESERVER xxx.xxx.xxx.xxx
NAMESERVER yyy.yyy.yyy.yyy
</verb>

<item>Maintenant modifiez les entr&eacute;es "NAMESERVER" et remplacez less avec les adresses IP correctes pour votre serveur DNS local. 
<p>
<item>Faites un <tt/ping/ : <tt>ping 192.168.0.1</tt> pour tester votre connexion avec la passerelle.
&nl;(Ceci est juste un test du LAN INTERNE, vous ne pouvez pas encore <tt/ping/uer le monde ext&eacute;rieur.) Si vous ne recevez pas de
r&eacute;ponses de vos PINGs, v&eacute;rifiez votre configuration r&eacute;seau.

</enum>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuration d'OS/2 Warp
<p>
NDT : je ne connais pas OS/2 et ne sais pas s'il existe une version francaise de ce syst&egrave;me.
<p>
<enum>
<item>Si vous n'avez pas encore install&eacute; votre carte r&eacute;seau et recompil&eacute; votre noyau avec les drivers correspondants, faites le maintenant. L'explication de ces &eacute;tapes sort du cadre de ce document.
<p>
<item>Installez le protocole TCP/IP si vous ne l'avez pas d&eacute;j&agrave; fait.
<p>
<item>Allez dans <em>Programs/TCP/IP (LAN) / TCP/IP</em> Settings
<p>
<item>Dans le champ <em>'Network'</em> ajoutez votre Adresse TCP/IP (192.168.0.x) et r&eacute;glez votre masque de sous-r&eacute;seau (255.255.255.0)
<p>
<item>Sous <em>'Routing'</em> cliquez sur <em>'Add'</em>. Comme <em>Type</em> mettez <em>'default'</em> et tappez l'Adresse IP de votre serveur Linux dans le champ <em>'Router Address'</em>. (192.168.0.1). 
<p>
<item>Mettez les adresses des serveurs DNS (Serveurs de Noms) qu'utilisent votre serveur Linux dans <em>'Hosts'</em>.
<p>
<item>Fermez le tableau de bord TCP/IP. R&eacute;pondez par oui aux questions qui suivent.
<p> 
<item>Red&eacute;marrez votre syst&egrave;me
<p>
<item>Vous pouvez faire un ping vers votre serveur Linux pour tester votre configuration r&eacute;seau. Tappez <tt>'ping 192.168.0.1'</tt> dans la fenetre de prompt d'OS/2. Si vous recevez les packets ping, c'est que tout ce passe bien.

</enum>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Configuration d'OS/400 sur un IBM AS/400
<p>
La configuration de TCP/IP sur OS/400 version V4R1M0 sur un AS/400 d&eacute;passe le cadre de ce document.

1) Pour pouvoir configurer toute t&acirc;che de communication sur votre AS/400, vous devez avoir le privil&egrave;ge sp&eacute;cial *IOSYSCFG (I/O System Configuration) dans votre profile utilisateur. Vous pouvez verifier les caract&eacute;ristiques de votre profil utilisateur avec la commande DSPUSRPRF

2) Tappez la commande GO CFGTCP pour acc&eacute;der au menu de configuration de TCP/IP.

3) Selectionnez Option 2 - Work with TCP/IP Routes.

4) Entrer un 1 dans le champs Opt pour ajouter une route
        * dans Route Destination (Route de Destination) tappez *DFTROUTE
        * dans Subnet Mask (Masque de sous reseau) tappez *NONE
        * dans Type of Service (Type de Service) tappez *NORMAL
        * dans Next Hop (Prochain saut) tappez l'adresse IP de votre passerelle (le serveur linux)


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Configuration des autres Syst&egrave;mes
<p>
La m&ecirc;me logique devrait s'appliquer pour les r&eacute;glages sur les autres plateformes. Consultez les sections pr&eacute;c&eacute;dentes. Si vous &ecirc;tes int&eacute;r&eacute;ss&eacute;s par la r&eacute;daction des m&eacute;thodes pour les syst&egrave;mes qui n'ont pas encore &eacute;t&eacute; trait&eacute;s, vous pouvez envoyer par email les instructions d&eacute;taill&eacute;s &agrave; <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> et <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<!-- Section 5 -->

<sect> Tester IP Masquerade 
<p>

<label id="Testing">

Enfin, il est temps de faire un essai officiel de l'IP Masquerading apr&egrave;s ce dur labeur. Si vous n'avez pas encore red&eacute;marr&eacute; votre serveur Linux, faites le pour &ecirc;tre sur que la machine d&eacute;marre bien, ex&eacute;cute les scripts /etc/rc.d/rc.firewall etc. Ensuite, v&eacute;rifiez que les connexions internes de votre LAN et les connexions de votre serveur Linux avec Internet fonctionnent bien.
<p>
Faites ces -10- tests pour &ecirc;tre sur que les diff&eacute;rents aspects de votre configuration MASQ fonctionnent correctement :
<p>
<sect1>Tester les connexions locales
<p>

<itemize>
  <item><bf>Premi&egrave;re Etape : Tester les connexions locales entre les PC</bf>  
  <p>
  A partir d'un ordinateur MASQu&eacute; interne, essayez de pinguer sa propre adresse IP locale (i.e. <em>ping 192.168.0.10 </em>).
  Ce test va v&eacute;rifier que TCP/IP fonctionne bien sur la machine locale. Presque tous les syst&egrave;mes d'exploitation modernes ont une commande ping integr&eacute;e. Si ce ping ne fonctionne pas, v&eacute;rifiez que vous avez correctement configur&eacute; le PC MASQu&eacute; comme d&eacute;crit plus t&ocirc;t dans la section <ref id="Configuring-clients"> de ce HOWTO. L'output devrait ressembler &agrave; &ccedil;a (faire Control-C pour arr&ecirc;ter le ping) :
  <code>
masq-client# ping 192.168.0.10 
PING 192.168.0.10 (192.168.0.10): 56 data bytes
64 bytes from 192.168.0.10: icmp_seq=0 ttl=255 time=0.8 ms
64 bytes from 192.168.0.10: icmp_seq=1 ttl=255 time=0.4 ms
64 bytes from 192.168.0.10: icmp_seq=2 ttl=255 time=0.4 ms
64 bytes from 192.168.0.10: icmp_seq=3 ttl=255 time=0.5 ms

--- 192.168.0.10 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.5/0.8 ms
</code>
</itemize>
  <p>

<sect1>Tester les connexions internes du serveur Linux
  <p>
<itemize>
  <item><bf>Deuxi&egrave;me Etape : Tester les connexions internes du serveur Linux</bf>  
  Sur le serveur MASQ lui-m&ecirc;me, pinguez l'adresse IP de l'interface r&eacute;seau du serveur MASQ (i.e. <em>ping 192.168.0.1</em>).
  L'outpout devrait ressembler &agrave; &ccedil;a (faire Control-C pour arreter le ping) :
  <code>
masq-client# ping 192.168.0.1
PING 192.168.0.1 (192.168.0.1): 56 data bytes
64 bytes from 192.168.0.1: icmp_seq=0 ttl=255 time=0.8 ms
64 bytes from 192.168.0.1: icmp_seq=1 ttl=255 time=0.4 ms
64 bytes from 192.168.0.1: icmp_seq=2 ttl=255 time=0.4 ms
64 bytes from 192.168.0.1: icmp_seq=3 ttl=255 time=0.5 ms

--- 192.168.0.1 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.5/0.8 ms
</code>
</itemize>

<sect1>Tester la Connection Externe du serveur Linux
<p>

<itemize>
  <item><bf>Troisi&egrave;me Etape : Tester la Connection Externe du serveur Linux</bf>  
  
  Ensuite pinguez l'adresse IP de l'interface r&eacute;seau externe (carte r&eacute;seau connect&eacute;e &agrave; Internet). Cette adresse peut &ecirc;tre re&ccedil;ue par PPP, Ethernet, etc. C'est la connexion vers votre FAI. Si vous ne connaissez pas cette adresse IP, executez la commande Linux <em>"/sbin/ifconfig"</em> sur le serveur MASQ Linux. L'output devrait ressembler &agrave; &ccedil;a (nous cherchons l'adresse IP de l'interface eth0) :
  <code>
eth0      Link encap:Ethernet  HWaddr 00:08:C7:A4:CC:5B  
          inet addr:12.13.14.15  Bcast:64.220.150.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:6108459 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5422798 errors:8 dropped:0 overruns:0 carrier:8
          collisions:4675 txqueuelen:100 
          Interrupt:11 Base address:0xfcf0 
  </code>
  Nous pouvons voir dans cet example que l'adresse IP externe est "12.13.14.15". Bon, maintenant que vous avez votre adresse IP apr&egrave;s avoir lanc&eacute; la commande "ifconfig", pinguez votre adresse IP externe. Nous aurons ainsi la confirmation que le serveur MASQ a bien toutes les connexions r&eacute;seaux. L'outpout devrait ressembler &agrave; &ccedil;a (faire Control-C pour arr&ecirc;ter le ping) :
  <code>
masq-server# ping 12.13.14.15
PING 12.13.14.15 (12.13.14.15): 56 data bytes
64 bytes from 12.13.14.15: icmp_seq=0 ttl=255 time=0.8 ms
64 bytes from 12.13.14.15: icmp_seq=1 ttl=255 time=0.4 ms
64 bytes from 12.13.14.15: icmp_seq=2 ttl=255 time=0.4 ms
64 bytes from 12.13.14.15: icmp_seq=3 ttl=255 time=0.5 ms

--- 12.13.14.15 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.5/0.8 ms
</code>
Si l'un de ces tests ne fonctionne pas, vous devez repartir en arri&egrave;re et v&eacute;rifier une seconde fois vos cablages, et v&eacute;rifier que vos deux NICs du serveur MASQ sont vu dans "dmesg". Un exemple de l'output se trouve vers la fin (END)  de la commande "dmesg" :
  <code>
.
.
PPP: version 2.3.7 (demand dialling)
TCP compression code copyright 1989 Regents of the University of California
PPP line discipline registered.
3c59x.c:v0.99H 11/17/98 Donald Becker
http://cesdis.gsfc.nasa.gov/linux/drivers/
vortex.html
eth0: 3Com 3c905 Boomerang 100baseTx at 0xfe80,  00:60:08:a7:4e:0e, IRQ 9
  8K word-wide RAM 3:5 Rx:Tx split, autoselect/MII interface.
  MII transceiver found at address 24, status 786f.
  Enabling bus-master transmits and whole-frame receives.
eth1: 3Com 3c905 Boomerang 100baseTx at 0xfd80,  00:60:97:92:69:f8, IRQ 9
  8K word-wide RAM 3:5 Rx:Tx split, autoselect/MII interface.
  MII transceiver found at address 24, status 7849.
  Enabling bus-master transmits and whole-frame receives.
Partition check:
 sda: sda1 sda2 < sda5 sda6 sda7 sda8 >
 sdb:
.
.
</code>
N'oubliez pas non plus de v&eacute;rifier les configurations NIC de votre distrib Linux etc. suivant les recommandations qui se trouvent au d&eacute;but de ce HOWTO.
</itemize>
<p>

<sect1>Tester les connexions locales des PC vers le serveur Linux
<p>
<itemize>
  <item><bf>Quatri&egrave;me Etape : Tester les connexions locales des PC vers le serveur Linux</bf>
  <p>
   Sur un ordinateur interne MASQu&eacute;, essayez de pinguer l'adresse IP de la carte Ethernet interne du serveur de Masquerading, (i.e. <em>ping 192.168.0.1</em>). On va ainsi v&eacute;rifier que le r&eacute;seau interne et le routage sont corrects. L'outpout devrait ressembler &agrave; &ccedil;a (faire Control-C pour arr&ecirc;ter le ping) :
  <code>
masq-client# ping 192.168.0.1
PING 192.168.0.1 (192.168.0.1): 56 data bytes
64 bytes from 192.168.0.1: icmp_seq=0 ttl=255 time=0.8 ms
64 bytes from 192.168.0.1: icmp_seq=1 ttl=255 time=0.4 ms
64 bytes from 192.168.0.1: icmp_seq=2 ttl=255 time=0.4 ms
64 bytes from 192.168.0.1: icmp_seq=3 ttl=255 time=0.5 ms

--- 192.168.0.1 ping statistics ---
4 packets transmitted, 4 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.5/0.8 ms
</code>

Si le test &eacute;choue, v&eacute;rifiez les connexions entre les cartes Ethernet sur le serveur MASQ et les ordinateurs MASQu&eacute;s. En g&eacute;n&eacute;ral il y a une LED derri&egrave;re chaque carte Ethernet et il y en aussi sur les hub/switch Ethernet (si vous en utiliser un). Si c'est &ccedil;a le probl&egrave;me, v&eacute;rifiez que l'ordinateur MASQu&eacute; interne est configur&eacute; correctement comme indiqu&eacute; dans la section <ref id="Configuring-clients">. Si le client MASQu&eacute; est correctement configur&eacute;, v&eacute;rifiez une seconde fois votre cablage r&eacute;seau et v&eacute;rifiez que les LED s'allument bien de chaque c&ocirc;t&eacute; des cables (carte Ethernet des clients et cartes Ethernet INTERNES du serveur Linux).
</itemize>
<p>

<sect1>Tester le forwarding des paquets internes MASQ ICMP
  <p>
<itemize>
  <item><bf>Cinqui&egrave;me Etape : Tester le forwarding des paquets internes MASQ ICMP</bf>  
  <p>
  A partir d'un ordinateur MASQu&eacute; interne, pinguez l'adresse IP externe du serveur MASQ optenue &agrave; l'&eacute;tape TROIS ci-dessus. Cette adresse est votre adresse PPP, Ethernet, etc. fournie par votre FAI. Ce ping va prouver que le masquerading fonctionne (sp&eacute;cifiquement ICMP Masquerading).  
<p>
Si ca ne marche pas, v&eacute;rifiez d'abord que la "Passerelle par Defaut" du PC MASQu&eacute; pointe vers l'adresse IP du serveur MASQ interne. V&eacute;rifiez aussi que le script /etc/rc.d/rc.firewall a fonctionn&eacute; sans erreurs. Juste pour faire un test, lancer de nouveau le script /etc/rc.d/rc.firewall pour voir si tout se passe bien. V&eacute;rifiez aussi, puisque la plupart des noyaux le g&eacute;rent par defaut, que vous avez activ&eacute; l'"ICMP Masquerading" dans la configuration noyau et que vous avez aussi activ&eacute; l'"IP Forwarding" dans votre script /etc/rc.d/rc.firewall.
<p>
Si vous ne pouvez toujours pas faire fonctionner tout &ccedil;a, jetez un coup d'oeil &agrave; l'output de cette commande sur votre serveur Linux MASQ :
<itemize>
  <item> "<em>ifconfig</em>" : V&eacute;rifiez que l'interface de votre connexion Internet (ppp0, eth0, etc.) est UP (en route) et que vous avez la bonne adresse IP pour votre connexion &agrave; Internet. Un exemple d'output est donne a l'ETAPE TROIS ci-dessus.
  <p>
  <item> "<em>netstat -rn</em>" : V&eacute;rifiez que la passerelle par defaut (le .1 avec les adresses IP dans la colonne Gateway) est active.  Par exemple, l'output devrait ressembler &agrave; ca :
  <code>
masq-server# netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
192.168.0.1     0.0.0.0         255.255.255.255 UH        0 16384      0 eth1
12.13.14.15     0.0.0.0         255.255.255.255 UH        0 16384      0 eth0
12.13.14.0      0.0.0.0         255.255.255.0   U         0 0          0 eth0
192.168.0.0     0.0.0.0         255.255.255.0   U         0 0          0 eth1
127.0.0.0       0.0.0.0         255.0.0.0       U         0 16384      0 lo
0.0.0.0         12.13.14.1      0.0.0.0         UG        0 16384      0 eth0 
  </code>
Vous avez remarqu&eacute; que la DERNIERE ligne commen&ccedil;ait par 0.0.0.0? Vous avez remarqu&eacute; qu'il y a une adresse IP dans le champ "Gateway" ? Vous devriez mettre une adresse IP pour votre propre configuration dans ce champ.
  <p>
  <item> "<em>cat /proc/sys/net/ipv4/ip_forward</em>" : V&eacute;rifiez que vous avez un "1" qui montre que le forwarding sous Linux fonctionne
  <p>
  <item>Lancez la commande "<em>/sbin/ipchains -n -L</em>" pour les utilisateurs du 2.2.x ou "<em>/sbin/ipfwadm -F -l</em>" pour les utilisateurs du 2.0.x. Regardez aussi la section sur le FORWARDing pour v&eacute;rifier que vous avez activ&eacute; MASQ. Voici un exemple de l'output d'IPCHAINS pour les utilisateurs des r&egrave;gles naives rc.firewall :
  <code>
.
.
Chain forward (policy REJECT):
target     prot opt     source                destination           ports
MASQ       all  ------  192.168.0.0/24       0.0.0.0/0             n/a
ACCEPT     all  ----l-  0.0.0.0/0            0.0.0.0/0             n/a
.
.  
  </code>
  </itemize>
</itemize>
  <p>

<sect1>Tester le forwarding de paquets MASQ ICMP externes 
<p>

<itemize>
  <item><bf>Sixi&egrave;me Etape : Tester le forwarding de paquets MASQ ICMP externes</bf>
  <p>
  Essayer de pinguer &agrave; partir d'un ordinateur MASQu&eacute; interne une IP static d'Internet (i.e. <em>ping 152.19.254.81</em> (c'est le - http://metalab.unc.edu - home of MetaLabs' Linux Archive). Si ca ne fonctionne pas, v&eacute;rifiez de nouveau votre connexion &agrave; Internet. Si ca ne marche toujours pas, v&eacute;rifier que vous utilisez bien les r&egrave;gles naives rc.firewall et que vous avez bien compil&eacute; l'ICMP Masquerading dans votre noyau linux. V&eacute;rifiez aussi que vos r&egrave;gles qui activent IP MASQ pointent vers la bonne interface EXTERNE.
</itemize>
  <p>

<sect1>Tester le fonctionnement de MASQ sans DNS
<p>

<itemize>
  <item><bf>Septi&egrave;me Etape : Tester le fonctionnement de MASQ sans DNS</bf>
  <p>
  Maintenant essayez de vous connecter par Telnet &agrave; une adresse IP distante (i.e. <em>telnet 152.2.254.81</em> (metalab.unc.edu - NB : ca peut prendre du temps avant que vous ne voyiez appara&icirc;tre le prompt de login parce que c'est un serveur TRES charg&eacute;). Avez vous re&ccedil;u le prompt du login apr&egrave;s un certain laps de temps ? Si &ccedil;a a march&eacute;, c'est que le TCP Masquerading fonctionne bien. Si &ccedil;a n'a pas march&eacute;, essayez de faire un Telnet vers un autre serveur qui pourrait accepter les TELNET, comme 198.182.196.55 (www.linux.org).
Si ca ne fonctionne toujours pas, v&eacute;rifiez que vous utilisez bien les r&egrave;gles naives rc.firewall. Un exemple de ce que vous devriez voir est donne ici (pressez Control-D pour sortir de TELNET) :
<code>
masq-client# telnet 152.2.254.81
Trying 152.2.254.81...
Connected to 152.2.254.81.
Escape character is '^]'.


SunOS 5.7


******************** Welcome to MetaLab.unc.edu *******************

 To login to MetaLab as a user, connect to login.metalab.unc.edu.
           This machine allows no public telnet logins.

login: Connection closed by foreign host.
</code>
</itemize>
  <p>

<sect1>Tester le fonctionnement de MASQ avec DNS
<p>
<itemize>
  <item><bf>Huiti&egrave;me Etape : Tester le fonctionnement de MASQ avec DNS</bf>
  <p>
  Maintenant essayez de faire un TELNET vers un HOSTNAME (i.e. <em>"telnet metalab.unc.edu"</em> (152.2.254.81). Si &ccedil;a marche, c'est que le DNS fonctionne bien aussi. Si &ccedil;a ne marche pas mais que l'etape SIX fonctionnait, v&eacute;rifiez que vous avez entr&eacute; des DNS valides dans votre ordinateur MASQu&eacute; comme le montre la section <ref id="Configuring-clients">.  
</itemize>
  <p>

<sect1>Tester plus de fonctionnalit&eacute;s de MASQ avec DNS
<p>
<itemize>
  <item><bf>Neuvi&egrave;me Etape : Tester plus de fonctionnalit&eacute;s de MASQ avec DNS</bf>
  <p>
  Comme dernier test, essayez de surfer sur quelques sites <em>'INTERNET'</em> WWW &agrave; partir des vos machines <bf/MASQu&eacute;es/, et regardez si ca fonctionne. Par exemple, accedez au site <htmlurl url="http://metalab.unc.edu/LDP" name="Linux Documentation Project">. Si &ccedil;a marche, vous pouvez &ecirc;tre presque s&ucirc;r que tout fonctionne BIEN ! Si certains sites ne fonctionnent pas bien la o&ugrave; les autres semblent fonctionner correctement, regardez les &eacute;tapes suivantes pour essayer de trouvez les causes. 
<p>
Si vous voyez la page d'accueil de la The Linux Documentation Project, alors, <bf>FELICITATIONS ! Ca marche !</bf> Si ce site Web s'affiche correctement, alors tous les autres protocoles r&eacute;seaux standards tels que PING, TELNET, SSH, et avec leurs modules IP MASQ respectifs charg&eacute;s : FTP, Real Audio, IRC DCCs, Quake I/II/III, CuSeeme, VDOLive, etc. devraient aussi fonctionner correctement ! Si FTP, IRC, RealAudio, Quake I/II/III, etc. ne fonctionnent pas correctement, ou de mani&egrave;re peu performante, v&eacute;rifiez que leurs modules Masquerading associ&eacute;s sont charg&eacute;s en lancant la commande "lsmd" et v&eacute;rifiez aussi que vous chargez les modules quand les ports ne sont pas les ports par d&eacute;faut. Si vous ne voyez pas les modules dont vous avez besoin, v&eacute;rifiez que le script /etc/rc.d/rc.firewall les charge bien (i.e. enlevez les caract&egrave;res # pour un module IP MASQ donn&eacute;).
</itemize>
<p>

<sect1>S'il reste des probl&egrave;mes de fonctionnement, performances etc.
<p>
<itemize>
  <item><bf>Dixi&egrave;me Etape : S'il reste des probl&egrave;mes de fonctionnement, performances etc.</bf>
  <p>
  Si votre syst&egrave;me a pass&eacute; avec succ&egrave;s tous les tests mais que quelques trucs genre le surf sur les sites WWW, le FTP, et d'autres types de traffic ne sont pas fiables, je vous recommande de lire l'entr&eacute;e <ref id="MTU-issues"> de la FAQ dans la Section 7. Il peut aussi y avoir d'autres &eacute;l&eacute;ments de la FAQ qui puissent vous aider autant que les nombreux utilisateurs qu'ils ont aid&eacute;s par le pass&eacute;.
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<!-- Section 6 -->

<sect> Autres probl&egrave;mes relatifs &agrave; IP Masquerade et &agrave; la compatibilit&eacute; logicielle 
<p>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Probl&egrave;mes avec IP Masquerade 
<p>
Certaines applications des protocoles TCP/IP ne fonctionnent pas actuellement avec l'IP Masquerading sous Linux parce que soit ils supposent des choses sur les num&eacute;ros de port soit ils encodent sur les adresses TCP/IP et/ou les num&eacute;ros de port dans leur flux de donn&eacute;es. Ces derniers protocoles ont besoin de proxies ou de modules IP MASQ sp&eacute;cifiques pour fonctionner correctement dans le code de masquerading.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Services entrant
<p>
Par d&eacute;faut, Linux IP Masquerading ne peut pas du tout prendre en charge les services entrant mais il y a quelques fa&ccedil;ons de les lui faire accepter.
<p>
Si vous n'avez pas besoin de beaucoup de securit&eacute;, vous pouvez simplement forwarder ou r&eacute;diriger les ports IP. Il y a plusieurs fa&ccedil;on de faire &ccedil;a mais la plus stable est d'utiliser IPPORTFW. Pour plus d'informations, reportez vous &agrave; la section  <ref id="Forwarders">. 
<p>
Si vous d&eacute;sirez avoir un certain niveau d'autorisation sur les connexions entrantes, vous aurez besoin de configurer soit des TCP-wrappers, soit Xinetd pour permettre la connexion d'adresses IP specifiques. Un bon endroit o&ugrave; trouver des utilitaires et de la documentation est le TIS Firewall Toolkit.
<p>
De plus amples d&eacute;tails sur la securit&eacute; entrante peuvent &ecirc;tre trouv&eacute;s dans le document <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS"> et a l'<url url="http://ipmasq.cjb.net" name="IP Masquerade Resource">.
<p>
<label id="Supported Client Software">
<p>
<p>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Compatibilit&eacute; Logicielle et autres notes sur la configuration
<p>

<label id="Clients">

<quote><bf>** La <url url="http://www.tsmservices.com/masq" name="Linux Masquerade Application list"> a une tonne d'informations au sujet des applications qui fonctionnent &agrave; travers l'IP Masquerading sous Linux. Ce site a r&eacute;cemment &eacute;t&eacute; pris en charge par Steve  Grevemeyer qui l'a dot&eacute; d'une base de donn&eacute;es compl&egrave;te. C'est une source exceptionnelle !
</bf></quote>
<p>
En g&eacute;n&eacute;ral, toute application qui utilise le TCP et l'UDP standards devrait fonctionner. Si vous avez des suggestions, des indications etc. reportez vous &agrave; l'<url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource"> pour de plus amples d&eacute;tails.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect2> Clients R&eacute;seaux qui -Fonctionnent- avec IP Masquerade
<p>
Clients G&eacute;n&eacute;raux:
<p>
<descrip>
<tag>Archie</tag>toutes les plateformes compatibles, clients pour la recherche de fichiers (tous les clients archie ne sont pas compatibles) 
<p>
<tag>FTP</tag>toutes les plateformes compatibles, avec le module noyau <em>ip_masq_ftp.o</em> pour les connexions FTP actives.
<p>
<tag>Gopher client</tag>toutes les plateformes compatibles
<p>
<tag>HTTP</tag>toutes les plateformes compatibles, WWW surfing 
<p>
<tag>IRC</tag>toutes les plateformes compatibles, DCC est compatible via le module <em>ip_masq_irc.o</em>
<p>
<tag>NNTP (USENET)</tag>toutes les plateformes compatibles, USENET news client 
<p>
<tag>PING</tag>toutes les plateformes compatibles, avec le module noyau ICMP Masquerading
<p>
<tag>POP3</tag>toutes les plateformes compatibles, clients email
<p>
<tag>SSH</tag>toutes les plateformes compatibles, TELNET/FTP clients s&eacute;curis&eacute;s
<p>
<tag>SMTP</tag>toutes les plateformes compatibles, serveurs d'email tels que Sendmail, Qmail, PostFix, etc.
<p>
<tag>TELNET</tag>toutes les plateformes compatibles, session distante
<p>
<tag>TRACEROUTE</tag>versions sous UNIX et Windows, quelques variantes pourraient ne pas fonctionner (NDT : fonctionne aussi sous MacOS)
<p>
<tag>VRML</tag>Windows(peut-&ecirc;tre toutes les plateformes compatibles), virtual reality surfing 
<p>
<tag>client WAIS</tag>toutes les plateformes compatibles
</descrip>

<p> Clients Multimedia et Communication:
<p>
<descrip>
<tag/Toutes les applications H.323/ - MS Netmeeting, Intel Internet Phone Beta , et autres applications H.323 - Il y a maintenant deux fa&ccedil;ons de faire fonctionner ces clients aux travers de connexions MASQu&eacute;es :
<p>
Il y a un module BETA stable disponible sur le <htmlurl url="http://ipmasq.cjb.net" name="MASQ WWW site"> ou sur <url url="http://www.coritel.it/projects/sofia/nat.html" name="http://www.coritel.it/projects/sofia/nat.html"> pour utiliser Microsoft Netmeeting v3.x sous les noyaux 2.2.x. Il y aussi un autre module sur le site Web de MASQ sp&eacute;cifique &agrave; Netmeeting 2.x pour les noyaux 2.0.x mais il n'est pas compatible avec Netmeeting v3.x.
<p>
Une autre solution, commerciale, et la passerelle <url url="http://www.equival.com.au/phonepatch/index.html" name="Equivalence's PhonePatch"> H.323.
<p>
<tag/Alpha Worlds/Windows, Client-Serveur 3D programme de tchatche  
<p>
<tag/CU-SeeMe/toutes les plateformes compatibles, avec le module <em>ip_masq_cuseeme</em> charg&eacute;, reportez vous SVP &agrave; la section <ref id="CuSeeme"> pour de plus amples d&eacute;tails.
<p>
<tag/ICQ/Tous les clients sont compatibles. Requiert un noyau compil&eacute; avec la compatibilit&eacute; IPPORTFW et ICQ configur&eacute; comme &eacute;tant derri&egrave;re un proxy NON-SOCKS. Une description compl&egrave;te de cette configuration est disponible &agrave; la section <ref id="ICQ">.
<p>
<tag/Internet Phone 3.2/Windows, communications audio Peer-to-peer, vous pouvez entrer en communication avec quelqu'un seulement si vous &ecirc;tes l'appelant, vous ne pouvez &ecirc;tre appel&eacute; sans un port forwarding sp&eacute;cifique. Reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples d&eacute;tails. 
<p>
<tag/Internet Wave Player/Windows, streaming audio par Internet
<p>
<tag/Powwow/Windows, communications textuelles peer-to-peer, vous pouvez entrer en communication avec quelqu'un seulement si vous &ecirc;tes l'appelant, vous ne pouvez &ecirc;tre appel&eacute; sans un port forwarding sp&eacute;cifique. Reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples d&eacute;tails. 
<p>
<tag/Real Audio Player/Windows, streaming audio par Internet, vous obtiendrez de meilleurs r&eacute;sultats avec le module UDP <em>ip_masq_raudio</em>
<p>
<tag/True Speech Player 1.1b/Windows, streaming audio par Internet
<p>
<tag/VDOLive/Windows, avec le patch <em>ip_masq_vdolive</em>
<p>
<tag/Worlds Chat 0.9a/Windows, Client-Serveur 3D programme de tchatche
</descrip>

<label id="Game-Clients">

<p>
Jeux - Reportez vous &agrave; la section <ref id="LooseUDP"> pour de plus amples d&eacute;tails sur le patch LooseUDP
<p>
<descrip>
<tag>Battle.net</tag> Fonctionne mais requiert les ports TCP 116 et 118 et les ports UDP 6112 IPPORTFW&eacute;s vers la machine de jeu.  reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples d&eacute;tails. Veuillez notez que les serveurs FSGS et Bnetd  requi&egrave;rent toujours IPPORTFW puisqu'ils n'ont pas &eacute;t&eacute; r&eacute;&eacute;crits pour &ecirc;tre compatibles NAT.
<p>
<tag>BattleZone 1.4</tag>  Fonctionne avec le patch LooseUDP et les nouveaux <htmlurl url="http://us4.alink.activision.com/tmp/nat/" name=".DLLs Activision"> compatibles NAT.
<p>
<tag>Dark Reign 1.4</tag> Fonctionne avec le patch LooseUDP ou requiert les ports TCP 116 et 118 et les ports UDP 6112 IPPORTFW&eacute;s vers la machine de jeu. Reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples d&eacute;tails.
<p>
<tag>Diablo</tag> Fonctionne avec le patch LooseUDP ou requiert les ports TCP 116 et 118 et les ports UDP 6112 IPPORTFW&eacute;s vers la  machine de jeu. Les nouvelles versions de Diablo n'utilisent que le port TCP 6112 et le port UDP 6112. Reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples d&eacute;tails.
<p>
<tag>Heavy Gear 2</tag> Fonctionne avec le patch LooseUDP ou requiert les ports TCP 116 et 118 et les ports UDP 6112 IPPORTFW&eacute;s vers la machine de jeu. Reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples d&eacute;tails.
<p>
<tag>Quake I/II/III</tag> Fonctionne directement mais requiert le module <em>ip_masq_quake</em> s'il y a plus d'un joueur de Quake I/II/III derri&egrave;re le serveur MASQ. Ce module n'est compatible qu'avec Quake I et QuakeWorld par d&eacute;faut. Si vous voulez utiliser Quake II ou des ports non standard pour le server, reportez vous &agrave; la section d'installation des modules dans les jeux de r&egrave;gles <ref id="rc.firewall-2.0.x"> et<ref id="rc.firewall-2.2.x">.
<p>
<tag>StarCraft</tag> Fonctionne avec le patch LooseUDP ou requiert les ports TCP et UDP 6112 IPPORTFW&eacute;s vers la  machine de jeu. Reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples d&eacute;tails.
<p>
<tag>WorldCraft</tag> Fonctionne avec le patch LooseUDP
</descrip>

<p>
Autres Clients:

<descrip>
<tag/package Linux net-acct /Linux, package d'administration des comptes &agrave; distance
<p>
<tag/NCSA Telnet 2.3.08/DOS, une suite contenant telnet, ftp, ping, etc.
<p>
<tag/PC-anywhere pour Windows /MS-Windows, Controle &agrave; distance un PC par TCP/IP, fonctionne uniquement si c'est un client. Ne fonctionne pas sans un port forwarding sp&eacute;cifique si c'est le serveur. Reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples details.
<p>
<tag/Socket Watch/utilise NTP - protocole d'horloge r&eacute;seau
</descrip>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect2> Clients qui ne sont pas enti&egrave;rement compatibles avec IP MASQ :
<p> 
<descrip>
<tag/Intel Streaming Media Viewer Beta 1/ Impossible de se connecter au serveur
<p>
<tag/Netscape CoolTalk/ Impossible de se connecter a l'h&ocirc;te distant
<p>
<tag/WebPhone/ Ne fonctionne pas (Il fait des suppositions erronn&eacute;es au sujet des adresses).

</descrip>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Jeux de r&egrave;gles de d'IP Firewall (IPFWADM) plus r&eacute;sistants (Stronger) 
<p>

<label id="Strong-IPFWADM-Rulesets">

Cette section fournit un guide plus detaill&eacute; d'utilisation de l'outil de firewall pour 2.0.x, IPFWADM. Reportez vous si dessous pour les r&egrave;gles d'IPCHAINS.
<p>
Voici un exemple d'un syst&egrave;me de firewall/masquerade derri&egrave;re une connexion PPP avec une adresse PPP statique (les instructions pour les connexions PPP dynamiques sont incluses mais d&eacute;sactiv&eacute;es). L'interface de confiance est 192.168.0.1 et l'adresse IP de l'interface PPP a &eacute;t&eacute; chang&eacute;e pour prot&eacute;ger le coupable :). J'ai list&eacute; chaque interface entrante et sortante pour d&eacute;tecter aussi bien les IP spoofings que les faux routage et/ou masquerading. Tout ce qui n'est pas explicitement permis est <bf>INTERDIT</bf> (euh... rejet&eacute; en fait). Si votre serveur IP MASQ ne fonctionne plus apr&egrave;s avoir impl&eacute;ment&eacute; ce script rc.firewall, v&eacute;rifiez que vous l'avez modifi&eacute; pour votre propre configuration et contr&ocirc;lez votre fichier SYSLOG /var/log/messages ou /var/adm/messages pour trouver d'&eacute;ventuels erreurs de firewall.
<p>
Pour des exemples plus exhaustifs de r&egrave;gles Ôstrong' d'IPFWADM IP Masquerad&eacute; pour PPP, modem pour cable, etc., vous pouvez vous r&eacute;f&eacute;rer &agrave; <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> et  <htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall WWW page">
<p>
<bf>NB:</bf> Si vous avez une adresse TCP/IP assign&eacute;e de facon dynamique par votre FAI (PPP, aDSL, Cable, etc.) vous <bf>NE POUVEZ PAS CHARGER</bf> ces r&egrave;gles Ôstrong' au moment du boot. Vous aurez soit &agrave; relancer le jeu de r&egrave;gles de ce firewall &agrave; CHAQUE FOIS que vous avez une nouvelle adresse IP soit faire un /etc/rc.d/rc.firewall plus intelligent. Pour faire ceci pour les utilisateurs de PPP, lisez attentitevement et enlever les marques de commentaires les lignes correspondantes dans la section Òrecuperation d'IP PPP dynamiqueÓ ci-dessous. Vous pouvez aussi trouver de plus amples d&eacute;tails dans le documentation <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> sur les jeux de r&egrave;gles ÔStrong' et les adresses IP dynamiques.
<p>
<bf>Veuillez aussi noter qu'il existe plusieurs utilitaires de cr&eacute;ation de Firewall qui poss&egrave;dent des interfaces graphiques. Vous pouvez vous reporter &agrave; la section <ref id="FAQ"> pour des d&eacute;tails complets.</bf>
<p>
Enfin, si vous utilisez une adresse IP STATIQUE obtenue par PPP, changez la ligne "ppp_ip="votre.adresse.PPP.statique" par votre adresse.

----------------------------------------------------------------

<label id="stronger-rc.firewall-2.0.x">

<verb>
#!/bin/sh
#
# /etc/rc.d/rc.firewall: Un exemple de jeu de regles d'un firewall IPFWADM semi-STRONG IPFWADM
#

PATH=/sbin:/bin:/usr/sbin:/usr/bin

# on teste, attendre un peu puis effacer toutes les regles de firewall
# enlever les marques de commentaire des lignes qui suivent si vous voulez que
# le firewall se desactive automatiquement au bout de 10 mins.
# (sleep 600; \
# ipfwadm -I -f; \
# ipfwadm -I -p accept; \
# ipfwadm -O -f; \
# ipfwadm -O -p accept; \
# ipfwadm -F -f; \
# ipfwadm -F -p accept; \
# ) &

# Charge les modules necessaires a IP MASQ
#
#   NB: Charger uniquement les modules IP MASQ dont vous avez besoin. Tous les modules 
#   IP MASQ actuels sont montres ci-dessous mais sont commentes pour les empecher de se charger.

# Necessaire pour le chargement initial des modules
#
/sbin/depmod -a

# Permet le masquerading correct des transfert de fichier par FTP avec la methode PORT
#
/sbin/modprobe ip_masq_ftp

# Permet le masquerading de RealAudio par UDP. Sans ce module,
#       RealAudio FONCTIONNERA mais en mode TCP. Ce qui peu causer une baisse
#       dans la qualite du son
#
#/sbin/modprobe ip_masq_raudio

# Permet le masquerading des transferts de fichier par DCC pour les IRC
#
#/sbin/modprobe ip_masq_irc


# Permet le masquerading de Quake et QuakeWorld par defaut. Ce module est
#   necessaire pour les utilisateurs multiples dirriere un server Linux MASQ. Si vous voulez  
#   jouer a Quake I, II, et III, utilisez le second exemple.
#
#   NB:  si vous rencontrez des ERREURs lors de chargement du module QUAKE, c'est que vous utilisez
#   un ancien noyau buggue. Mettez a jour votre noyau pour supprimer l'erreur.
#
#Quake I / QuakeWorld (ports 26000 and 27000)
#/sbin/modprobe ip_masq_quake
#
#Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960)
#/sbin/modprobe ip_masq_quake 26000,27000,27910,27960


# Permet le masquerading du logiciel CuSeeme pour la video conference
#
#/sbin/modprobe ip_masq_cuseeme

# Permet le masquerading du logiciel VDO-live pour la video conference
#
#/sbin/modprobe ip_masq_vdolive


#CRITIQUE:  Active l'IP forwarding puisqu'il est desactive par defaut
#
#           Utilisateurs Redhat: vous pourrez essayer en changeant les options dans 
#                          /etc/sysconfig/network de:
#
#                       FORWARD_IPV4=false
#                             to
#                       FORWARD_IPV4=true
#
echo "1" > /proc/sys/net/ipv4/ip_forward


#CRITIQUE:  Active automatiquement l'IP defragmenting puisqu'il est desactive par defaut 
#           dans les noyaux 2.2.x. Ceci etait une option de compilation mais ca a change 
#           depuis le noyau 2.2.12
#
echo "1" > /proc/sys/net/ipv4/ip_always_defrag


# Utilisateurs d'IP Dynamiques:
#
#   Si vous recevez votre adresse IP de maniere dynamique a partir d'un server SLIP, PPP, ou 
#   DHCP, activez option suivante qui active le hacking (au bon sens du terme NDT) des
#   adresses IP dynamique dans IP MASQ, rendant ainsi les choses plus faciles pour les 
#   programmes du type Diald.
#
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr


# Specifiez ici votre adresse IP statique.  
#
# Si vous avez une adresse IP DYNAMIQUE, vous devez faire trouver a ce jeu
# de regles votre adresse IP a chaque fois que vous avez une nouvelle. Dans ce but,
# activez le script d'une ligne qui suit. 

#
#   utilisateurs de DHCP :  
#   ----------------------
#   Si vous recevez votre adresse TCP/IP, **vous devez** activer les commandes 
#   #&eacute;es sous la section PPP ET remplacer le mot "ppp0" par le nom de votre 
#   de votre connexion Internet EXTERNE (eth0, eth1, etc). Notez aussi que le server
#   DHCP peut changer votre adresse IP. Pour resoudre ce probleme, les utilisateurs 
#   doivent configurer leur client DHCP de sorte qu'il relance le jeu de regles du firewall
#   chaque fois que leur bail DHCP est renouvele.
#
#     NB #1:  Quelques clients DHCP comme l'ancienne version de "pump" (les nouvelles
#               versions ont ete corrigees) n'avaient pas la capacit&eacute; de relancer 
#               les scripts apres une renouvellement de bail. Pour cette raison, vous
#               aurez besoin de le remplacer par quelquechose du style "dhcpcd" ou "dhclient".
#
#     NB #2:  La syntaxe de "dhcpcd" a chang&eacute; dans les versions recentes.
#
#               Les anciennes version avaient une syntaxe du type:
#                         dhcpcd -c /etc/rc.d/rc.firewall eth0
#
#               Les versions plus recentes ont une syntaxe du type:
#                         dhcpcd eth0 /etc/rc.d/rc.firewall
#
#     NB #3:  Pour les utilisateurs de Pump, ajouter cette ligne de commande dans votre
#     fichier /etc/pump.conf:
#
#                   script /etc/rc.d/rc.firewall
#
#   utilisateurs de PPP :  
#   ---------------------
#   Si vous n'etes pas deja au courant, le script /etc/ppp/ip-up est toujours lance quand 
#   une connexion PPP arrive. A cause de ca, on peut demander au jeu de regles d'aller recuperer 
#   la nouvelles adresse IP PPP et de mettre a jour notre jeu de regles du strong firewall.
#
#   Si le fichier /etc/ppp/ip-up existe deja, vous devez le modifier et ajouter une ligne
#   contenant "/etc/rc.d/rc.firewall" pres de la fin du fichier.
#
#   Si vous n'avez pas encore de script /etc/ppp/ip-up, vous devez creer le lien suivant  
#   pour lancer le script /etc/rc.d/rc.firewall.
#
#	ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up
#
#   * Vous devez ensuite activer les commandes #ees si dessous *
#
#  
# Utilisateurs de PPP et DHCP : 
# -----------------------------
# Enlevez le # de la ligne si dessous et placez un # sur la ligne suivante.
#
#ppp_ip="`/sbin/ifconfig ppp0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://'`"
#
ppp_ip="your.static.PPP.address"


# MASQ timeouts
#
#  timeout de 2 heures pour les sessions TCP
#  timeout de  10 sec pour le traffic apres que le paquet TCP/IP "FIN" est recu
#  timeout de 160 sec pour le traffic UDP (Important pour les utilisateur d'ICQ MASQues) 
#
/sbin/ipfwadm -M -s 7200 10 60


#############################################################################
# Entr&eacute;e (incoming), flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
/sbin/ipfwadm -I -f
/sbin/ipfwadm -I -p reject

# interface locale, machines locales, on peut allez n'importe ou
#
/sbin/ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/24 -D 0.0.0.0/0

# interface distance, pretendant etre une machine locale, IP spoofing, tire toi
#
/sbin/ipfwadm -I -a reject -V $ppp_ip -S 192.168.0.0/24 -D 0.0.0.0/0 -o

# interface distante, toute source, peut aller a l'adresse PPP permanante
#
/sbin/ipfwadm -I -a accept -V $ppp_ip -S 0.0.0.0/0 -D $ppp_ip/32

# boucler sur l'interface est valide.
#
/sbin/ipfwadm -I -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0

# regle qui attrape tout, refuse tout autre entr&eacute;e et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
/sbin/ipfwadm -I -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o


#############################################################################
# Sortie (outgoing), flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
/sbin/ipfwadm -O -f
/sbin/ipfwadm -O -p reject

# interface locale, toute source allant vers le reseau local est valide
#
/sbin/ipfwadm -O -a accept -V 192.168.0.1 -S 0.0.0.0/0 -D 192.168.0.0/24

# sortie vers le reseau local d'une interface distance, routage bizarre, rejet
#
/sbin/ipfwadm -O -a reject -V $ppp_ip -S 0.0.0.0/0 -D 192.168.0.0/24 -o

# sortie du reseau local vers une interface distante, masquerading modifi&eacute;, rejet
#
/sbin/ipfwadm -O -a reject -V $ppp_ip -S 192.168.0.0/24 -D 0.0.0.0/0 -o

# sortie du reseau local d'une interface distante, rejet
#
/sbin/ipfwadm -O -a reject -V $ppp_ip -S 0.0.0.0/0 -D 192.168.0.0/24 -o

# tout autre chose qui sort de l'interface distance est valide
#
/sbin/ipfwadm -O -a accept -V $ppp_ip -S $ppp_ip/32 -D 0.0.0.0/0

# boucler sur l'interface est valide.
#
/sbin/ipfwadm -O -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0

# regle qui attrape tout, refuse tout autre sortie et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
/sbin/ipfwadm -O -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o


#############################################################################
# Forwarding, flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
/sbin/ipfwadm -F -f
/sbin/ipfwadm -F -p deny

# Masquerade a partir du reseau local sur l'interface locale vers n'importe ou.
#
/sbin/ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/24 -D 0.0.0.0/0
#
# regle qui attrape tout, refuse tout autre forwarding et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
/sbin/ipfwadm -F -a reject -S 0.0.0.0/0 -D 0.0.0.0/0 -o

#Fin du fichier.
</verb>

<p>

Avec IPFWADM, vous pouvez bloquer le traffic vers un site particulier en utilisant les r&egrave;gles -I, -O ou -F. Souvenez vous que ces jeux de r&egrave;gles sont parcourus de d&eacute;but vers la fin et que "-a" dit a IPFWADM d'"ajouter" cette nouvelle r&egrave;gle au jeu de r&egrave;gles existant. Donc, en gardant ceci &agrave; l'esprit, toute restriction sp&eacute;cifique a besoin d'&ecirc;tre ajout&eacute;e avant les r&egrave;gles globales. Par exemple :
<p>
avec la r&egrave;gle -I (input ):
<p>
Vraisemblablement la m&eacute;thode la plus efficace et la plus rapide pour bloquer le traffic mais elle arr&ecirc;te seulement les machines MASQu&eacute;es et NON la machine firewall elle-m&ecirc;me. Biens&ucirc;r, vous pourriez vouloir permettre cette combinaison :

<p>
Dans tous les cas, pour bloquer 204.50.10.13:
<p>

dans le jeu de r&egrave;gles de /etc/rc.d/rc.firewall :
<verb>
... d&eacute;but des r&egrave;gles -I ...

# rejette et logue l'interface locale, les machines locales allant &agrave; 204.50.10.13
#
/sbin/ipfwadm -I -a reject -V 192.168.0.1 -S 192.168.0.0/24 -D 204.50.10.13/32 -o

# Interface locale, machines locales, allez n'importe o&ugrave; est valide
#
/sbin/ipfwadm -I -a accept -V 192.168.0.1 -S 192.168.0.0/24 -D 0.0.0.0/0

... fin des r&egrave;gles -I ...
</verb>

avec la r&egrave;gle -O (output ): 
<p>
C'est la m&eacute;thode la plus lente parce que les paquets passent par le masquerading d'abord et sont ensuite &eacute;limin&eacute;s. Cependant, cette r&egrave;gle emp&ecirc;che m&ecirc;me la machine firewall d'acc&eacute;der &agrave; des sites interdits.

<verb>
... d&eacute;but des r&egrave;gles -O ...

# rejette et logue les transimissions sortantes vers 204.50.10.13
#
/sbin/ipfwadm -O -a reject -V $ppp_ip -S $ppp_ip/32 -D 204.50.10.13/32 -o

# tout autre chose qui sort de l'interface distante est valide
#
/sbin/ipfwadm -O -a accept -V $ppp_ip -S $ppp_ip/32 -D 0.0.0.0/0

... fin des r&egrave;gles -O ...
</verb>
avec la r&egrave;gle -F (forward ): 
<p>
Sans doute plus lent pour bloquer le traffic que les r&egrave;gles -I (input). Ne bloque que les traffics des machines masquerad&eacute;es (i.e. les machines internes). La machine firewall peut toujours atteindre le(s) site(s) interdit(s).

<verb>
... d&eacute;but des r&egrave;gles -F ...

# rejette et logue les transmissions de l'interface locale PPP vers 204.50.10.13.
#
/sbin/ipfwadm -F -a reject -W ppp0 -S 192.168.0.0/24 -D 204.50.10.13/32 -o

# Masquerade du reseau local vers vers n'importe o&ugrave;.
#
/sbin/ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/24 -D 0.0.0.0/0

... fin des r&egrave;gles -F ...
</verb>
Il n'y a pas besoin de r&egrave;gle sp&eacute;ciale pour permettres aux machines du r&eacute;seau 192.168.0.0/24 d'aller &agrave; 204.50.11.0. Pourquoi ? Parce que c'est d&eacute;j&agrave; trait&eacute; dans la r&egrave;gle MASQ globale.
<p>
NB : Il y a plus d'une fa&ccedil;on de coder les interfaces dans les r&egrave;gles si dessus. Par example au lieu de "-V 192.168.255.1", vous pouvez mettre "-W eth0", au lieu de "-V $ppp_ip", vous pouvez utiliser "-W ppp0". La m&eacute;thode "-V" a &eacute;t&eacute; d&eacute;laiss&eacute;e lors de la migration vers IPCHAINS mais pour les utilisateurs IPFWADM, c'est plus un choix personnel et de documentation plus qu'autre chose.
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> R&egrave;gles de d'IP Firewall (IPCHAINS) plus r&eacute;sistants (Stronger)
<p>

<label id="Strong-IPCHAINS-Rulesets">

Cette section fournit un guide plus d&eacute;taill&eacute; sur l'utilisation de l'outil firewall des noyaux 2.2.X, IPCHAINS. Reportez vous ci-dessus pour les jeux de r&egrave;gles IPFAWDM.
<p>
Voici un exemple d'un syst&egrave;me de firewall/masquerade derri&egrave;re une connexion PPP avec une adresse PPP statique (les instructions pour les connexions PPP dynamiques sont incluses mais d&eacute;sactiv&eacute;es). L'interface de confiance est 192.168.0.1 et l'adresse IP de l'interface PPP a &eacute;t&eacute; chang&eacute;e pour prot&eacute;ger le coupable :). J'ai list&eacute; chaque interface entrante et sortante pour d&eacute;tecter aussi bien les IP spoofings que les faux routage et/ou masquerading. Tout ce qui n'est pas explicitement permis est <bf>INTERDIT</bf> (euh... rejet&eacute; en fait). Si votre serveur IP MASQ ne fonctionne plus apr&egrave;s avoir impl&eacute;ment&eacute; ce script rc.firewall, v&eacute;rifiez que vous l'avez modifi&eacute; pour votre propre configuration et contr&ocirc;lez votre fichier SYSLOG /var/log/messages ou /var/adm/messages pour trouver d'&eacute;ventuels erreurs de firewall.
<p>
Pour des exemples plus exhaustifs de r&egrave;gles Ôstrong' d'IPFWADM IP Masquerad&eacute; pour PPP, modem pour cable, etc., vous pouvez vous r&eacute;f&eacute;rer &agrave; <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> et  <htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall WWW page">
<p>
<bf>NB #1: </bf>les noyaux Linux 2.2.x inf&eacute;rieurs &agrave; 2.2.16 ont un trou de s&eacute;curit&eacute; dans la couche TCP (root exploit) et les versions inf&eacute;rieurs &agrave; 2.2.11 ont un bug de fragmentation dans IPCHAINS. En raison de cela, les personnes utilisant le jeu de r&egrave;gles 'strong IPCHAINS' sont vuln&eacute;rables aux attaques. Veuillez donc faire la mise &agrave; jour de votre noyau vers une version corrig&eacute;e.
<p>
<bf>NB #2:</bf> Si vous avez une adresse TCP/IP assign&eacute;e de facon dynamique par votre FAI (PPP, aDSL, Cable, etc.) vous <bf>NE POUVEZ PAS CHARGER</bf> ces r&egrave;gles Ôstrong' au moment du boot. Vous aurez soit &agrave; relancer le jeu de r&egrave;gles de ce firewall &agrave; CHAQUE FOIS que vous avez une nouvelle adress IP  soit faire un /etc/rc.d/rc.firewall plus intelligent. Pour faire ceci pour les utilisateurs de PPP, lisez attentitevement et enlever les marques de commentaires des lignes correspondantes dans la section Òr&eacute;cuperation d'IP PPP dynamiqueÓ ci dessous. Vous pouvez aussi trouver de plus amples d&eacute;tails dans le documentation <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> sur les jeux de r&eacute;gles ÔStrong' et les adresses IP dynamiques.
<p>
<bf>Veuillez aussi noter qu'il existe plusieurs utilitaires de cr&eacute;ation de Firewall qui poss&egrave;dent des interfaces graphiques. Vous pouvez vous reporter &agrave; la section <ref id="FAQ"> pour des d&eacute;tail complets.</bf>
<p>
Enfin, si vous utilisez une adresse IP STATIQUE obtenue par PPP, changer la ligne "ppp_ip="votre.adresse.PPP.statique" par votre adresse.
<p>
----------------------------------------------------------------
<p>

<label id="stronger-rc.firewall-2.2.x">

<verb>

#!/bin/sh
#
# /etc/rc.d/rc.firewall: An example of a Semi-Strong IPCHAINS firewall ruleset. 
#

PATH=/sbin:/bin:/usr/sbin:/usr/bin

# Charge les modules necessaires a IP MASQ
#
#   NB: Charger uniquement les modules IP MASQ dont vous avez besoin. Tous les modules
#   IP MASQ actuels sont montres ci-dessous mais sont commentes pour les empecher de 
#   se charger.

# Necessaire pour le chargement initial des modules
#
/sbin/depmod -a

# Permet le masquerading correct des transfert de fichier par FTP avec la methode PORT
#
/sbin/modprobe ip_masq_ftp

# Permet le masquerading de RealAudio par UDP. Sans ce module,
#       RealAudio FONCTIONNERA mais en mode TCP. Ce qui peu causer une baisse
#       dans la qualite du son
#
/sbin/modprobe ip_masq_raudio

# Permet le masquerading des transferts de fichier par DCC pour les IRC
#
#/sbin/modprobe ip_masq_irc


# Permet le masquerading de Quake et QuakeWorld par defaut. Ce module est
#   necessaire pour les utilisateurs multiples dirriere un server Linux MASQ. Si vous voulez jouer 
#   a Quake I, II, et III, utilisez le second exemple.
#
#   NB:  si vous rencontrez des ERREURs lors de chargement du module QUAKE, c'est que vous utilisez
#   un ancien noyau buggue. Mettez a jour votre noyau pour supprimer l'erreur.
#
#Quake I / QuakeWorld (ports 26000 and 27000)
#/sbin/modprobe ip_masq_quake
#
#Quake I/II/III / QuakeWorld (ports 26000, 27000, 27910, 27960)
#/sbin/modprobe ip_masq_quake 26000,27000,27910,27960


# Permet le masquerading du logiciel CuSeeme pour la video conference
#
#/sbin/modprobe ip_masq_cuseeme

# Permet le masquerading du logiciel VDO-live pour la video conference
#
#/sbin/modprobe ip_masq_vdolive


#CRITIQUE:  Active l'IP forwarding puisqu'il est desactive par defaut
#
#           Utilisateurs Redhat: vous pourrez essayer en changeant les options dans 
#                          /etc/sysconfig/network de:
#
#                       FORWARD_IPV4=false
#                             to
#                       FORWARD_IPV4=true
#
echo "1" > /proc/sys/net/ipv4/ip_forward


#CRITIQUE: Active automatiquement l'IP defragmenting puisqu'il est desactive par defaut 
#           dans les noyaux 2.2.x.
#
#           Ceci etait une option de compilation mais ca a change 
#           depuis le noyau 2.2.12. Noter aussi que quelques distributions
#           ont enlev&eacute; cette option de la table /proc. Cette cette entr&eacute;e n'est pas 
#           presente dans votre /proc, ne vous inquietez pas.
#
echo "1" > /proc/sys/net/ipv4/ip_always_defrag


# Utilisateurs d'IP Dynamiques:
#
#   Si vous recevez votre adresse IP de maniere dynamique a partir d'un server SLIP, PPP,
#   ou DHCP, activez option suivante qui active le hacking (au bon sens du terme NDT) des
#   adresses IP dynamique dans IP MASQ, rendant ainsi les choses plus faciles pour les 
#   programmes du type Diald.
#echo "1" > /proc/sys/net/ipv4/ip_dynaddr


# Active le patch LooseUDP dont certains jeux reseaux ont besoin
#
#  Si vous etes en train d'essayer de faire fonctionner un jeu sur Internet au travers votre
#  serveur MASQ, et vous l'avez configure le mieux que vous pouviez mais que ca fonctionne 
#  toujours pas, essayez d'activer cette option (en supprimant le # en debut de ligne). Cette 
#  option est desactivee par defaut pour eviter une probable vulnerabilite au port scanning 
#  UDP en interne.
#
#echo "1" > /proc/sys/net/ipv4/ip_masq_udp_dloose


# Specifiez ici votre adresse IP statique.  
#
# Si vous avez une adresse IP DYNAMIQUE :
# votre jeu de regles doit trouver votre adresse IP a chaque fois que vous avez une nouvelle.
# Dans ce but, activez le script d'une ligne qui suit. (Veuillez SVP noter que les differents
# apostrophes, guillemets etc. ont leur importance et sont distincts).
#
#
#   utilisateurs de DHCP :  
#   ----------------------
#   Si vous recevez votre adresse TCP/IP, **vous devez** activer les commandes 
#   #&eacute;s sous la section PPP ET remplacerle mot "ppp0" par le nom de votre 
#   de votre connetion Internet EXTERNE (eth0, eth1, etc). Notez aussi que le server
#   DHCP peut changer votre adress IP. Pour resoudre ce probleme, les utilisateurs 
#   doivent configurer leur client DHCP de sorte qu'il relance le jeu de regles du firewall
#   chaque fois que leur bail DHCP est renouvele.
#
#     NB #1:  Quelques clients DHCP comme l'ancienne version de "pump" (les nouvelles
#               versions ont ete corrigees) n'avait pas la capacit&eacute; de relancer 
#               les scripts apres une renouvellement de bail. Pour cette raison, vous
#               aurez besoin de le remplacer par quelquechose du style "dhcpcd" ou "dhclient".
#
#     NB #2:  La syntaxe de "dhcpcd" a chang&eacute; dans les versions recentes.
#
#               Les anciennes version avaient une syntaxe du type:
#                         dhcpcd -c /etc/rc.d/rc.firewall eth0
#
#               Les versions plus recentes ont une syntaxe du type:
#                         dhcpcd eth0 /etc/rc.d/rc.firewall
#
#     NB #3:  Pour les utilisateurs de Pump, ajouter cette ligne de commande dans votre fichier
#    /etc/pump.conf:
#
#                   script /etc/rc.d/rc.firewall
#
#   utilisateurs de PPP :  
#   ---------------------
#   Si vous n'etes pas deja au courant, le script /etc/ppp/ip-up est toujours lance quand 
#   une connexion PPP arrive. A cause de ca, on peut demander au jeu de regles d'aller recuperer 
#   la nouvelles adresse IP PPP et de mettre a jour notre jeu de regles du strong firewall.
#
#   Si le fichier /etc/ppp/ip-up existe deja, vous devez le modifier et ajouter une ligne
#   contenant "/etc/rc.d/rc.firewall" pres de la fin du fichier.
#
#   Si vous n'avez pas encore de script /etc/ppp/ip-up, vous devez creer le lien suivant  
#   pour lancer le script /etc/rc.d/rc.firewall.
#
#	ln -s /etc/rc.d/rc.firewall /etc/ppp/ip-up
#
#   * Vous devez ensuite activer les commandes #ees si dessous *
#
#  
# Utilisateurs de PPP et DHCP : 
# -----------------------------
# Enlevez le # de la ligne si dessous et placez un # sur la ligne suivante.
#
#extip="`/sbin/ifconfig ppp0 | grep 'inet addr' | awk '{print $2}' | sed -e 's/.*://'`"

# Pour les utilisateurs de PPP avec une adresse IP statique:
#
extip="your.static.PPP.address"

# Tous les utilisateurs de PPP et DHCP doivent utiliser ceci pour corriger le nom de 
# leur interface EXTERNE
extint="ppp0"

# Assigne l'IP interne
intint="eth0"
intnet="192.168.0.0/24"


# MASQ timeouts
#
#  timeout de 2 heures pour les sessions TCP
#  timeout de  10 sec pour le traffic apres que le paquet TCP/IP "FIN" est recu
#  timeout de 160 sec pour le traffic UDP (Important pour les utilisateur d'ICQ MASQues) 
#
ipchains -M -S 7200 10 60

#############################################################################
# Entr&eacute;e (incoming), flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
ipchains -F input
ipchains -P input REJECT

# interface locale, machines locales, on peut allez n'importe ou
#
ipchains -A input -i $intint -s $intnet -d 0.0.0.0/0 -j ACCEPT

# interface distance, pretendant etre une machine locale, IP spoofing, tire toi
#
ipchains -A input -i $extint -s $intnet -d 0.0.0.0/0 -l -j REJECT

# interface distante, toute source, peut aller a l'adresse PPP permanante
#
ipchains -A input -i $extint -s 0.0.0.0/0 -d $extip/32 -j ACCEPT

# boucler sur l'interface est valide.
#
ipchains -A input -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT

# regle qui attrape tout, refuse tout autre entr&eacute;e et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
ipchains -A input -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT

#############################################################################
# Sortie (outgoing), flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
ipchains -F output
ipchains -P output REJECT

# interface locale, toute source allant vers le reseau local est valide
#
ipchains -A output -i $intint -s 0.0.0.0/0 -d $intnet -j ACCEPT

# sortie vers le reseau local d'une interface distance, routage bizarre, rejet
#
ipchains -A output -i $extint -s 0.0.0.0/0 -d $intnet -l -j REJECT

# sortie du reseau local vers une interface distante, masquerading modifi&eacute;, rejet
#
ipchains -A output -i $extint -s $intnet -d 0.0.0.0/0 -l -j REJECT

# tout autre chose qui sort de l'interface distance est valide
#
ipchains -A output -i $extint -s $extip/32 -d 0.0.0.0/0 -j ACCEPT

# boucler sur l'interface est valide.
#
ipchains -A output -i lo -s 0.0.0.0/0 -d 0.0.0.0/0 -j ACCEPT

# regle qui attrape tout, refuse tout autre sortie et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
ipchains -A output -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT

#############################################################################
# Forwarding, flush et politique par defaut de rejet. En fait la politique par defaut
# est inapplicable parce qu'il y une regle qui attrape tout, refuse et logue.
#
ipchains -F forward
ipchains -P forward DENY

# Masquerade a partir du reseau local sur l'interface locale vers n'importe ou.
#
ipchains -A forward -i $extint -s $intnet -d 0.0.0.0/0 -j MASQ
#
# regle qui attrape tout, refuse tout autre forwarding et le logue. Dommage qu'il n'y ait pas
# d'options pour le log sur cette politique mais ceci va faire le travail :
#
ipchains -A forward -s 0.0.0.0/0 -d 0.0.0.0/0 -l -j REJECT

#Fin du fichier.
</verb>
Avec IPCHAINS, on peut bloquer le traffic vers un site particuler gr&acirc;ce aux r&egrave;gles "input", "output", et/ou "forward". Souvenez vous que les jeux de r&egrave;gles sont trait&eacute;es de haut en bas et que  "-A" dit a IPCHAINS de "coller" une nouvelle r&egrave;gle au jeu de r&egrave;gles existant. Donc, avec &ccedil;a en t&ecirc;te, toute r&egrave;gle sp&eacute;cifique doit venir avant les r&egrave;gles globales. Par exemple :
<p>
Avec la r&egrave;gle "input" :
<p>
Vraisemblablement la m&eacute;thode la plus efficace et la plus rapide pour bloquer le traffic mais elle arr&ecirc;te seulement les machines MASQu&eacute;es et NON la machine firewall elle-m&ecirc;me. Biens&ucirc;r, vous pourriez vouloir permettre cette combinaison :
<p>
Dans tous les cas, pour bloquer 204.50.10.13:
<p>
dans le jeu de r&egrave;gles de /etc/rc.d/rc.firewall :
<verb>
... d&eacute;but des r&egrave;gles -I ...

# rejette et logue l'interface locale, les machines locales allant &agrave; 204.50.10.13
#
ipchains -A input -s 192.168.0.0/24 -d 204.50.10.13/32 -l -j REJECT


... fin des r&egrave;gles -I ...
</verb>

avec la r&egrave;gle -O (output ): 
<p>
C'est la m&eacute;thode la plus lente parce qeu les paquets passent par le masquerading d'abord et sont ensuite &eacute;limin&eacute;s. Cependant, cette r&egrave;gle emp&ecirc;che meme la machine firewall d'acc&eacute;der &agrave; des sites interdits.

<verb>
... d&eacute;but des r&egrave;gles -O ...

# rejette et logue les transimissions sortantes vers 204.50.10.13
#
ipchains -A output -s $ppp_ip/32 -d 204.50.10.13/32 -l -j REJECT


# tout autre chose qui sort de l'interface distante est valide
#
ipchains -A output -s $ppp_ip/32 -d 0.0.0.0/0 -l -j ACCEPT

... fin des r&egrave;gles -O ...
</verb>
avec la r&egrave;gle -F (forward ): 
<p>
Sans doute plus lent pour bloquer le traffic que les r&egrave;gles -I (input). Ne bloque que les traffics des machines masquerad&eacute;es (i.e. les machines internes). La machine firewall peut toujours atteindre le(s) site(s) interdit(s).

<verb>
... d&eacute;but des r&egrave;gles -F ...

# rejette et logue les transmissions de l'interface locale PPP vers 204.50.10.13.
#
ipchains -A forward -i ppp0 -s 192.168.0.0/24 -d 204.50.10.13/32 -l -j REJECT


# Masquerade du reseau local vers vers n'importe o&ugrave;.
#
ipchains -A forward -i ppp0 -s 192.168.0.0/24 -d 0.0.0.0/0 -j MASQ

... fin des r&egrave;gles -F ...
</verb>
Il n'y a pas besoin de r&egrave;gle sp&eacute;ciale pour permettre aux machines du r&eacute;seau 192.168.0.0/24 d'aller &agrave; 204.50.11.0. Pourquoi ? Parce que c'est d&eacute;j&agrave; trait&eacute; dans la r&egrave;gle MASQ globale.
<p>
NB : Contrairement &agrave; IPFWADM, IPCHAINS n'a seulement qu'une mani&egrave;re de coder le nom des interfaces. IPCHAINS utilise l'option "-i eth0" l&agrave; ou IPFADM avait le "-W" pour le nom de l'interface et le "-V" pour l'adresse IP de l'interface.
<label id="multiple-masqed-lans">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> IP Masquerader plusieurs r&eacute;seaux internes
<p>
Masquerader plus d'un r&eacute;seau interne est une t&acirc;che plut&ocirc;t simple. Vous devez d'abord v&eacute;rifier que tous vos r&eacute;seaux fonctionnent correctement (internes et externes). Vous devez ensuite permettre au traffic de passer dans les interfaces internes et d'&ecirc;tre MASQu&eacute;s vers Internet.
<p>
Ensuite, vous devez activer le Masquerading sur les interfaces INTERNES. Cet exemple utilise au total TROIS interfaces : eth0 est une connexion EXTERNE vers Internet, eth1 est le r&eacute;seau 192.1680.0.0, et eth2 et le r&eacute;seau 192.168.1.0. eth1 et eth2 vont tous deux &ecirc;tre MASQu&eacute;s au travers de l'interface eth0. Dans votre jeu de r&egrave;gles rc.firewall, juste &agrave; c&ocirc;t&eacute; de votre ligne activant MASQ, ajoutez ce qui suit :
<p>
<itemize>
  <item>Noyaux 2.2.x avec IPCHAINS
  <verb>
  #Active la communication entre les interfaces internes 
  /sbin/ipchains -A forward -i eth1 -d 192.168.0.0/24
  /sbin/ipchains -A forward -i eth2 -d 192.168.1.0/24

  #Permet aux interfaces internes de MASQuer vers Internet
  /sbin/ipchains -A forward -j MASQ -i eth0 -s 192.168.0.0/24 -d 0.0.0.0/0
  /sbin/ipchains -A forward -j MASQ -i eth0 -s 192.168.1.0/24 -d 0.0.0.0/0
  </verb>
  <p>
  <item>noyaux 2.0.x avec IPFWADM
  <verb>
  #Active la communication entre les interfaces internes 
  /sbin/ipfwadm -F -a accept -V 192.168.0.1 -D 192.168.1.0/24
  /sbin/ipfwadm -F -a accept -V 192.168.1.1 -D 192.168.0.0/24

  #Permet aux interfaces internes de MASQuer vers Internet
  /sbin/ipfwadm -F -a masq -W eth0 -S 192.168.0.0/24 -D 0.0.0.0/0
  /sbin/ipfwadm -F -a masq -W eth0 -S 192.168.1.0/24 -D 0.0.0.0/0
</verb>
</itemize>
Notez qu'il est CORRECT d'avoir sp&eacute;cif&eacute; "eth0" plusieurs fois dans les exemples ci-dessus. La raison est que le noyau Linux a besoin de savoir quel interface est utilis&eacute; por le traffic SORTANT. Puisque eth0 est la connexion Internet dans les exemples pr&eacute;c&eacute;dents, elle est list&eacute;e pour chaque interface interne.

<label id="Diald">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> IP Masquerade et les connexions t&eacute;l&eacute;phoniques sur demande
<p>

<enum>
<item>Si vous voulez configurer votre r&eacute;seau de mani&egrave;re &agrave; ce qu'il se connecte automatiquement par modem t&eacute;l&eacute;phonique &agrave; Internet, soit le package <em>Diald</em> de connexion sur demande soit les nouvelles versions de <em>PPPd</em> vous sernt d'une grande utilit&eacute;. Diald est la solution recommand&eacute;e en raison de sa configuration plus pr&eacute;cise.
<p>
<item>Pour configurer Diald, reportez vous a la page suivant : <url url="http://home.pacific.net.sg/&tilde;harish/diald.config.html" name="Setting Up Diald for Linux Page"> ou &agrave; celle ci : <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 23">
<p>
<item>Une fois que Diald et IP Masq ont &eacute;t&eacute; configur&eacute;s correctement, toute machine cliente MASQu&eacute;e qui commence une session web, telnet ou ftp va provoquer la connexion dynamique par la machine Linux &agrave; Internet.
<p>
<item>Un timeout va avoir lieu pour la premi&egrave;re connexion. C'est in&eacute;vitable si vous utilisez un modem analogique. Le temps d'&eacute;tablir la connexion du modem et la connexion PPP peuvent &ecirc;tre suffisamment longs pour provoquer des timeouts dans votre programme client (browser WWW, etc.). Toutefois, ce n'est pas commun. Si ca vous arrive, essayer simplement de relancer votre requ&ecirc;tre Internet (disons, la page web) et ca devrait marcher. Vous pouvez aussi essayer de mettre l'option noyau suivant : <em>echo "1" > /proc/sys/net/ipv4/ip_dynaddr</em> pour vous aider dans avec cette configuation initiale.
</enum>


<label id="Forwarders">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>IPPORTFW, IPMASQADM, IPAUTOFW, REDIR, UDPRED, et d'autres outils de  Port Forwarding 
<p>

IPPORTFW, IPAUTOFW, REDIR, UDPRED, et les autres programmes sont des outils de port forwarding TCP et/ou UDP g&eacute;n&eacute;riques pour Linux IP Masquerade. Ces outils sont typiquement utilis&eacute;s avec ou en remplacement de modules IP MASQ sp&eacute;cifiques tels que ceux pour FTP, Quake, etc. Avec les port forwarders, vous pouvez r&eacute;diriger les connexions venant d'Internet vers une machine interne derri&egrave;re le serveur IP MASQ, dont l'adresse est priv&eacute;e . Cette possibilit&eacute; de forwarding inclus les protocoles r&eacute;seaux tels que TELNET, WWW, SMTP, FTP (avec un patch special - regardez si dessous), ICQ, et bien d'autres.
<p>
NB : Si vous voulez juste faire un simple port forwarding sans IP Masquerading, vous aurez <bf>TOUJOURS BESOIN</bf> d'activer l'IP Masquerading dans votre noyau ET soit dans votre jeu de r&egrave;gles IPFWADM soit IPCHAINS pour &ecirc;tre capable d'utiliser les outils de portforwarding de Linux
<p>
Alors pourquoi tous ces choix ? IPAUTOFW, REDIR, et UDPRED (toutes les URLs sont dans la section <ref id="2.0.x-Requirements">) &eacute;taient les premiers outils disponibles pour les utilisateurs d'IP MASQ pour permettre cette fonctionnali&eacute;. Plus tard, quand Linux IP Masquerade a m&ucirc;ri, ces outils furent remplac&eacute;s par IPPORTFW qui constitue une solution plus intelligente. A cause de la disponibilit&eacute; d'outils nouveaux, il est *FORTEMENT DECONSEILLE* d'utiliser les outils tels que IPAUTOFW et REDIR parce qu'ils n'informent pas correctement le noyau de leur pr&eacute;sence et peuvent dans les cas les plus extr&egrave;mes d'utilisation <bf>CRASHer</bf> votre serveur Linux. Notez aussi que la solution la plus recente est MFW. Son avantage principal est de permettre une int&eacute;gration plus &eacute;troite avec l'outil IPCHAINS. Avec cette solution, vous utilisez un jeu de r&egrave;gles IPCHAINS pour "Marker" un paquet sp&eacute;cifique et cr&eacute;er ensuite une chaine diff&eacute;rente pour faire ensuite le bon forwarding. Cette m&eacute;thode n'est pas encore trait&eacute;e dans ce HOWTO.
<p>
NB #2 : avec PORTFW sur les noyaux 2.2.x, <em>les machines internes</em> NE PEUVENT PAS utiliser la meme adresse IP PORTFWd&eacute; pour acceder une machine interne bienque &ccedil;a marche tr&egrave;s bien avec des machines externes sur Internet. Si c'est un prob&egrave;leme pour vous, vous pouvez AUSSI impl&eacute;menter l'outil portfw REDIR pour laisser des machines internes &ecirc;tre redirig&eacute;es vers un serveur interne. Une chose &agrave; noter est que le jeu de r&egrave;gles de l'imminent <ref id="NetFilter"> r&eacute;soud ce probl&egrave;me. Si vous d&eacute;sirez avoir une explication technique sur les raisons du non fonctionnement du forwarding interne/externe, reportez vous SVP &agrave; la fin de la section PORTFW du noyau 2.2.x pour les notes de Juan.
<p>
NB #3 : Le forwarding du traffic de serveurs FTP vers un serveur FTP MASQu&eacute; interne, connu sous le nom de <bf>PORTFW FTP</bf>, est maintenant compatible avec les noyaux 2.0.x et les noyaux 2.2.x . C'est possible soit en patchant le noyau Linux si la compatibilit&eacute; n'est pas encore impl&eacute;ment&eacute; dans votre noyau ou bien un utilisant un programme de proxy FTP externe. Vous devriez aussi noter que le code du module noyau est toujours exp&eacute;rimental et que certaines personnes obtiennent de meilleurs r&eacute;sultats avec des sessions FTP ACTIVES par rapport aux connexions PASSIVES. Et, chose assez int&eacute;ressante, d'autres personnes obtiennent exactement le contraire. Envoyez nous SVP vos r&eacute;sultats. De plus amples d&eacute;tails sont fournis dans les sections 2.2.x et 2.0.x en tant que solutions fournis pas les diff&eacute;rents patches.
<p>
Avant de plonger dans l'installation de IPPORTFW pour 2.0.x ou de la version de 2.2.x de IPMASQADM avec le support IPPORTFW, veuillez noter qu'il peut y avoir des probl&egrave;mes li&eacute;s &agrave; la s&eacute;curit&eacute; avec tout port forwarder. La raison est que ces outils cr&eacute;ent un trou dans le firewall par paquet pour les port TCP/UDP forward&eacute;s. Bienque cela ne conduise &agrave; aucune menace pour votre machine Linux, ca pourrait &ecirc;tre un probl&egrave;me pour la machine interne vers lequel ce traffic est forward&eacute;. Ne vous inquietez pas non plus, voil&agrave; ce que Steven Clarke (l'auteur de IPPORTFW) a &agrave; dire sur ce sujet :
<p>

<tscreen>
<verb>
   "Port Forwarding est appel&eacute; seulement parmis les fonctions de masquerading il suit donc 
   les m&ecirc;me r&egrave;gles que IPFWADM/IPCHAINS. Masquerading est une extension de IP forwarding.
   Toutefois, ipportfw ne vois les paquets que s'ils remplissent les conditions 
   d'entr&eacute;e et de masquerading du jeu de r&egrave;gles d'ipfwadm."
</verb>
</tscreen>
Maintenant que l'on a dit ceci, il est important d'avoir un jeu de r&egrave;gles de firewall 'strong'. Reportez vous SVP aux sections <ref id="Strong-IPFWADM-Rulesets"> et <ref id="Strong-IPCHAINS-Rulesets"> pour de plus amples d&eacute;tails sur les jeux de r&egrave;gles 'strongs'.
<p>
Donc, pour installer l'IPPORTFW forwarding pour chacun des noyaux 2.0.x ou 2.2.x, vous devez recompiler le noyau Linux avec la compatibilit&eacute; IPPORTFW.
<itemize>
  <item>les utilisateurs de noyaux 2.2.x vont d&eacute;j&agrave; avoir l'option noyau IPPORTFW de disponible via IPMASQADM
  <item>les utilisateurs de noyaux 2.0.x vont avoir besoin d'appliquer un patch d'option noyau simple
</itemize>
<p>


<sect2>IPMASQADM avec compatibilit&eacute; IPPORTFW sur les noyaux 2.2.x
<p>
D'abord, v&eacute;rifiez que vous avez les sources du noyau 2.2.x le plus r&eacute;cent dans /usr/src/linux. Si vous ne l'avez pas dej&agrave; fait, reportez vous SVP &agrave; la section <ref id="Kernel-Compile"> pour de plus amples d&eacute;tails. Ensuite, t&eacute;l&eacute;chargez le programme "ipmasqadm.c" de la section <ref id="2.2.x-Requirements"> dans le repertoire /usr/src.
<p>
Vous aurez ensuite &agrave; compiler le noyau 2.2.x comme expliqu&eacute; dans la section <ref id="Kernel-Compile">. V&eacute;rifiez bien que vous dites YES &agrave; l'option IPPORTFW quand vous configurez votre noyau. Une fois que vous avez compil&eacute; le noyau et que vous avez reboot&eacute;, revenez &agrave; cette section.
<p>
Maintenant, compilez et installez l'outil IPMASQADM :
<p>
<tscreen>
<verb>
        cd /usr/src
        tar xzvf ipmasqadm-x.tgz
        cd ipmasqadm-x
        make
	make install 
</verb>
</tscreen>

<p>
Ensuite, pour cet exemple, nous allons permettre &agrave; TOUT le traffic Internet WWW (port 80) arrivant &agrave; votre adresse Internet TCP/IP d'&ecirc;tre forward&eacute; vers une machine interne Masquerad&eacute;e dont l'IP est 192.168.0.10.
<p>
PORTFW FTP : Comme mentionn&eacute; prec&eacute;demment, il y a deux solutions pour forwarder le traffic d'un server FTP vers une machine interne MASQu&eacute;e. La premi&egrave;re solution *EST* le module BETA <em>IP_MASQ_FTP</em> pour noyau 2.2.x pour PORT Forwarder les connexions FTP vers un serveur FTP interne
MASQu&eacute;. L'autre m&eacute;thode est d'utiliser un programme de proxy FTP (l'URL se trouve dans la section <ref id="2.2.x-Requirements">. Vouz devriez aussi noter que le module noyau FTP permet aussi d'ajouter des PORTFW FTP suppl&eacute;mentaires &agrave; la vol&eacute;e sans avoir &agrave; relancer le module et ainsi planter les connexions FTP en cours. Vous trouverez de plus amples d&eacute;tails sur le site d'IPMASQ WWW &agrave; <url url="http://ipmasq.cjb.net">. Il y a aussi des exemples et des informations sur les connexions FTP PORTFW&eacute;s ci dessous dans la section du noyau 2.0.x.
<p>
<bf>NB: </bf>Une fois le port forward du port 80 activ&eacute;, ce port ne pourra plus &ecirc;tre utilis&eacute; par le serveur Linux IP Masquerade. Pour &ecirc;tre plus pr&eacute;cis, si vous avez un server WWW sur le server MASQ, un portfw va maintenant diriger tous les internautes vers les pages WWW INTERNES et non vers celles du serveur IPMASQ.
<p>
Dans tous les cas, pour activer le port forwarding, modifiez le jeu de r&egrave;gles /etc/rc.d/rc.firewall. Ajoutez les lignes suivant mais assurez vous de remplacer le mot "$extip" par votre adresse IP.
<p>
<bf>NB:</bf> Si vous avez une adresse IP DYNAMQUE que vous recevez par votre FAI (PPP, ADSL, Cablemodems, etc.), vous aurez BESOIN de rendre votre jeu de r&egrave;gles /etc/rc.d/rc.firewall plus intelligent. Pour ce faire, reportez vous SVP &agrave; la section <ref id="Strong-IPCHAINS-Rulesets"> ci-dessus ou &agrave; la section <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> pour de plus amples d&eacute;tails sur les jeux de r&egrave;gles 'strong' et les adresses IP Dynamiques. Je vous donne une indication toutefois : /etc/ppp/ip-up pour les utilisateurs de  PPP.
<p>
<tscreen>
<verb>
        /etc/rc.d/rc.firewall
        --

        #echo "Activation de l'IPPORTFW sur le LAN externe..."
        #
        /usr/sbin/ipmasqadm portfw -f
        /usr/sbin/ipmasqadm portfw -a -P tcp -L $extip 80 -R 192.168.0.10 80

        --
</verb>
</tscreen>
<p>
C'est tout ! Relancez juste votre jeu de r&egrave;gles /etc/rc.d/rc.firewall et testez le !
<p>
Si vous recevez le message d'erreur "ipchains: setsockopt failed: Protocol not available", c'est que vous n'&ecirc;tes pas en train d'utiliser le nouveau noyau. Verifiez que vous avez bien install&eacute; le nouveau noyau, reconfigurez votre boot loader (par exemple LILO), et ensuite, rebootez. Si vous &ecirc;tes s&ucirc;r que vous &ecirc;tes sur le nouveau noyau, lancez la commande "ls /proc/net/ip_masq" et verifiez que le fichier "portfw" existe. Si non, vous devez avoir fait une erreur lors de la configuation de votre noyau. Essayez de nouveau.
<p>
<p>
Pour ceux qui veulent comprendre pourquoi PORTFW ne peut pas rediriger le traffic des interfaces externes et internes, voici un email de Juanjo qui l'explique mieux :

<code>
De Juanjo Ciarlante
--

>Si j'utilise :
>
> ipmasqadm portfw -a -P tcp  -L 1.2.3.4 80 -R 192.168.2.3 80
>
>Tout fonctionne tr&egrave;s bien a partir de l'exterieur mais les requetes internes pour la meme 
>adresse 1.2.3.4 echouent. Y a t-il des chaines qui permettent a une machine sur le reseau local 
>192.168.2.0 d'acceder &agrave; www.periapt.com sans utiliser de proxy ?

En fait, non.

D'habitude, je mets en place une r&egrave;gle ipmasqadm pour l'ext&eacute;rieur, *ET* un port
redirector pour l'int&eacute;rieur. Ceci fonctionne parce que ipmasqadm connecte avant que redir 
ne recoive l'eventuelle connexion exterieur, _mais_ laisse les choses comme elles sont sinon
(g&eacute;r&eacute; par des r&egrave;gles APPROPRIEES).

Le vrai probl&egrave;me "conceptuel" provient du fait que la VRAIE IP du client (peer) cible
est sur le m&ecirc;me r&eacute;seau que le serveur cible

Le sc&eacute;nario d'un echec pour le "local masq" est :
   client: 192.168.2.100
   masq:   192.168.2.1
   serv:   192.168.2.10

1)client->server packet
 a) client:  192.168.2.100:1025  -> 192.168.2.1:80   [SYN]
 b) (masq):  192.168.2.100:1025  -> 192.168.2.10:80  [SYN]
            (et garde 192.168.2.1:61000 192.168.2.100:1025 apparent&eacute;s)
 c) serv:    recoit le paquet masqu&eacute; (1b)

2)server->client packet
 a) serv:    192.168.2.10:80     -> 192.168.2.100:1025  [SYN,ACK]
 b) client:  192.168.2.100:1025  -> 192.168.2.10:80     [RST]

Maintenant prenez le temps de comparer (1a) avec (2a).
Vous voyez, le serveur &agrave; repondu DIRECTEMENT au client sans passer par
masq (ne laissant donc pas masq ANNULER la modification du paquet) parce que
c'est le MEME r&eacute;seau, donc le client annule la connexion.

J'esp&egrave;re que cela aide.

Amicalement,
Juanjo
</code>

<sect2>IPPORTFW sur noyaux 2.0.x
<p>

D'abord, v&eacute;rifiez que vous avez les sources du noyau 2.0.x le plus r&eacute;cent dans /usr/src/linux. Si vous ne l'avez pas dej&agrave; fait, reportez vous SVP &agrave; la section <ref id="Kernel-Compile"> pour de plus amples d&eacute;tails. Ensuite, t&eacute;l&eacute;chargez le programme "ipmasqadm.c" de la section <ref id="2.0.x-Requirements"> dans le repertoire /usr/src.
<p>
Ensuite, si vous projetez de port forwarder le traffic FTP vers un serveur interne, vous allez devoir appliquer un <bf>NOUVEAU</bf> patch module additionnel, <em>IP_MASQ_FTP</em>, que vous trouverez &agrave; la section <ref id="2.0.x-Requirements">. De plus amples d&eacute;tails le concernant se trouvent plus loin dans cette section. Veuillez noter SVP que ce n'est pas le m&ecirc;me patch que pour les noyaux 2.2.x donc quelques fonctionnalit&eacute;s telles que le dynamique FTP PORT n'est pas pr&eacute;sent.
<p>
<p>
Maintenant, copiez le patch IPPORTFW  (subs-patch-x.gz) dans le repertoire de Linux
<tscreen>
<verb>
        cp /usr/src/subs-patch-1.37.gz /usr/src/linux
</verb>
</tscreen>
<p>
Ensuite, appliquez le patch noyau pour creer l'option noyau IPPORTFW :
<tscreen>
<verb>
        cd /usr/src/linux
        zcat subs-patch-1.3x.gz | patch -p1
</verb>
</tscreen>

<p>

Ok, il est temps de compiler le noyau comme indiqu&eacute; &agrave; la section <ref id="Kernel-Compile">. Repondez YES &agrave; l'option  IPPORTFW qui est maintenant disponible quand vous configurez le noyau. Une fois la compilation termin&eacute;e, et apr&egrave;s avoir reboot&eacute;, vous pouvez revenir &agrave; cette section.
<p>
Maintenant, avec votre nouveau noyau fraichment compil&eacute;, compilez et installer le programme "IPPORTFW"
<tscreen>
<verb>
        cd /usr/src
        gcc ipportfw.c -o ipportfw
        mv ipportfw /usr/local/sbin
</verb>
</tscreen>

<p>
Ensuite, pour cet exemple, nous allons permettre &agrave; TOUT le traffic Internet WWW (port 80) arrivant &agrave; votre adresse Internet TCP/IP d'&ecirc;tre forward&eacute; vers une machine interne Masquerad&eacute;e dont l'IP est 192.168.0.10.
<p>
<bf>NB: </bf>Une fois le port forward du port 80 activ&eacute;, ce port ne pourra plus &ecirc;tre utilis&eacute; par le serveur Linux IP Masquerade. Pour &ecirc;tre plus sp&eacute;cifique, si vous avez un server WWW sur le server MASQ, un portfw va maintenant diriger tous les internautes vers les pages WWW INTERNES et non vers celles du serveur IPMASQ. La seule solution &agrave; ce probl&egrave;me est de port fowarder un autre port, disons 8080, vers votre machine MASQ interne. Bienque cela fonctionne, tous les internautes devront coller un <em>:8080</em> &agrave; l'URL pour pouvoir contacter votre server WWW MASQu&eacute; interne.
<p>
Dans tous les cas, pour activer le port forwarding, modifiez le jeu de r&egrave;gles /etc/rc.d/rc.firewall. Ajoutez les lignes suivant mais assurez vous de remplacer le mot "$extip" par votre adresse IP.
<p>
<bf>NB:</bf> Si vous avez une adresse IP DYNAMQUE que vous recevez par votre FAI (PPP, ADSL, Cablemodems, etc.), vous aurez BESOIN de rendre votre jeu de r&egrave;gles /etc/rc.d/rc.firewall plus intelligent. Pour ce faire, reportez vous SVP &agrave; la section <ref id="Strong-IPCHAINS-Rulesets"> ci dessus ou &agrave; la section <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> pour de plus amples d&eacute;tails sur les jeux de r&egrave;gles 'strong' et les adresses IP Dynamiques. Je vous donne un peu indice toutefois : /etc/ppp/ip-up pour les utilisateurs de  PPP.
<tscreen>
<verb>
	/etc/rc.d/rc.firewall
	--

        #echo "Activation de l'IPPORTFW sur le LAN externe..."
	#
	/usr/local/sbin/ipportfw -C
	/usr/local/sbin/ipportfw -A -t$extip/80 -R 192.168.0.10/80

    #  Veuillez notez SVP que le  PORTFWing du port 20 N'EST PAS n&eacute;cessaire pour les
    #  connexions ACTIVES puisque le serveur FTP interne va lancer cette connexion
    #  sur le port 20 et qu'il va donc &ecirc;tre correctement pris en charge par les mechanismes
    #  classiques de MASQ.
	--
</verb>
</tscreen>
<p>
C'est tout ! Relancez juste votre jeu de r&egrave;gles /etc/rc.d/rc.firewall et testez le !
<p>
Si vous recevez le message d'erreur "ipchains: setsockopt failed: Protocol not available", c'est que vous n'&ecirc;tes pas en train d'utiliser le nouveau noyau. Verifiez que vous avez bien install&eacute; le nouveau noyau, reconfigurez votre boot loader (par exemple LILO), et ensuite, rebootez.
<p>




Port Forwarder des serveurs FTP :
<p>
Si vous projetez de port forwarder FTP vers une machine interne, les choses se compliquent. La raison en est que le module noyau <em>IP_MASQ_FTP</em>  standard n'&eacute;tait pas &eacute;crit pour &ccedil;a, meme si des utilisateurs nous ont dit que cela fonctionnait sans probl&egrave;me. Personnellement, sans le patch, j'ai entendu dire que les transferts de fichiers longs, qui exc&egrave;dent 30 minutes vont &eacute;chouer alors que d'autres personnes jurent que &ccedil;a fonctionne sans probl&egrave;me. Quoiqu'il en soit, je vous recommande d'essayer cette instruction PORTFW avec le module STOCK ip_masq_ftp et de voir si ca fonctionne pour vous. Si ca marche pas, essayez d'utiliser le module ip_masq_ftp modifi&eacute;.

<p>
Pour ceux qui ont besoin du module, Fred Viles a &eacute;crit un module IP_MASQ_FTP modifi&eacute; pour faire en sorte que ca fonctionne. Si vous &ecirc;tes curieux et que vous voulez savoir EXACTEMENT ce que sont les probl&egrave;mes, t&eacute;l&eacute;chargez l'archive suivante parce que les documents de Fred sont tr&egrave;s bien faits. Vous devez aussi comprendre que le patch est quelque peu exp&eacute;rimental et considerez le donc comme tel. Vous devez aussi noter que ce patch fonctionne UNIQUEMENT sur les noyaux 2.0.x puisqu'il y a un patch diff&eacute;rent disponible pour les noyaux 2.2.x.
<p>
Donc, pour faire fonctionner le patch 2.0.x, vous avez besoin de :
<p> 
<itemize>
  <item>Appliquer en PREMIER le patch noyau IPPORTFW comme expliqu&eacute; pr&eacute;c&eacute;demment dans la section.
  <p>
  <item>Downloader le "msqsrv-patch-36" du serveur FTP de Fred Viles de la section <ref id="2.0.x-Requirements"> et le mettre dans /usr/src/linux.
  <p>
  <item>Patcher le noyau avec ce nouveau code en lan&ccedil;ant la commande "cat msqsrv-patch-36 | patch -p1"
  <p>
  <item>Ensuite, remplacer le module noyau <em>"ip_masq_ftp.c"</em> original par le nouveau fichier
  <p>
  <itemize>
    <item>mv /usr/src/linux/net/ipv4/ip_masq_ftp.c /usr/src/linux/net/ipv4/ip_masq_ftp.c.orig
    <item>mv /usr/src/linux/ip_masq_ftp.c /usr/src/linux/net/ipv4/ip_masq_ftp.c
  </itemize>
  <p>
  <item>Enfin, compiler et installer le noyau avec le nouveau code &agrave; la place.
</itemize>
<p>
Une fois que vous avez fait tout &ccedil;a, modifiez votre jeu de r&egrave;gles /etc/rc.d/rc.firewall et ajoutez les lignes suivantes en prenant soin de remplacer "$extip" par votre propre adresse IP.
<p>
Cet exemple, comme ci-dessus, va permettre de renvoyer TOUT le traffic internet FTP (port 21) de votre connexion Internet TCP/IP vers la machine interne Masquerad&eacute;e dont l'adresse IP est 192.168.0.10.
<p>
<bf>NB: </bf>Une fois le port forward du port 21 activ&eacute;, ce port ne pourra plus &ecirc;tre utilis&eacute; par le serveur Linux IP Masquerade. Pour &ecirc;tre plus pr&eacute;cis, si vous avez un server FTP sur le server MASQ, un portfw va maintenant diriger tous les internautes vers les pages FTP INTERNES et non vers celles du serveur IPMASQ.
<p>
<tscreen>
<verb>
        /etc/rc.d/rc.firewall
        --

        #echo "Activation de l'IPPORTFW sur le LAN externe..."
        #
        /usr/local/sbin/ipportfw -C
        /usr/local/sbin/ipportfw -A -t$extip/21 -R 192.168.0.10/21

        #NB :  Si vous allez utiliser plusieurs port locaux &agrave; PORTFWer
        #      vers plusieurs seveurs FTP internes (disons, 21, 2121, 2112,
        #      etc), vous devez configurer le module ip_masq_ftp pour qu'il
        #      ecoute ces ports. Pour ce faire, modifiez votre script 
        #      /etc/rc.d/rc.firewall comme le montre ce HOWTO
        #      pour qu'il ressemble a ceci :
        #
        # /sbin/modprobe ip_masq_ftp ports=21,2121,2112
        #
        # Relancez le script /etc/rc.d/rc.firewall pour que les changements
        # prennent effet.

    #Veuillez notez SVP que le  PORTFWing du port 20 N'EST PAS n&eacute;cessaire pour les
    #  connexions ACTIVES puisque le serveur FTP interne va lancer cette connexion
    #  sur le port 20 et qu'il va donc &ecirc;tre correctement pris en charge par les mechanismes
    #  classiques de MASQ.
        --
</verb>
</tscreen>

<p>
C'est tout ! Relancez juste votre jeu de r&egrave;gles /etc/rc.d/rc.firewall et testez le !
<p>
Si vous recevez le message d'erreur "ipchains: setsockopt failed: Protocol not available", c'est que vous n'&ecirc;tes pas en train d'utiliser le nouveau noyau. Verifiez que vous avez bien install&eacute; le nouveau noyau, reconfigurez votre boot loader (par exemple LILO), et ensuite, rebootez.

<label id="CuSeeme">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> CU-SeeMe et Linux IP-Masquerade
<p>

Linux IP Masquerade est compatible avec CuSeeme via le module noyau <em>"ip_masq_cuseeme"</em>. Ce module noyau devrait &ecirc;tre charg&eacute; par le script  /etc/rc.d/rc.firewall. Une fois que le module "ip_masq_cuseeme" est install&eacute;, vous devriez &ecirc;tre capables de recevoir et d'initier des connexions CuSeeme vers des r&eacute;flecteurs distants et/ou des utilisateurs.
<p>
NB : Il est recommand&eacute; d'utiliser l'outil IPPORTFW au lieu du vieux IPAUTOFW pour utiliser CuSeeme.
<p>
Si vous avez besoin d'information explicites sur la configuration de CuSeeme, vous pouvez vous reporter &agrave;  <url url="http://www.swampgas.com/vc/ipmcus.htm" name="Michael Owings's CuSeeMe page"> pour un Mini-HOWTO ou <htmlurl url="http://ipmasq.cjb.net/" name="The IP Masquerade Resources"> pour un mirroir de ce Mini-HOWTO.

<label id="ICQ">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Mirabilis ICQ 
<p>
Il y a deux m&eacute;thodes pour faire fonctionner ICQ derri&egrave;re un serveur Linux MASQ. Une des solutions est d'utiliser le nouveau module ICQ Masq et l'autre solution est d'utiliser IPPORTFW.
<p>
Le modue ICQ a quelques avantages. Il permet une configuration simple pour plusieurs utilisateurs ICQ derri&egrave;re un server MASQ. Il ne requiert pas non plus de changement dans les clients ICQ. R&eacute;cemment, la version 2.2.x du module a &eacute;t&eacute; mis &agrave; jour pour permettre le transfert de fichier et le "chat" en temps-r&eacute;&eacute;l. Toutefois, la version 2.0.x du module n'est pas parfait. Toutefois, je pense maintenant que c'est la MEILLEURE m&eacute;thode pour faire fonctionner ICQ avec IP Masq sous les noyaux 2.2.x.
<p>
<p>
Pour la configuration IPPORTFW, vous allez devoir faire quelques changements sur Linux et sur les clients ICQ mais toutes les fonctionnalit&eacute;s d'ICQ (messages, URLs, chat, transfert de fichier, etc.) fonctionnent.
<p>
Si vous &ecirc;tes interess&eacute;s par le module IP Masq ICQ pour les noyaux 2.2.x d'Andrew Deryabin's <htmlurl url="mailto:djsf@usa.net" name="djsf@usa.net">, vous pouvez vous reporter &agrave; la section <ref id="2.2.x-Requirements"> pour plus de d&eacute;tails.
<p>
<itemize>
  <item> D'abord, vous avez besoin d'un noyau linux avec IPPORTFW d'activ&eacute;. Reportez vous &agrave; la section <ref id="Forwarders"> pour de plus amples d&eacute;tails.
<p>
<itemize>
  <item> Ensuite, vous avez besoin d'ajouter les lignes suivantes &agrave; votre fichier /etc/rc.d/rc.firewall file. Cet exemple suppose que votre IP externe est 10.1.2.3 et que votre machine interne ICQ MASQu&eacute;es est 192.168.0.10 :
  <p>
  L'exemple qui suit est pour les noyaux 2.0.x avec IPFWADM:
  <p>
  <verb>
  J'ai inclus deux exemples ici pour l'utilisateur : les deux fonctionnent tr&egrave;s bien.

  Exemple #1
  --
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2000 -R 192.168.0.10/2000
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2001 -R 192.168.0.10/2001
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2002 -R 192.168.0.10/2002
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2003 -R 192.168.0.10/2003
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2004 -R 192.168.0.10/2004
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2005 -R 192.168.0.10/2005
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2006 -R 192.168.0.10/2006
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2007 -R 192.168.0.10/2007
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2008 -R 192.168.0.10/2008
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2009 -R 192.168.0.10/2009
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2010 -R 192.168.0.10/2010
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2011 -R 192.168.0.10/2011
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2012 -R 192.168.0.10/2012
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2013 -R 192.168.0.10/2013
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2014 -R 192.168.0.10/2014
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2015 -R 192.168.0.10/2015
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2016 -R 192.168.0.10/2016
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2017 -R 192.168.0.10/2017
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2018 -R 192.168.0.10/2018
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2019 -R 192.168.0.10/2019
  /usr/local/sbin/ipportfw -A -t10.1.2.3/2020 -R 192.168.0.10/2020
  --
  Exemple #2
  --
  port=2000
  while [ $port -le 2020 ]
    do
        /usr/local/sbin/ipportfw -A t10.1.2.3/$port -R 192.168.0.10/$port
        port=$((port+1))
    done
  --

  </verb>
  <p>
  L'exemple suivant est pour les noyaux 2.2.x avec IPCHAINS:
  <p>
  <verb>

  J'ai inclus deux exemples ici pour l'utilisateur : les deux fonctionnent tr&egrave;s bien.

  Exemple #1
  --
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2000 -R 192.168.0.10 2000
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2001 -R 192.168.0.10 2001
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2002 -R 192.168.0.10 2002
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2003 -R 192.168.0.10 2003
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2004 -R 192.168.0.10 2004
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2005 -R 192.168.0.10 2005
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2006 -R 192.168.0.10 2006
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2007 -R 192.168.0.10 2007
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2008 -R 192.168.0.10 2008
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2009 -R 192.168.0.10 2009
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2010 -R 192.168.0.10 2010
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2011 -R 192.168.0.10 2011
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2012 -R 192.168.0.10 2012
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2013 -R 192.168.0.10 2013
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2014 -R 192.168.0.10 2014
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2015 -R 192.168.0.10 2015
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2016 -R 192.168.0.10 2016
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2017 -R 192.168.0.10 2017
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2018 -R 192.168.0.10 2018
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2019 -R 192.168.0.10 2019
  /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 2020 -R 192.168.0.10 2020
  --

  Exemple #2
  --
  port=2000
  while [ $port -le 2020 ]
   do
    /usr/local/sbin/ipmasqadm portfw -a -P tcp -L 10.1.2.3 $port -R 192.168.0.10 $port
    port=$((port+1))
   done
  --
  </verb>
  <p>
  <item> Une fois que votre nouveau rc.firewall est pr&ecirc;t, rechargez le jeu de r&egrave;gles en tapant "/etc/rc.d/rc.firewall" pour &ecirc;tre s&ucirc;r que tout va bien. Si vous recevez une erreur, c'est que soit vous n'avez pas un noyau qui supporte IPPORTFW soit que vous avez fait une erreur de frappe dans votre fichier rc.firewall.
  <p>
  <item>
  Maintenant, dans les pr&eacute;f&eacute;rences d'ICQ, Preferences-->Connection, mettez "Behind a LAN" et "Behind a firewall or Proxy". Ensuite, cliquez sur "Firewall Settings" et mettez "I don't use a SOCK5 proxy". Notez aussi que l'on recommandait pr&eacute;c&eacute;demment de changer la pr&eacute;f&eacute;rence d'ICQ "Firewall session timeouts" &agrave; "30" seconds MAIS de nombreux utilisateurs ont trouv&eacute; que ca le rendait non fiable. On a trouv&eacute; qu'ICQ est plus fiable avec son r&eacute;glage de timeout par d&eacute;faut (n'activez donc pas cet option d'ICQ) et changez plut&ocirc;t le timeout de MASQ &agrave; 160 secondes. Vous pouvez changer ce timeout dans les jeu de r&egrave;gles <ref id="rc.firewall-2.0.x"> et <ref id="rc.firewall-2.2.x">. Enfin, cliquez sur Next et configure ICQ "Use the following TCP listen ports.." pour mettre de "2000" &agrave; "2020". Maintenant, cliquez sur "done".
<p>
Ensuite ICQ vous demandera de relancer ICQ pour que les changements prennent effet. Pour &ecirc;tre tout a fait honn&ecirc;te, j'ai du REBOOTER la machine Windows9x pour faire marcher tout ca mais d'autres personnes disent que ca marche tr&egrave;s bien autrement. Donc... essayez les deux mani&egrave;res.
</itemize>

<item> Notez aussi qu'un utilisateur m'a dit que portforwarder le port 4000 vers sa machine &eacute;tait ce qui fonctionnait le mieux. Il a dit que tout fonctionnait parfaitement (chat, transfert de fichier, etc.) SANS avoir besoin de reconfigurer ICQ et changer ses r&eacute;glages par d&eacute;faut. Vos r&eacute;sultats peuvent varier sur ce sujet mais j'ai pens&eacute; que &ccedil;a pourrait vous para&icirc;tre int&eacute;ressant de savoir que cette configuration alternative peut exister.
</itemize>

<label id="LooseUDP">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Joueurs : Le patch LooseUDP
<p>
Le patch LooseUDP permet au jeux en r&eacute;seau compatible NAT qui utilisent des connexion UDP de FONCTIONNER et d'avoir de bonnes performances derri&egrave;re un serveur Linux IP Masquerade. Pour le moment, LooseUDP est disponible comme patch pour les noyaux 2.0.36+ mais se trouve par d&eacute;faut dans les noyaux 2.2.3+ bien qu'il est DESACTIVE par DEFAUT dans 2.2.16+
<p>
Pour faire fonctionner LooseUDM sur un noyau 2.0.x, suivez les &eacute;tapes suivantes :
<itemize>
  <item> D'abord, verifiez que vous avez les sources du noyau 2.0.x le plus r&eacute;cent dans /usr/src/linux
  <p>
  <item>ABSOLUMENT NECESSAIRE pour v2.0.x :  Downloadez et installez le patch IPPORTFW que vous trouverez dans la secion <ref id="2.0.x-Requirements"> et comme d&eacute;crit dans la section <ref id="Forwarders"> de ce HOWTO.
  <p>
  <item>Downloadez le patch LooseUDP &agrave; partir de la section <ref id="2.0.x-Requirements">
<p>
Ensuite, placez le patch LooseUDP dans /usr/src/linux. Une fois que c'est fait, tappez :
<p>
<tscreen> Pour un fichier patch compress&eacute; :  zcat loose-udp-2.0.36.patch.gz | patch -p1</tscreen>
<p>
<tscreen>Pour un fichier patch NON-compress&eacute; :  cat loose-udp-2.0.36.patch | patch -p1</tscreen>
<p>
Ensuite, suivant la version de votre "patch", vous allez voir le texte suivant :
<p>
<tscreen>
<verb>
patching file `CREDITS'
patching file `Documentation/Configure.help'
patching file `include/net/ip_masq.h'
patching file `net/ipv4/Config.in'
patching file `net/ipv4/ip_masq.c'
</verb>
</tscreen>

Si vous voyez les texte "Hunk FAILED" UNE et UNE SEULE fois, au tout d&eacute;but de la processure de patching, ne vous inqui&eacute;tez pas. Vous avez probablement un ancien fichier de patch (ce probl&egrave;me &agrave; &eacute;t&eacute; r&eacute;par&eacute;) mais ca fonctionne quand m&ecirc;me. Si &ccedil;a &eacute;choue compl&egrave;tement, v&eacute;rifiez que vous avez appliqu&eacute; le patch IPPORTFW AVANT ce patch.
<p>
Une fois ce patch install&eacute;, reconfigurez votre noyau comme expliqu&eacute; dans la section <ref id="Kernel-Compile"> et verifiez bien que vous dites "Y" &agrave; l'option "IP: loose UDP port managing (EXPERIMENTAL) (CONFIG_IP_MASQ_LOOSE_UDP) [Y/n/?]".
</itemize>
<p>
Pour faire fonctionner LooseUDM sur un noyau 2.2.x, suivez les &eacute;tapes suivantes :
<itemize>
Dans le script /etc/rc.d/rc.firewall, allez &agrave; la fin du fichier et trouvez la section LooseUDP. Changez le "0" dans la ligne :
<tt>echo "0" > /proc/sys/net/ipv4/ip_masq_udp_dloose</tt>
en "1" et relancez votre jeu de r&egrave;gles rc.firewall. Un exemple de ceci est fourni dans les exemples des sections <ref id="rc.firewall-2.2.x">et  <ref id="stronger-rc.firewall-2.2.x">.
</itemize>
<p>
Une fois que vous avez relanc&eacute; le nouveau noyau avec le LooseUDP activ&eacute;, vous devriez &ecirc;tre en conditions pour la plupart des jeux compatibles NAT. Nous vous fournissons quelques URL pour des patchs qui feront fonctionner des jeux tels que BattleZone ou d'autres jeux compatibles NAT. Vous pouvez vous reporter &agrave; la section <ref id="Game-Clients"> pour de plus amples d&eacute;tails.


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<!-- Section 7 -->

<sect>Frequently Asked Questions (Foire Aux Questions)
<p>

<label id="FAQ">
Si vous avez des suggestions utiles &agrave; la FAQ &agrave; faire, veuillez envoyez SVP un email en anglais &agrave; <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">. Veuillez clairement r&eacute;diger la question et ca r&eacute;ponse (si vous l'avez). Merci !


<label id="MASQ-supported-Distributions">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->

<sect1> Quelles distributions sont fournis directement avec IP Masquerading ?
<p>
Si votre distribution Linux ne n'est pas fourni directement avec IP MASQ, ne vous inqui&eacute;tez pas. Tout ce que vous avez &agrave; faire est de recompiler le noyau comme expliqu&eacute; pr&eacute;c&eacute;dement dans ce HOWTO

NB : Si vous pouvez nous aider &agrave; remplir ce tableau, envoyez SVP un email &agrave; <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> ou &agrave; <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">.

<itemize>
<item>Caldera       < v1.2   : NON  - ?
<item>Caldera         v1.3   : OUI - 2.0.35 based
<item>Caldera         v2.2   : OUI - 2.2.5 based
<item>Caldera eServer v2.3   : OUI - ? based
<item>Debian          v1.3   : NON  - ?
<item>Debian          v2.0   : NON  - ?
<item>Debian          v2.1   : OUI - 2.2.1 based
<item>Debian          v2.2   : OUI - 2.2.15 based
<item>DLX Linux       v?     :  ?  - ?
<item>DOS Linux       v?     :  ?  - ?
<item>FloppyFW	      v1.0.2 :  ?  - ?
<item>Hal91 Linux     v?     :  ?  - ?
<item>Linux Mandrake  v5.3   : OUI - ?
<item>Linux Mandrake  v6.0   : OUI - 2.2.5 based
<item>Linux PPC       vR4    : NON - ?
<item>Linux Pro       v?     :  ?  - ?
<item>LinuxWare       v?     :  ?  - ?
<item>Mandrake        v6.0   : OUI - ?
<item>Mandrake        v6.1   : OUI - ?
<item>Mandrake        v7.0   : OUI - 2.2.14
<item>Mandrake        v7.1   : OUI - 2.2.15
<item>Mandrake        v7.2   : OUI - 2.2.17
<item>MkLinux         v?     :  ?  - ?
<item>MuLinux         v3rl   : OUI - ?
<item>Redhat        < v4.x   : NON  - ?
<item>Redhat          v5.0   : OUI - ?
<item>Redhat          v5.1   : OUI - 2.0.34 based
<item>Redhat          v5.2   : OUI - 2.0.36 based
<item>Redhat          v6.0   : OUI - 2.2.5 based
<item>Redhat          v6.1   : OUI - 2.2.12 based
<item>Redhat          v6.2   : OUI - 2.2.14 based
<item>Redhat          v7.0   : OUI - 2.2.16 based
<item>Slackware       v3.0   :  ?  - ?
<item>Slackware       v3.1   :  ?  - ?
<item>Slackware       v3.2   :  ?  - ?
<item>Slackware       v3.3   :  ?  - 2.0.34 based
<item>Slackware       v3.4   :  ?  - ?
<item>Slackware       v3.5   :  ?  - ?
<item>Slackware       v3.6   :  ?  - ?
<item>Slackware       v3.9   :  ?  - 2.0.37pre10 based
<item>Slackware       v4.0   :  ?  - ?
<item>Slackware       v7.0   : OUI - 2.2.13 based
<item>Slackware       v7.1   : OUI - 2.2.16 based
<item>Stampede Linux  v?     :  ?  - ?
<item>SuSE            v5.2   : OUI - 2.0.32 base
<item>SuSE            v5.3   : OUI - ?
<item>SuSE            v6.0   : OUI - 2.0.36 based
<item>SuSE            v6.1   : OUI - 2.2.5 based
<item>SuSE            v6.3   : OUI - 2.2.13 based
<item>Tomsrbt Linux   v?     :  ?  - ?
<item>TurboLinux Lite v4.0   : OUI - ?
<item>TurboLinux v6.0        : OUI - 2.2.12 based
<item>TriLinux        v?     :  ?  - ?
<item>Yggdrasil Linux v?     :  ?  - ?

</itemize>

<label id="FAQ-Hardware">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Quelles sont la configuration mat&eacute;rielle minimale requise et les limitations d'IP Masquerade? Les performances sont-elles bonnes ?
<p>

Un 486/66 avec 16MO de RAM &eacute;t&eacute; bien plus que suffisant pour remplir les 1.54Mb/s d'une connexion T1 &agrave; 100% ! MASQ a aussi d&eacute;j&agrave; bien tourn&eacute; sur des 386SX-16 avec 8MO de RAM. Vous devez cependant noter que Linux IP Masquerade commence &agrave; faire des dechets avec plus de 500 entr&eacute;es MASQ.

<p>
La seule application que je connaisse qui puisse temporairement casser Linux IP Masquerade est GameSpy. Pourquoi ? Quand il actualise ses listes, il cr&eacute;e des dizaines de milliers de connexions rapides pendant une TRES courte p&eacute;riode. Jusqu'au timeout de ces sessions, les tables de MASQ sont pleines ("FULL"). Reportez vous &agrave; la section <ref id="No-Free-Ports"> pour de plus amples d&eacute;tails.

<p>
Pendant qu'on y est :
<p>
Il y a une limite the 4096 connexions concurrentes chacune pour TCP &amp; UDP. Cette limite peut &ecirc;tre chang&eacute;e en bidouillant les valeurs de <em>/usr/src/linux/net/ipv4/ip_masq.h</em>, une limite sup&eacute;rieure de 32 000 devrait &ecirc;tre OK. Si vous voulez changer cette limite, vous devez changer les valeurs de PORT_MASQ_BEGIN &amp; PORT_MASQ_END pour avoir une taille correctemment dimensionn&eacute;e au dessus de 32K et en dessous de 64K.
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Quand je lance la commande rc.firewall, je re&ccedil;ois des erreurs "command not found". Pourquoi ?
<p>
Comment avez vous mis le fichier rc.firewall sur votre machine ? L'avez vous copi&eacute;-coll&eacute; dans une fen&ecirc;tre de TELNET, ou envoy&eacute; par FTP &agrave; partir d'une machine Windows/DOS etc. ? Essayez &ccedil;a ... logguez vous sur la machine Linux et lancer "vim -b /etc/rc.d/rc.firewall" et regarder si vos lignes finissent pas ^M. Si oui, effacer les ^M et essayer de nouveau.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> J'ai v&eacute;rifi&eacute; toutes mes configurations, et j'arrive toujours pas &agrave; faire fonctionner IP Masquerade. Que dois-je faire ?
<p>
<itemize>
<item>Restez calme. Prenez une tasse de th&eacute;, de caf&eacute;, de boisson etc. et reposez vous. Une fois que votre esprit est repos&eacute;, essayez les suggestions ci-dessous. Mettre en place Linux IP Masquerading n'est PAS difficile mais il a plusieurs concepts que vous devez comprendre.
<p>
<item>Encore une fois, suivez les &eacute;tapes de la section <ref id="Testing">. 99% des utilisateurs qui utilisent Masquerade pour la premi&egrave;re fois ne sont m&ecirc;me pas all&eacute; regarder l&agrave;-bas.
<p>
<item>
Verifier les <url url="http://www.indyramp.com/lists/masq/" name="IP Masquerade Mailing List Archives">, sans doute que votre probl&egrave;me est courant et que vous pourrez trouver une solution avec une simple recherche dans l'archive.
<p>
<item>V&eacute;rifiez aussi le document <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS">. Il couvre l'IP Masquerading pour les noyaux 2.0.x et 2.2.x et beaucoup d'autres sujets dont PPPd, DialD, DHCP, DNS, Sendmail, etc.
<p>
<item> V&eacute;rifiez bien que vous n'&ecirc;tes pas ROUTED ou GATES. Pour ce faire, lancez "ps aux | grep -e routed -e gated".
<p>
<item>Envoyez votre question sur l'IP Masquerade Mailing List (regardez la suite de la section FAQ pour les d&eacute;tails). Utilisez cette solution seulement si vous ne pouvez pas trouver de solution dans l'IP Masquerading Archive. V&eacute;rifiez bien que vous envoyez toutes les informations demand&eacute;es dans la section <ref id="Testing"> dans votre email!!
<p>
<item>Postez votre question dans un newsgroup NNTP Linux correspondant.
<p>
<item>Envoyez un email &agrave; <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> et <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">. Vous avez plus de chance de recevoir une r&eacute;ponse de la mailing list IP Masquerading que de l'un d'entre nous.  
<p>
<item>Verifiez vos configurations de nouveau :-)
</itemize>

<label id="Masq-List">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Comment puis-je m'inscrire ou consulter les mailing lists d'IP Masquerade et/ou IP Masqurade Developers et les archives ?
<p>
Il y a deux mani&egrave;res de s'inscrire aux deux mailing lists de Linux IP Masquerading. La premi&egrave;re fa&ccedil;on est d'envoyer un email &agrave; <htmlurl url="mailto:masq-request@indyramp.com" name="masq-request@indyramp.com">. Pour s'inscrire &agrave; la mailing list de Linux IP Masquerading Developers, envoyez un email &agrave; <htmlurl url="mailto:masq-dev-request@indyramp.com" name="masq-dev-request@indyramp.com">. Reportez vous SVP &agrave; la boulette si dessous pour plus de d&eacute;tails.
<p>
<itemize>
  <item>S'abonner par email: Mettez "subscribe" soit dans le champs 'subject' soit dans le corps du message de l'email. Si vous voulez vous abonner &agrave; la version Digest (tous les emails de la liste donn&eacute;e vous sont envoy&eacute;s dans un seul gros email), de l'une des mailing list (la principale MASQ ou la liste MASQ-DEV), mettez les mots "subscribe digest" &agrave; la place, soit dans le champs 'subject' soit dans le corps de l'email.
<p>
Une fois que le serveur re&ccedil;oit votre requ&ecirc;te, il va vous abonner &agrave; la liste que vous avez demand&eacute; et vous fournir un MOT DE PASSE. Sauvegardez ce mot de passe parce que vous en aurez besoin plus tard, pour terminer votre abonnement ou changer vos options
</itemize>
<p>
La seconde m&eacute;thode et d'utiliser un browser WWW et de vous inscrire via le formulaire qui se trouve &agrave; l'URL <htmlurl url="http://www.indyramp.com/masq-list/" name="http://www.indyramp.com/masq-list/"> pour la liste principale MASQ ou <htmlurl url="http://www.indyramp.com/masq-dev-list/" name="http://www.indyramp.com/masq-dev-list/"> pour la liste MASQ-DEV.
<p>
<p>
Une fois abonn&eacute;, vous recevrez des emails de la liste &agrave; laquelle vous vous &ecirc;tes abonn&eacute;. Notez aussi que les utilisateurs abonn&eacute;s et NON-abonn&eacute;s peuvent acceder aux archives des deux listes. Pour ce faire, veuillez SVP vous reporter aux URLs WWW si dessus pour plus de d&eacute;tails.
<p>
Enfin, veuillez noter que vous pouvez envoyer des emails &agrave; la liste MASQ uniquement &agrave; partir de votre compte/adresse avec lesquels vous vous &ecirc;tes abonn&eacute;.
<p>
Si vous avez des probl&egrave;mes avec les mailing lists, ou l'archive de la mailing liste, veuillez contacter SVP <htmlurl url="mailto:masq-owner@indyramp.com" name="Robert Novak">.
<label id="what-is-masq">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> En quoi IP Masquerade est diff&eacute;rent des Proxy ou des services NAT ?  
<p>
<verb>

Proxy: les serveurs Proxy sont disponibles pour : Win95, NT, Linux, Solaris, etc.

		Avantages: 	+ (1) seule adresse IP; pas cher
				+ Peu optionnellement utiliser une cache pour de meilleurs
				  performances (WWW, etc.)

		Inconv&eacute;nients:	- Toutes les applications derri&egrave;re un serveur
					  proxy doivent &ecirc;tre COMPATIBLES avec les 
					  services proxy (SOCKS) et &ecirc;tre CONFIGURES 
					  pour utiliser le serveur Proxy
					- Fout en l'air les compteurs WWW et les stastiques WWW

	 Un serveur proxy utilise seulement (1) une adresse IP publique, comme IP MASQ, et se 
	 comporte comme un traducteur vers les clients du LAN prive (browser WWW, etc.) 
	 Ce serveur proxy recoit les requetes tels que TELNET, FTP, WWW, etc. du reseau prive
	 sur une interface. Il va ensuite initialiser ces requetes comme si c'etait quelqu'un sur
	 la machine elle-meme qui les faisait. Une fois que le serveur distant sur Internet renvoie 
	 les informations demand&eacute;es, il va retraduire les adresses TCP/IP vers les machines 
	 internes et envoyer le traffic vers la machine interne qui avait fait la demande. C'est 
	 la raison pour laquelle il est appel&eacute; serveur PROXY.

		NB :   TOUTE application que vous pourriez vouloir utiliser sur les
		       machines internes *DOIT* avoir la compatibilit&eacute; avec les serveurs
		       proxy, comme Netscape et quelques applications parmi les meilleurs 
		       clients TELNET et FTP. Tout client qui n'est pas compatible avec 
		       les serveurs proxy ne fonctionnera pas.

	 Une autre chose bien a propos des serveurs proxy est que quelques uns d'entre eux 
	 peuvent aussi servir &agrave; faire du cache (antememoire) (Squid pour WWW). Imaginez alors  
	 vous avez 50 machines 'proxies' qui vont charger Nestcape en meme temps. S'ils sont 
	 que install&eacute;s avec la page de garde par defaut, vous allez avoir 50 copies de la 
	 Netscape qui vont arriver a travers le WAN pour chaque ordinateur. Avec un proxy a 
	 meme page Web antememoire, seule une copie serait telechargee par le serveur proxy et ensuites 
	 les machines proxies recevraient la page &agrave; partir de l'antememoire. Cela va non 
	 seulement economiser de la bande passante sur la connexion Internet, mais en plus ca va etre
	 BEAUCOUP BEAUCOUP plus rapide pour les machines internes proxies.
	 

MASQ:	 IP Masq est disponible sur Linux et quelques routeurs ISDN tels que
 ou	 le Zytel Prestige128, Cisco 770, les routeurs ISDN NetGear, etc.
1:Many
 NAT	 
		Avantages: 	+ (1) seule adresse IP; pas cher
				+ N'a pas besoin de compatibilite speciale des applications
				+ Utilise un firewall logiciel donc votre reseau peu devenir 
				plus sur

		Inconv&eacute;nients:	- Requiert une machine Linux ou un routeur ISDN special
			  	(meme si d'autres produits pourraient l'avoir...)
			  	- Le traffic entrant ne peut acceder au LAN interne sans que
			  	le LAN interne soit initiateur du traffic ou qu'il y ait un 
			  	logiciel specifique pour le port forwarding d'installe.
			  	Beaucoup de serveurs NAT NE PEUVENT PAS fournir cette 
			  	fonctionnalit&eacute;
			  	- Des protocoles speciaux doivent etre traites de maniere speciale
			  	par les redirecteurs de firewall, etc. Linux est completement 
			  	compatible avec ceux-ci (FTP, IRC, etc.) mais beaucoup de routeurs 
			  	NE le SONT PAS (NetGear DOES).
			  	

	 Masq ou 1:Many NAT est similaire a un serveur proxy parce que le serveur va faire une
	 translation d'adresse IP et faire croire au serveur distant (par exemple le serveur WWW)
	 que c'est le serveur MASQ qui a fait la requete et non la machine interne.
	 
	 Une difference majeure entre un serveur MASQ et un serveur PROXY est que les serveurs
	 MASQ n'ont pas du tout besoin de changement de configuration des machines clientes. 
	 Il suffit de les configurer pour qu'elles utilisent la machine linux en tant que leur
	 passerelle par defaut et tout fonctionne correctement. Vous AUREZ besoin d'installer
	  des modules linux speciaux pour faire fonctionner des trucs genre RealAudio, FTP, etc. !
	 
	 De plus, de nombreuses personnes utilisent IP MASQ pour le TELNET? FTP, etc. *ET* 
	 mettent en place un serveur proxy avec cache sur la meme machine Linux pour le traffic
	 WWW afin d'obtenir de meilleurs performances.
	 

NAT:	 des serveurs NAT sont disponibles sur Windows 95/NT, Linux, Solaris, et quelques  
	 un des meilleurs routeurs ISDN (pas chez Ascend)	 

		Avantages: 	+ Tres configurables
				+ Pas de logiciel special requis

		Inconv&eacute;nients:	- Necessite un sous-reseau de votre FAI (cher)

	 Translation d'Adresse Reseau est le nom d'une boite qui aurait un groupe d'adresses 
	 IP valides qu'il peut utiliser sur l'interface Internet. Quand sur le reseau interne,
	 une machine veut acceder a Internet, il associe une des adresses IP VALIDES disponibles
	 de son interface Internet a l'adresse IP PRIVEE qui a fait la demande. Ensuite, tout 
	 le traffic est retranscrit de l'adresse IP public du NAT vers son adresse IP privee.
	 Lorsque l'adresse NAT PUBLIQUE devient inactif pour une certaine periode predeterminee,
	 l'adresse IP PUBLIQUE est rangee de nouveau dans le groupe d'adresses NAT publiques

	 Le principal probleme de NAT est que, une fois que toutes les adresses IP publiques 
	 disponibles sont utilisees, tout utilisateur prive qui demande un service Internet doit
	 attendre qu'une adresse publique NAT se libere.
	 
</verb>
Pour une description tr&egrave;s bien faite et tr&egrave;s compl&egrave;te des diff&eacute;rentes formes de NAT, veuillez SVP vous reporter &agrave; :
<itemize>
  <item><url url="http://www.suse.de/~mha/linux-ip-nat/diplom/nat.html">
</itemize>
<p>

Voici un autre bon site pour apprendre des choses sur NAT, bien que beaucoup d'URLs sont anciennes, elles sont toujours valables :
<itemize>
  <item><url url="http://www.linas.org/linux/load.html">
</itemize>
<p>

Voici un tr&egrave;s bon URL pour apprendre des choses sur les autres solutions NAT pour Linux mais aussi pour les autres plateformes :
<itemize>
  <item><url url="http://www.uq.net.au/~zzdmacka/the-nat-page/">
</itemize>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Existe-t-il des outils de cr&eacute;ation/gestion de firewall avec interface graphique ?
<p>

Oui ! Ils ont diff&eacute;rentes interfaces, complexit&eacute;s, etc. mais ils sont tr&egrave;s bien bienque la plupart soit exclusivement pour l'outil IPFWADM. Voici une courte liste des outils disponibles, dans l'ordre alphab&eacute;tique. Si vous en connaissez d'autres ou vous savez lesquels sont bien/mauvais/immondes, envoyez SVP un email &agrave; David
<p>
<itemize>
  <item>Le <htmlurl url="http://www.wolfenet.com/~jhardin/ipfwadm.html" name="IPFWADM Dot file generator"> de John Hardin - Une version IPCHAINS est en cours de developpement.
  <p>
  <item><url url="http://www.innertek.com" name="fBuilder"> de Sonny Parlin : De l'auteur de FWCONFIG, cette nouvelle solution est enti&egrave;rement bas&eacute;e sur le WWW et offre des options de redondance, etc. pour IPCHAINS et NetFilter.
  <p>
  <item> <url url="http://www.pobox.com/&tilde;wstearns/mason/" name="Mason"> de William Stearns - Un syst&egrave;me pour cr&eacute;er des jeux de r&egrave;gles &agrave; la vol&eacute;e

</itemize>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> IP Masquerade fonctionne-t-il avec des adresses IP alou&eacute;es dynamiquement ?
<p>
<bf>Oui</bf>, &ccedil;a fonctionne, avec les IP dynamique, assign&eacute;e par votre FAI via un serveur PPP ou DHCP/BOOTp. Bien sur les IP statiques fonctionnent aussi. Toutefois, si vous voulez impl&eacute;menter un jeu de r&egrave;gle IPFWADM/IPCHAINS 'strong' ou utiliser un port forwarder, votre jeu de r&egrave;gles devra &ecirc;tre r&eacute;execut&eacute; &agrave; chaque fois que votre IP change. Reportez vous SVP au debut de la section <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10"> pour plus d'aide sur les jeux de r&egrave;gles 'strong' du firewall et les adressses IP dynamiques.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Puis-je utiliser un modem par cable (soit bidirectionnel, soit avec un modem pour le retour), une connexion DSL, un lien satellite, etc. pour me connecter &agrave; internet et utiliser IP Masquerade ?
<p>

<bf>OUI</bf>, tant que Linux est compatible avec l'interface r&eacute;seau, &ccedil;a devrait fonctionner. Si vous recevez une adresse IP dynamique, reportez vous SVP &agrave; l'URL de la partie "IP Masquerade fonctionne-t-il avec des adresses IP alou&eacute;es dynamiquement" dans l'article de la FAQ si dessus.


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Puis-je utiliser Diald ou la fonction Dial-on-Demand de PPPd avec IP MASQ?
<p>
Bien s&ucirc;r ! IP Masquerading est totalement transparent pour Diald ou PPP. La seule chose qui pourrait poser probl&egrave;me est l'utilisation d'un jeu de r&egrave;gle 'strong' avec un adresse IP dynamique. Reportez vous &agrave; l'article de la FAQ " IP Masquerade fonctionne-t-il avec des adresses IP alou&eacute;es dynamiquement" ci-dessus pour de plus amples d&eacute;tails.


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Quels applications sont compatibles avec IP Masquerade?
<p>
C'est difficile de garder une liste de toutes les "applications qui fonctionnent". Cependant, la plupart des applications Internet classiques sont compatibles (les browser WWW (Netscape, MSIE, etc. FTP (tels que WS_FTP), TELNET, SSH, RealAudio, POP3 (email entrant - Pine, Eudora, Outlook), SMTP (email sortant), etc.) Une liste assez compl&egrave;te de clients compatibles MASQ peut &ecirc;tre trouv&eacute; &agrave; la section <ref id="Clients"> de ce HOWTO.

Les applications impliquant des protocoles plus compliqu&eacute;s ou des m&eacute;thodes de connexion sp&eacute;ciales telles que la video conferencing ont besoin d'outils d'aide sp&eacute;ciaux.

Pour de plus amples d&eacute;tails, veuillez vous reporter SVP &agrave; la page <url url="http://www.tsmservices.com/masq" name="Linux IP masquerading Applications">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Comment puis-je faire fonctionner IP Masquerade sur Redhat, Debian, Slackware, etc.? 
<p>
Peu importe quelle distribution Linux vous utilisez, les proc&eacute;dures pour configurer IP Masquerade mentionn&eacute;es dans ce HOWTO devraient fonctionner. Quelques distributions peuvent avoir une interface graphique ou des fichiers de configurations speciaux qui peuvent rendre la configuration plus simple. Nous faisons le mieux que nous pouvons pour &eacute;crire ce HOWTO dans le cas le plus g&eacute;n&eacute;ral possible.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Les connexions TELNET semblent s'interrompre si je ne les utilise pas souvent. Pourquoi &ccedil;a ?
<p>
Par d&eacute;faut, IP Masq, r&egrave;gles ses timers pour les sessions TCP, TCP FIN, et les traffics UDP &agrave; 15 minutes. Il est recommand&eacute; d'utiliser les r&eacute;glages suivant (comme indiqu&eacute; pr&eacute;c&eacute;demment dans ce HOWTO au niveau du jeu de r&egrave;gles /etc/rc.d/rc.firewall ) pour la plupart des utilisateurs :
<p>
Linux 2.0.x avec IPFWADM:
<p>
<verb>
#timeouts de MASQ  
#
#   timeout de 2heures pour les sessions TCP
#   timeout de 10secondes pour le traffic avoir re&ccedil;u le paquet TCP/IP "FIN"
#   timeout de 60secondes pour le traffic UDP (les utilisateurs d'ICQ MASQ'u&eacute;s 
#   doivent activ&eacute; un timeout firewall de 30 secondes dans ICQ lui-m&ecirc;me) 
#
/sbin/ipfwadm -M -s 7200 10 60
</verb>
<p>

Linux 2.2.x avec IPCHAINS:
<p>
<verb>
#timeouts de MASQ  
#
#   timeout de 2heures pour les sessions TCP
#   timeout de 10secondes pour le traffic avoir re&ccedil;u le paquet TCP/IP "FIN"
#   timeout de 60secondes pour le traffic UDP (les utilisateurs d'ICQ MASQ'u&eacute;s 
#   doivent activ&eacute; un timeout firewall de 30 secondes dans ICQ lui-m&ecirc;me) 
#
/ipchains -M -S 7200 10 60
</verb>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Quand je me connecte une premi&egrave;re fois &agrave; Internet, rien de fonctionne. Si j'essaie de nouveau, tout fonctionne correctement. Pourquoi ?
<p>
La raison est que vous avez une IP dynamique et que quand vous vous connectez &agrave; Internet, IP Masquerade ne connait pas votre IP. Il y a une solution &agrave; ce probl&egrave;me. Dans votre jeu de r&egrave;gles /etc/rc.d/rc.firewall, ajoutez ceci :
<p>
<verb>
# Utilisateur d'IP dynamique :
#
#   Si vous recevez votre IP dynamiquement par SLIP, PPP ou DHCP, activez cette option
#   Ceci permet le hacking des IP dynamiques dans IP MASQ, rendant la vie
#   avec Diald et les programmes similaires plus simple.
#
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
</verb>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<label id="MTU-issues">
<sect1>( MTU ) - IP MASQ semble fonctionner correctement mais certain sites ne fonctionnent pas. D'habitude, &ccedil;a arrive avec le FTP et le WWW.
<p>
Il y a deux raisons possibles &agrave; ce probl&egrave;me. La premi&egrave;re est tr&egrave;s COURANTE, et la seconde est tr&egrave;s RARE
<p>
<itemize>
<item>Il y a un BUG discutable dans le code de Masquerade des noyaux 2.0.38 2.2.9+.  
<p>
Quelques utilisateurs pointent du doigt le fait que IPMASQ pourrait avoir des probl&egrave;mes avec les paquets qui ont un le bit DF ou "Don't Fragment" activ&eacute;. En gros, quand une machine Linux se connecte &agrave; Internet avec un MTU inf&eacute;rieur &agrave; 1500, certains paquets vont avoir le flag DF activ&eacute;. Bienque changer le MTU 1500 sur le serveur linux va sembler r&eacute;soudre le probl&egrave;me, le bug probable va toujours &ecirc;tre l&agrave;. On croit qu'il se passe la chose suivante : le code MASQ ne r&eacute;&eacute;crit pas correctement les paquets de retour ICMP avec le code ICMP 3 Sub 4 &agrave; l'ordinateur MASQu&eacute; qui est &agrave; l'origine du flux. En raison de cela, les paquets sont &eacute;limin&eacute;s.
<p>
D'autres utilisateurs pointent du doigt les administrateurs des sites distants qui posent probl&egrave;me (typiquement les sites utilisant le SSL, etc.) et disent qu'en raison du filtrage de TOUTES LES FORMES de messages ICMP (dont les Type4 - Fragmentation Needed) en cause de la paranoia de la s&eacute;curit&eacute;, ils fracturent les aspects fondamentaux du protocole TCP/IP.
<p>
Les deux arguments ont des aspects valides et les partisans des deux camps continuent &agrave; d&eacute;battre sur ce sujet chaque jour. Si vous &ecirc;tes un programmeur r&eacute;seau et que vous pensez pouvoir soit r&eacute;soudre ce probl&egrave;me soit deviner son origine... ESSAYEZ SVP ! Pour de plus amples d&eacute;tails reportez vous &agrave; la liste suivante <htmlurl url="http://www.tux.org/hypermail/linux-kernel/1999week10/0124.html" name="MTU Thread from the Linux-Kernel">.
<p>
<p>
Pas d'inqui&eacute;tudes toutefois. Une mani&egrave;re efficace &agrave; 100% de r&eacute;soudre le probl&egrave;me est de changer le MTU de votre liaison Internet &agrave; 1500. Maintenant quelques utilisateurs vont grogner contre ceci parce que ca peut nuire &agrave; la latence de quelques programmes sp&eacute;cifiques tels que TELNET ou les jeux mais son impact n'est que tr&egrave;s faible. D'un autre c&ocirc;t&eacute;, la plupart des connexions HTTP et FTP vont s'ACCELERER !
<p>
[ -- Si vous avez une connexion PPPoE pour votre DSL/Cablemodem ou si vous d&eacute;cidez de ne pas changer votre MTU &agrave; 1500, regardez si dessous pour une autre solution. -- ]
<p>
Pour r&eacute;parer ca, regardez d'abord le MTU de votre connexion Internet. Pour ce faire, lancer /bin/ifconfig". Maintenant regardez les lignes correspondants &agrave; votre connexion Internet et chercher le MTU. Il FAUT le fixer &agrave; 1500. G&eacute;n&eacute;ralement, les connexions Ethernet vont l'avoir par d&eacute;faut mais les lignes s&eacute;rie PPP vont avoir par d&eacute;faut 576.
</itemize>
<p>
<sect2>Changer le MTU d'une ligne PPP :
<p>
<itemize>
<item> Pour r&eacute;gler le probl&egrave;me de MTU sur une ligne PPP, modifiez votre fichier /etc/ppp/options, et vers le d&eacute;but, ajoutez le texte suivant sur deux lignes s&eacute;par&eacute;es : "mtu 1500" et "mru 1500". Sauvegardez les changements et redemarrez PPP. Maintenant v&eacute;rifiez comme indiqu&eacute; pr&eacute;c&eacute;demment que le lien PPP a un MTU et un MRU corrects.
<p>
<item> Pour r&eacute;gler le probl&egrave;me de MTU sur une ligne Ethernet vers votre connexion DSL ou CableModem reli&eacute; par un routeur ou un pont, vous devez modifier le bon script de d&eacute;marrage r&eacute;seau pour votre distribution Linux. Reportez vous SVP au document <htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 16"> pour l'optimisation du r&eacute;seau.
<p>
</itemize>
<sect2>Anciennes interfaces series UNIX : 
<p>
<itemize>
<item>Enfin, bienque ceci n'est pas un probl&egrave;me courant, quelques personnes ont trouv&eacute; la solution suivante. Les utilisateurs de PPP, v&eacute;rifiez sur quel port votre PPPd se connecte. Est-ce un port /dev/cua* ou un port /dev/ttyS* ? Le type cua est un ANCIEN et il perturbe certains trucs de mani&egrave;res &eacute;tranges.
</itemize>

<sect2>Utilisateurs de PPPoE :
<p>
Pour les utilisateurs de PPPoE (qui a un MTU maximal de 1490) ou pour ceux qui d&eacute;cident de ne pas utiliser un MTU de 1500, tout n'est pas perdu. Si vous reconfigurez TOUTES les machines MASQu&eacute;es de fa&ccedil;on &agrave; ce qu'elles utilisent le MEME MTU que celui de votre connexion externe &agrave; Internet, tout devrait fonctionner correctement. A noter cependant que certains FAI par PPPoE peuvent exiger un MTU de 1460 pour une connectivit&eacute; correcte.

Comment vous pouvez faire cela ? Suivez ces quelques &eacute;tapes pour votre syst&egrave;me d'exploitation.

L'exemple suivant montre la configuration d'un MTU de 1490 pour une connexion PPPoE utilis&eacute;e par certains utilisateurs de DSL ou de Cablemodems. Il est recommand&eacute; d'utiliser les valeurs les PLUS HAUTES possibles pour toutes les connexions dont le d&eacute;bit est sup&eacute;rieur ou &eacute;gal &agrave; 128kb/s.

La seule raison d'utiliser un MTU plus petit est la latence au depend du d&eacute;bit. Reportez vous SVP &agrave; :

	<htmlurl url="http://www.ecst.csuchico.edu/~dranch/PPP/ppp-performance.html#mtu" name="http://www.ecst.csuchico.edu/~dranch/PPP/ppp-performance.html#mtu">

pour de plus amples d&eacute;tails sur ce sujet.


*** Si vous avez REUSSI, ECHOUE, ou que vous avez la proc&eacute;dure &agrave; suivre pour d'autres syst&egrave;mes d'exploitations,
*** envoyer SVP une email &agrave; DAVID Ranch. Merci !

<sect2>Linux:
<p>
<code>

1. Le r&eacute;glage du MTU peut changer d'une distribution &agrave; l'autre.

   Pour Redhat : Vous avez besoin de modifier les diff&eacute;rentes d&eacute;clarations "ifconfig'
                 dans /sbin/ifup script

   Pour Slackware : Vous avez besoin de modifier les diff&eacute;rentes d&eacute;clarations "ifconfig'
                    dans /etc/rc.d/rc1.inet

2. Voici un bon exemple qui marche avec toutes les distributions, modifiez le fichier
   /etc/rc.d/rc.local et mettez ceci &agrave; la FIN du fichier :

        echo "Changement du MTU de l'interface ETH0"
        /sbin/ifconfig eth0 mtu 1490

     Remplacez "eth0" par le nom de l'interface de votre machine qui est connect&eacute;e &agrave; Internet.

3. Pour les options avanc&eacute;es telles que "TCP Receive Windows", des exemples d&eacute;taill&eacute;s
   sur la mani&egrave;re de modifier les scripts de r&eacute;seau sur les diff&eacute;rentes distributions
   Linux, etc. reportez vous SVP au Chapitre 16 de 
   http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#trinityos 
</code>

<sect2>MS Windows 95:  
<p>
<code>
1. TOUT changement dans la base de registre est risqu&eacute;e mais avec une copie de sauvegarde, 
   vous devriez &ecirc;tre en s&eacute;curit&eacute;. Continuez en CONNAISSANCE DE CAUSE.

2. Allez dans Start-->Run-->RegEdit

3. Vous devriez faire une copie de sauvegarde de votre Base De Registre avant de faire quoi 
   que &ccedil;a soit.
   Pour ce faire, copiez les fichiers "user.dat" et "system.dat" du r&eacute;pertoire \WINDOWS 
   et mettez les en lieu s&ucirc;r. Notez aussi, que la m&eacute;thode mentionn&eacute;e 
   pr&eacute;c&eacute;demment utilisant "Regedit: Registry-->Export Registry File-->Save a copy of
   your registry" ne fait que de la FUSION de la Base de Registre et NON PAS son remplacement.

4. Cherchez dans chaque cl&eacute; de la base de registre qui fini par "n" (c-&agrave;-d 0007) 
   qui &agrave; une entr&eacute;e appel&eacute;e "IPAddress" qui a votre adresse IP.
   Sous cette cl&eacute;, ajoutez le texte suivant :

   Tir&eacute; de http://support.microsoft.com/support/kb/articles/q158/4/74.asp

     [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n]

         type=DWORD
         name="MaxMTU"           (NE PAS inclure les guillements)
         value=1490 (Decimal)    (NE PAS inclure le texte "(Decimal)")

         type=DWORD
         name="MaxMSS"           (NE PAS inclure les guillements)
         value=1450 (Decimal)    (NE PAS inclure le texte "(Decimal)")


5. Vous pouvez aussi changer le "TCP Receive Window" qui augmente parfois
   les performances r&eacute;seau CONSIDERABLEMENT. Si vous remarquez que votre d&eacute;bit
   &agrave; DIMINUE, REMETTEZ les anciens r&eacute;glages et red&eacute;marrez.

     [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP]
        type=DWORD
        name="DefaultRcvWindow"   (NE PAS inclure les guillements)
        value=32768 (Decimal)     (NE PAS inclure le texte "(Decimal)")

        type=DWORD
        name="DefaultTTL"         (NE PAS inclure les guillements)
        value=128 (Decimal)       (NE PAS inclure le texte "(Decimal)")


6. Rebootez pour que les changements soit pris en compte.
</code>

<sect2>MS Windows 98:  
<p>
<code>

1. TOUT changement dans la base de registre est risqu&eacute;e mais avec une copie de sauvegarde, 
   vous devriez &ecirc;tre en s&eacute;curit&eacute;. Continuez en CONNAISSANCE DE CAUSE.

2. Allez dans Start-->Run-->RegEdit

3. Vous devriez faire une copie de sauvegarde de votre Base De Registre avant de faire quoi que
   &ccedil;a soit. Pour ce faire, copiez les fichiers "user.dat" et "system.dat" du r&eacute;pertoire
   \WINDOWS et mettez les en lieu s&ucirc;r. Notez aussi, que la m&eacute;thode mentionn&eacute;e 
   pr&eacute;c&eacute;demment utilisant "Regedit: Registry-->Export Registry File-->Save a copy of your
   registry" ne fait que de la FUSION de la Base de Registre et NON PAS son remplacement.

4. Cherchez dans chaque cl&eacute; de la base de registre qui fini par "n" (c-&agrave;-d 0007) 
   qui &agrave; une entr&eacute;e appel&eacute;e "IPAddress" qui a votre adresse IP. Sous cette cl&eacute;,
   ajoutez le texte suivant :

   Tir&eacute; de http://support.microsoft.com/support/kb/articles/q158/4/74.asp

     [Hkey_Local_Machine\System\CurrentControlset\Services\Class\NetTrans\000n]

         type=STRING
         name="MaxMTU"            (NE PAS inclure les guillements)
         value=1490 (Decimal)     (NE PAS inclure le texte "(Decimal)")


5. Vous pouvez aussi changer le "TCP Receive Window" qui augmente parfois
   les performances r&eacute;seau CONSIDERABLEMENT. Si vous remarquez que votre d&eacute;bit
   &agrave; DIMINUE, REMETTEZ les anciens r&eacute;glages et red&eacute;marrez.

     [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP]
        type=DWORD
        name="DefaultRcvWindow"   (NE PAS inclure les guillements)
        value=32768 (Decimal)     (NE PAS inclure le texte "(Decimal)")

        type=DWORD
        name="DefaultTTL"         (NE PAS inclure les guillements)
        value=128 (Decimal)       (NE PAS inclure le texte "(Decimal)")


6. Rebootez pour que les changements soit pris en compte.
</code>

<sect2>MS Windows NT 4.x
<p>
<code>

1. TOUT changement dans la base de registre est risqu&eacute;e mais avec une copie de sauvegarde, 
   vous devriez &ecirc;tre en s&eacute;curit&eacute;. Continuez en CONNAISSANCE DE CAUSE.

2. Allez dans Start-->Run-->RegEdit


3. Registry-->Export Registry File-->Sauvegardez une copie de votre base de registre dans un 
   endroit s&ucirc;r

4. Cr&eacute;er les cl&eacute;s suivantes dans les deux Bases de Registre possible.
   Des entr&eacute;es multiples correspondent &agrave; differentes connexions r&eacute;seaux tels
   que PPP, Ethernet NICs, VPNs PPTP, etc.

   http://support.microsoft.com/support/kb/articles/Q102/9/73.asp?LN=EN-US&amp;SD=gn&amp;FR=0


   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Parameters\Tcpip]
                     and
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<Adapter-name>\Parameters\Tcpip]

      Remplacez "<Adapter-Name>" par le nom du lien de l'interface de votre LAN connect&eacute;e 
      &agrave; Internet

         type=DWORD
         name="MTU"              (NE PAS inclure les guillements)
         value=1490 (Decimal)    (NE PAS inclure le texte "(Decimal)")

       (NE PAS inclure les guillements)


 *** Si vous savez aussi comment changer MSS, la taille de la fen&ecirc;tre TCP, et les
 *** parametres TTL dans NT 4.x, envoyez SVP un  email &agrave; dranch@trinnet.net parce que 
 *** j'adorerais les ajouter &agrave; ce HOWTO.

5. Rebootez pour que les changements soit pris en compte.
</code>

<sect2>MS Windows 2000
<p>
<code>
1. TOUT changement dans la base de registre est risqu&eacute;e mais avec une copie de sauvegarde, 
   vous devriez &ecirc;tre en s&eacute;curit&eacute;. Continuez en CONNAISSANCE DE CAUSE.

2. Allez dans Start-->Run-->RegEdit


3. Registry-->Export Registry File-->Sauvegardez une copie de votre base de registre 
   dans un endroit s&ucirc;r

4. Naviguez jusqu'&agrave; la cl&eacute; :

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\<ID for Adapter>

   Chaque ID Adapter &agrave; une cl&eacute; par default pour le DNS, l'adresse TCP/IP, la passerelle
   par defaut, le masque de sous r&eacute;seau, etc. Trouvez la cl&eacute; qui correspond &agrave;
   votre carte r&eacute;seau.

5.  Cr&eacute;ez l'entr&eacute;e suivante :

      type=DWORD
      name="MTU"				(NE PAS inclure les guillements)
      value=1490 (Decimal)      (NE PAS inclure le texte "(Decimal)")

http://support.microsoft.com/support/kb/articles/Q120/6/42.asp?LN=EN-US&amp;SD=gn&amp;FR=0

 *** Si vous savez aussi comment changer MSS, la taille de la fen&ecirc;tre TCP, et les
 *** parametres TTL dans NT 4.x, envoyez SVP un  email &agrave; dranch@trinnet.net parce que 
 *** j'adorerais les ajouter &agrave; ce HOWTO.

5. Rebootez pour que les changements soit pris en compte.
</code>

Comme d&eacute;clar&eacute; si dessus, si vous savez comment effectuer ces changement pour d'autres OS tels que OS/2, MacOS, etc. envoyez SVP un email <htmlurl url="mailto:dranch@trinnet.net" name="David Ranch"> pour qu'ils puissent &ecirc;tre inclus dans ce HOWTO.


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>les clients FTP MASQu&eacute;s ne fonctionnent pas.
<p>
V&eacute;rifiez si le module "ip_masq_ftp" est charg&eacute;. Pour ce faire, logguez vous sur le serveur MASQ et tapez la commande "/sbin/lsmod". Si vous ne voyez pas "ip_masq_ftp" charg&eacute;, verifiez que vous avez bien suivi les recommandations du /etc/rc.d/rc.firewall BASIQUE que vous trouverez &agrave; la section 
<ref id="firewall-examples">. Si vous impl&eacute;mentez votre propre jeu de r&egrave;gles, faites en sorte d'inclure la plupart des exemples de ce HOWTO ou vous aurez encore de nombreux probl&egrave;mes.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>l'IP Masquerading semble lent
<p>
Il peut y avoir deux raisons &agrave; cela :
<itemize>
  <item>Peut &ecirc;tre attendez vous plus de votre ligne modem que ce qui est possible. Faisons le calcul pour une connexion par modem 56k typique :
  <enum>
    <item> modem 56k = 56,000 bits par seconde.
    <item>Vous n'avez PAS vraiment un modem 56k mais un modem 52k &agrave; cause des limitations US FCC (NDT : cette restriction est valable uniquement aux Etats-Unis, bien s&ucirc;r. Mais la suite fourni une m&eacute;thode de calcul transposable &agrave; une veritable ligne 56k).
    <item>Vous n'aurez JAMAIS 52k, la meilleure connexion que j'ai r&eacute;ussi &agrave; avoir &eacute;tait ~48k
    <item>48,000 bits par seconde vaut 4,800 OCTETS par seconde (8 bits pour un octet +2 bits pour les bits START et STOP RS-232 de la laison s&eacute;rie)
    <item>Avec un MTU de 1500, vous aurez (3.2) paquets en une seconde. Puisque ceci implique la fragmentation, vous aurez besoin de l'arrondir &agrave; l'entier INFERIEUR (3) paquets par seconde.
    <item>De m&ecirc;me, avec un  MTU de 1500, il y a 3.2 x 40 octets d'ent&ecirc;te TCP/IP (8%)
    <item>Donc, le MEILLEUR d&eacute;bit que vous pourrez esp&eacute;rer avoir est de 4.68ko/s sans compression. Avec compression, soit-elle une compression mat&eacute;rielle v.42bis, MNP5, ou MS/Stac, on peut atteindre des nombres impressionnants avec des mat&eacute;riaux hautement compressibles tels que les fichiers TEXT mais en fait elle peut aussi ralentir les choses si on transfets des fichiers pre-compress&eacute;s tels que des ZIPs, MP3s, etc.
  </enum>
<p>
  <item>Connexions reli&eacute;es par Ethernet (DSL, Cablemodem, LANs, etc.)
  <p>
   <itemize>
      <item>Verifiez que vous n'avez pas un r&eacute;seau INTERNE et un r&eacute;seau EXTERNE tournant sur la m&ecirc;me carte r&eacute;seau avec la fonction "IP Alias". Si c'est ce que vous <em>FAITES</em>, ca peut fonctionner mais ca peut &ecirc;tre excessivement lent &agrave; cause du grand nombres de collisions, de l'utilisation d'IRQ, etc. Il est VIVEMENT RECOMMANDE d'avoir une autre carte r&eacute;seau pour que les r&eacute;seaux interne et externe aient leur propre interface.
      <p>
      V&eacute;rifiez que vous avez les bons r&eacute;glages Ethernet pour la VITESSE et le DUPLEX.
      <p>
       <itemize>
         <item>Quelques cartes Ethernet 10Mb/s et la plupart des cartes 100Mb/s sont compatibles avec les connexions FULL Duplex. Les connexions directes de la carte Ethernet vers, disons, un modem DSL (sans hubs entre) *PEU* &ecirc;tre r&eacute;gl&eacute; sur FULL DUPLEX mais seulement si le modem DSL le permet. Vous devriez aussi v&eacute;rifier que vos cables Ethernet avec les 8 fils, sont de bonne qualit&eacute;.
         <item>Les r&eacute;seaux internes qui utilisent des HUBs -ne peuvent pas- utiliser le Full Duplex. Vous avez besoin soit d'un <em>SWITCH</em> Ethernet 10Mb/s ou 100Mb/s pour pouvoir le faire.
         <item>Les n&eacute;gociation automatiques sur la vitesse 10/100Mb/s et sur le DUPLEX Full/Half sur les cartes Ethernet peuvent faire des ravages sur un r&eacute;seau. Je recommande de coder en dur la vitesse et le duplex dans vos cartes r&eacute;seaux si possible. Vous pouvez le faire directement via les modules Linux NIC mais ce n'est pas possible directement sur les noyaux monolithiques. Vous aurez soit besoin d'utiliser les utilitaires MII de  <ref id="Donald Becker's NIC drivers and utils FAQ-Hardware"> ou bien de coder en dur dans le source du noyau.
       </itemize>
    </itemize>
  <p>
  <item>Optimisez votre MTU et r&eacute;glez la fen&ecirc;tre glissante de TCP &agrave; 8192 au moins
    <p>
    <itemize>
      <item>Bienque ceci soit COMPLETEMENT en dehors du cadre de ce document, ca aide UN PEU sur TOUTE liaison r&eacute;seau que vous avez, que &ccedil;a soit interne ou externe par liaison PPP, Ethernet, TokenRing etc. Pour de plus amples d&eacute;tails, ce sujet est bri&egrave;vement abord&eacute; dans la section <ref id="MTU-issues"> si dessus. Pour avoir encore plus de d&eacute;tails, vous pouvez vous reporter &agrave; la section Network Optimization de <htmlurl url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 16">.
    </itemize>
  <p>
  <item>Utilisation de modems s&eacute;ries avec PPP
  <p>
  <itemize>
     <item>Si vous avez un modem externe, verifiez que vous avez un bon cable serie. De plus, beaucoup de PC on des cables foireux reliant le port s&eacute;rie de la carte m&egrave;re ou la carte d'E/S vers la connexion port s&eacute;rie. Si vous &ecirc;tes dans l'une de ces situations, faites en sorte d'avoir de bonnes conditions. Personnellement, je mets des enrobages de ferrite (ces anneaux de metal gris-noir) autour de TOUTES mes nappes.
     <p>
     <item>V&eacute;rifiez que votre MTU est r&eacute;gl&eacute; &agrave; 1500 comme d&eacute;crit pr&eacute;c&eacute;demment dans la section de la FAQ de ce HOWTO.
     <p>
     <item>V&eacute;rifiez que l'UART de votre port s&eacute;rie est au moins &agrave; 16550A. Lancez "dmesg | more" pour ce faire.
     <p>
     <item>R&eacute;gler l'IRQ-Tune de vos ports s&eacute;ries.
     <p>
     <itemize>
        <item>Sur la majorit&eacute; du mat&eacute;riel PC, l'utilisation de l'outil de Craig Estey <url url="http://www.best.com/&tilde;cae/irqtune/" name="IRQTUNE"> augmente de mani&egrave;re significative les performances des ports s&eacute;ries, donc les connexions SLIP and PPP connexions.
     </itemize>
     <p>
     <item>V&eacute;rifiez que le port s&eacute;rie de votre connexion PPP est au moins &agrave; 115200 bauds (ou plus si et votre modem et votre port s&eacute;rie peuvent le supporter... aussi connu sous le nom d'adaptateur terminal ISDN)
     <p>
     <itemize>
       <item>noyaux 2.0.x : les noyaux 2.0.x sont plut&ocirc;t bizarres parce que vous ne pouvez pas directement leur dire de r&eacute;gler les ports s&eacute;rie &agrave; 115200. Donc, dans l'un de vos scripts de d&eacute;marrage, comme les fichiers /etc/rc.d/rc.local ou /etc/rc.d/rc.serial, executez le commande suivante pour un modem sur le port COM2 :  
       <p>
       <itemize>
         <item> setserial /dev/ttyS1 spd_vhi
         <p>
 	 <item>dans votre script PPPd, modifiez la ligne d'execution de pppd de mani&egrave;re &agrave; y inclure la vitesse "38400" &agrave; l'aide du manuel de pppd.
      </itemize>
      <p>
      <item>noyaux 2.2.x : contrairement aux noyaux 2.0.x, les noyaux 2.1.x et 2.2.x n'ont pas ce probl&egrave;me de "spd_vhi".
      <p>
      <itemize>
        <item>Donc, dans le script de PPPd, modifiez la ligne d'execution de pppd de mani&egrave;re &agrave; y inclure la vitesse "115200" &agrave; l'aide du manuel de pppd.
      </itemize>
     </itemize>
     </itemize>
    <p>
    <item>Tous types d'interface :
    <p>
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>IP Masquerading avec PORTFWing semble s'arr&ecirc;ter quand ma ligne est inactive pendant de longs p&eacute;riodes
<p>
Si vous avez une ligne DSL ou par Cablemodem, ce comportement est malheureusement tr&egrave;s commun. Ce qui se passe c'est que votre FAI met votre connexion dans une file de priorit&eacute; tr&egrave;s faible pour mieux servir les connexions qui ne sont pas inactives. Le probl&egrave;me est que la connexion de  quelques utilisateurs finaux va effectivement &ecirc;tre COUPEE jusqu'&agrave; ce que le traffic de la connexion de l'utilisateur reveille le mat&eacute;riel du FAI.
<itemize>
<p>
<item>Certaines installations DSL peuvent DECONNECTER une connexion inactive et v&eacute;rifier l'activit&eacute; seulement une fois toutes les 30 secondes environ.
<item>Certains r&eacute;glages de Cablemodem peuvent mettre une connexion inactive dans une file d'attente de priorit&eacute; faible et v&eacute;rifier l'activit&eacute; seulement une fois toutes les quelques minutes.
</itemize>
<p>
Qu'est-ce que je recommande de faire ? Faites un ping vers votre passerelle par d&eacute;faut toutes les 30 secondes. Pour se faire, modifiez le fichier /etc/rc.d/rc.local et ajoutez la ligne suivante &agrave; la fin du fichier :
<p>
<code>
         ping -i 30 100.200.212.121 > /dev/null &
</code>

Remplacez 100.200.212.121 par votre routeur par d&eacute;faut (routeur en amont).

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Maintenant que j'ai l'IP Masquerading qui fonctionne, j'ai plein de sortes de messages d'erreurs et d'avertissements bizarres dans les fichiers log SYSLOG. Comment faut-il lire les erreurs du firewall IPFWADM/IPCHAINS ?
<p>
Il y a sans doute deux choses que vous allez couramment voir :
<itemize>
  <item><bf>MASQ: Failed TCP Checksum error:</bf> Vous verrez cette erreur quand un paquet arrivant d'Internet est corrompu dans la partie donn&eacute;e mais que le reste "semble" bon. Quand la machine Linux re&ccedil;coit le paquet, il va calculer le CRC du paquet et determiner s'il est corrompu ou pas. Sur la plupart des machines tournant sur des OS tels que Microsoft Windows, il vont simplement ignorer le paquet mais Linux IP MASQ le met dans son compte-rendu. Si vous en recevez beaucoup sur une ligne PPP, regardez d'abord l'entr&eacute;e de la FAQ correspondant &agrave; "MASQ est lent".
  <p>
  <item>Si toutes ces astuces ne vous aident pas, essayer en ajoutant la ligne "-vj" dans votre fichier /etc/ppp/options et relancer PPPd.
  <p>
 <item><bf>Hits sur le firewall</bf> : Quand vous &ecirc;tes sur Internet avec un firewall d&eacute;cent, vous &ecirc;tes surpris du nombre de personnes qui essayer d'entrer dans votre machine Linux ! Donc que signifient tous ces logs du firewall ?
  <p>
  Tir&eacute; du document :
   <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 10">  :

  <verb>
  	Dans le jeu de r&egrave;gles si dessous, chaque ligne avec soit un DENY soit un REJECT
  	contient aussi un "-o" pour LOGguer ces hits firewall dans le fichier de messages 
  	SYSLOG qui se trouve dans :

		Redhat: 	/var/log
		Slackware:	/var/adm

	Si vous regardez l'un de ces logs de firewall, vous devriez voir quelquechose du type :

	---------------------------------------------------------------------
	IPFWADM:
	Feb 23 07:37:01 Roadrunner kernel: IP fw-in rej eth0 TCP 12.75.147.174:1633 100.200.0.212:23
	L=44 S=0x00 I=54054 F=0x0040 T=254

	IPCHAINS:
	Packet log: input DENY eth0 PROTO=17 12.75.147.174:1633 100.200.0.212:23 L=44 S=0x00
	I=54054 F=0x0040 T=254
	---------------------------------------------------------------------

  Il y a BEAUCOUP d'informations dans une seule ligne. Regardons cet exemple, 
  reportez vous au hit sur le firewall en lisant ceci. Veuillez noter que cet 
  exemple est pour IPFWADM mais il est DIRECTEMENT lisible pour les utilisateurs
  d'IPCHAINS.

	--------------

	- Ce "hit" firewall est arriv&eacute; a ce moment : "Feb 23 07:37:01"

	- Ce hit etait sur l'ordinateur "RoadRunner".

	- Ce hit etait sur le protocole "IP" ou TCP/IP

	- Ce hit est entre dans le firewall ("fw-in")
		* D'autres log peuvent dirent "fw-out" pour sortant or "fw-fwd" pour FORWARD

	- Ce hit etait encore "rejETE".  
		* D'autres logs peuvent dire "deny" ou "accept"

	- Ce his etait sur l'interface "eth0" (liaison Internet)

	- Ce hit etait un paquet "TCP" 

	- Ce hit est venu de l'adresse IP "12.75.147.174" et du port "1633".  

	- Ce hit etait a destination de "100.200.0.212" et de son port "23" ou TELNET.
		* Si vous ne savez pas que le port 23 est pour TELNET, regardez votre fichier
			 /etc/services pour voir par quoi les autres ports sont utilises.

	- Ce paquet avait une longueur de "44" octets

	- Ce paquet n'avez PAS de "Type of Service" (TOS) fix&eacute; 
		--Ne vous inquietez pas si vous ne comprenez pas ca...pas besoin de le savoir
		* utilisateurs d'ipchains, divisez le par 4 pour avoir le Type of Service

	- Ce paquet avet le numero "IP ID" "18"
		--Ne vous inquietez pas si vous ne comprenez pas ca... pas besoin de le savoir

	- Ce paquet avait un fragment offset de 16bits dont tout flag de paquet TCP/IP
	  de "0x0000" 
	--Ne vous inquietez pas si vous ne comprenez pas ca... pas besoin de le savoir
	  * une valeur qui commence par "0x2..." ou "0x3..." signifie que le bit 
	   "More Frangments" etait activ&eacute; donc de nouveaux paquets fragmentes 
	    vont arriver pour completer ce GROS paquet.
	  * une valeur qui commence par "0x4..." ou "0x5..." signifie que le bit
	   "Don't Fragment" est active.  
	  * Toute autre valeur est l'offset du Fragment (divise par 8) qui doit etre 
	   utilise plus tard pour reconstituer le GROS paquet original.
		
	- Ce paquet a un TimeToLive (TTL) de 20.   
	  * Chaque saut sur Internet soustrait (1) a ce nombre. Normalement, 
	  les paquets sont emis avec un TTL de (255) et si ce nombre atteind (0),
	  ca signifie qu'il est realiste de considerer que ce paquet est perdu et il
	  va donc etre efface.

  </verb>

</itemize>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Puis-je configurer IP MASQ de fa&ccedil;on &agrave; permettre aux Internautes de contacter directement un server interne MASQu&eacute; ?
<p>
Oui ! Avec IPPORTFW, vous pouvez permettre TOUT ou seulement une partie des Internautes de contacter TOUTE machine interne MASQu&eacute;e.  <bf>Ce sujet est enti&egrave;rement trait&eacute; dans la section <ref id="Forwarders"> de ce HOWTO.</bf>


<label id="No-Free-Ports">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Je re&ccedil;ois des "kernel: ip_masq_new(proto=UDP): no free ports." dans mon fichier SYSLOG. Que se passe-t-il ?
<p>
Une des machines MASQu&eacute;e interne cr&eacute;e un nombre anormalement grand de paquets destin&eacute;s &agrave; Internet. Comme le serveur IP Masq construit une table MASQ et forward ces paquets vers Internet, la table se remplit rapidement. Une fois que la table est pleine, elle va g&eacute;n&eacute;rer des erreurs.
<p>
La seule application que je connaisse qui puisse temporairement casser Linux IP Masquerade est GameSpy. Pourquoi ? Quand il actualise ses listes, il cr&eacute;e des dizaines de milliers de connexions rapides pendant une TRES courte p&eacute;riode. Jusqu'au timeout de ces sessions, les tables de MASQ sont pleines ("FULL"). Reportez vous &agrave; la section <ref id="No-Free-Ports"> pour de plus amples d&eacute;tails.
<p>
Donc que pouvez-vous faire contre &ccedil;a ? Pratiquement, n'utilisez pas de programmes qui g&eacute;n&eacute;rent ce genre de choses. Si vous recevez ce genre d'erreurs dans vos logs, trouvez le et arr&ecirc;tez de l'utiliser. Si vous aimez vraiment GameSpy, ne faites pas beaucoup de reactualisation de serveurs. De toute fa&ccedil;on, une fois que vous arr&ecirc;tez le programme MASQu&eacute;, cette erreur MASQ va dispara&icirc;tre puisque ces connexions vont faire des 'timeouts' dans les tables de MASQ.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Je re&ccedil;ois "ipfwadm: setsockopt failed: Protocol not available" quand j'essaie d'utiliser IPPORTFW!  
<p>
Si vous recevez le message "ipfwadm: setsockopt failed: Protocol not available", c'est que vous n'&ecirc;tes pas sous le nouveau noyau. Verifiez que vous l'avez bien install&eacute;, relancer votre BootLoader (LILO), et redemarrez.
<p>
Reportez vous SVP &agrave; la fin de la section <ref id="Forwarders"> pour de plus amples d&eacute;tails.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( SAMBA ) - Les clients de partage de fichiers et d'imprimantes, et de domaine, de Microsoft ne fonctionnent pas &agrave; travers IP Masq ! Pour &ecirc;tre correctement compatible avec le protocle SMP de Microsoft, un module IP Masq doit &ecirc;tre &eacute;crit mais il y a trois moyens viables de le contourner. Pour plus de d&eacute;tails, reportez vous SVP &agrave; : 
<htmlurl url="http://support.microsoft.com/support/kb/articles/q172/2/27.asp" name="this Microsoft KnowledgeBase article">.
<p>
Le premier moyen de contournement est de configurer IPPORTFW de la section <ref id="Forwarders"> et de portforwarder les ports 137, 138 et 139 vers les IP de la machine interne Windows. Bienque cette solution fonctionne, elle ne peut marcher que pour UNE machine interne.
<p>
La seconde solution est d'installer et de configurer <htmlurl url="http://www.samba.org" name="Samba"> sur le serveur Linux MASQ. Avec Samba de lanc&eacute;, vous pouvez mapper vos partages de Fichier et d'Imprimantes Windows sur le serveur Samba. Vous pouvez ensuite monter ces nouveaux partages SMB vers tout vos clients externes. La configuration de Samba est enti&egrave;rement trait&eacute;e dans un HOWTO que vous pourrez trouver sur le site du Linux Documentation Project et dans le document TrinityOS.
<p>
La troisi&egrave;me solution est de configurer un VPN (virtual private network ou r&eacute;seau priv&eacute; virtuel) entre les deux machines Windows ou entre les deux r&eacute;seaux. Ceci peut &ecirc;tre r&eacute;alis&eacute; via PPTP ou via les solutions VPN IPSEC. Il y a un patch <ref id="PPTP"> pour linux et aussi un impl&eacute;mentation compl&egrave;te de IPSEC disponibles pour les deux noyaux 2.0.x et 2.2.x. Cette solution est sans doute la plus stable et la plus s&eacute;curis&eacute;e des trois.
<p>
Toutes ces solutions de sont PAS trait&eacute;es dans ce HOWTO. Je vous recommande de regarder la documentation de TrinityOS pour l'aide sur IPSEC et la page PPTP de John Hardin pour de plus amples informations.
<p>
<em>Veuillez aussi comprendre SVP que le protocole SMB de Microsoft est TRES peu s&ucirc;r. C'est pour cela que d'avoir des traffics de partage de fichiers ou d'imprimante, et de domaine windows de Microsoft sur Internet sans encryption est une TRES MAUVAISE id&eacute;e.</em>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( IDENT ) - IRC ne fonctionne pas correctement pour les utilisateurs MASQu&eacute;s. Pourquoi?
<p>
La raison la plus courante est que les serveurs IDENT ou "Identity" de la plupart des distributions Linux ne peuvent pas travailler avec des liens IP Masquerad&eacute;s. Pas d'inqui&eacute;tudes toutefois, il existe des IDENTs qui fonctionnent.
<p>
L'installatin de ce logiciel sort du cadre de ce HOWTO mais chaque utilitaire a sa propre documentation. Voici quelques un des URLS :
<itemize>
  <item><url url="http://freshmeat.net/projects/oidentd/homepage/" name="Oident"> est le serveur IDENT favoris des utilisateurs de MASQ.
  <p>
  <item><url url="ftp://ftp.code.org/pub/linux/midentd/" name="Mident"> est un serveur IDENT qui a du succ&egrave;s.
  <p>
  <item><url url="http://insecurity.net/sidentd.gz" name="Sident">
  <p>
  <item><url url="ftp://sunsite.unc.edu/pub/Linux/system/network/daemons/" name="Autres Idents">
</itemize>
<p>
Veuillez noter que certains serveur IRC ne permettront toujours pas des connexions multiples &agrave; partir de la m&ecirc;me machine (comprendre ici m&ecirc;me IP), m&ecirc;me s'ils recup&egrave;rent les infos Ident et que les utilisateurs sont diff&eacute;rents. Vous pouvez vous plaindre &agrave; l'administrateur syst&egrave;me du serveur distant :-)

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( DCC ) - mIRC ne marche pas avec les DCC Sends
<p>
Ceci est un probl&egrave;me de configuration de votre version de mIRC. Pour le r&eacute;soudre, deconnecter mIRC de votre serveur IRC. Maintenant dans mIRC, allez dans File --> Setup et cliquez sur la languette "IRC servers". Verifiez que le port est r&eacute;gl&eacute; sur 6667. Si vous avez besoin d'autres ports, reportez vous ci dessous. Ensuite, allez dans File --> Setup --> Local Info et effacer les champs Local Host et IP Address. Maintenant cochez les cases de "LOCAL HOST" et "IP address" (IP address peut &ecirc;tre coch&eacute; et d&eacute;sactiv&eacute;). Ensuite, dans "Lookup Method", r&eacute;glez sur "normal". Ca ne marchera PAS si "server" est s&eacute;lectionn&eacute;. C'est tout. Essayez de vous connecter au serveur IRC de nouveau.

<p>
Si vous avez besoin de ports pour le serveur IRC diff&eacute;rents de 6667, (par exemple 6969) vous devez modifier votre fichier /etc/rc.d/rc.firewall l&agrave; o&ugrave; vous chargez le module MASQ IRC. Modifiez ce fichier et la ligne contenant "modprobe ip_masq_irc" et ajoutez cette ligne : "ports=6667,6969". Vous pouvez ajoutez autant de ports que vous voulez, s&eacute;par&eacute;s par des virgules.
<p>
Enfin, fermez tous les clients IRC lanc&eacute; sur les machines MASQu&eacute;es et red&eacute;marrez le module MASQ IRC :
<p>
/sbin/rmmod ip_masq_irc
/etc/rc.d/rc.firewall


<label id="aliasing">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( IP Aliasing ) - IP Masquerade peut-il fonctionner avec UNE seule carte Ethernet ?
<p>
<bf>Oui et non</bf>. Avec la fonctionnalit&eacute; "IP Alias" du noyau, les utilisateurs peuvent r&eacute;gler plusieurs interfaces alias&eacute;es tels que eth0:1, eth0:2, etc mais il N'est PAS recommand&eacute; d'utiliser ces interfaces alias&eacute;es pour l'IP Masquerading. Pourquoi ?
Fournir un firewall s&ucirc;r devient tr&egrave;s difficile avec une seule carte r&eacute;seau. En plus, vous allez trouver une quantit&eacute; anormale d'erreurs sur cette liaison puisque les paquets entrant vont &ecirc;tre envoy&eacute;s presque simultan&eacute;ment vers l'ext&eacute;rieur. A cause de tout cel&agrave;, et du fait qu'une carte r&eacute;seau coute moins de 150F, je vous recommande vivement d'en acheter une pour chaque segment de r&eacute;seau MASQu&eacute;.
<p>
Les utilisateurs devraient aussi comprendre que IP Masquerading ne fonctionne que sur des interfaces physiques telles que eth0, eth1, etc. MASQuer une interface alias&eacute;e telles que "eth0:1, eth1:1, etc" NE fonctionnera PAS. En d'autres termes, ce qui suit ne fonctionnera PAS :
<p>
<itemize>
<item> /sbin/ipfwadm -F -a m -W eth0:1 -S 192.168.0.0/24 -D 0.0.0.0/0
<item> /sbin/ipchains -A forward -i eth0:1 -s 192.168.0.0/24 -j MASQ"
</itemize>
<p>
Si vous voulez toujours utiliser des interfaces alias&eacute;es, vous devez activer la fonction "IP Alias" du noyau. Vous devrez recompiler et redemarrer. Une fois sous le nouveau noyau, vous devez configurer Linux de mani&egrave;re &agrave; ce qu'il utilise la nouvelle interface (i.e. /dev/eth0:1, etc.). Ensuite, vous pouvez la considerer comme une interface Ethernet normale avec toutefois quelques restrictions comme celui ci-dessus.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( MULTI-LAN ) - J'ai deux LANs MASQu&eacute;s mais je ne peux pas communiquer de l'un vers l'autre !
<p>
Reportez vous SVP &agrave; la section <ref id="multiple-masqed-lans"> pour les d&eacute;tails complets.

<label id="shaping">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( FACONNAGE ) - Je voudrais &ecirc;tre capable de limiter la vitesse de certains types sp&eacute;cifiques de traffic
<p>
Ce sujet n'a vraiment rien &agrave; voir avec IPMASQ et concerne ce qui touche au fa&ccedil;onnage du traffic et de la limitation des taux de Linux. Reportez vous SVP au fichier /usr/src/linux/Documentation/networking/shaper.txt de vos sources locales du noyau pour de plus amples d&eacute;tails.
<p>
Vous trouverez aussi plus d'informations sur ce sujet et plusieurs URLs dans la section <ref id="2.2.x-Requirements"> d'IPROUTE2.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( COMPATIBILITE ) - J'ai besoin de faire de la comptabilit&eacute; sur les personnes qui utilisent le r&eacute;seau
<p>
Bienque ca n'est pas grand chose &agrave; voir avec IPMASQ, voici quelques id&eacute;es. Si vous connaissez de meilleures solutions, envoyez SVP un email &agrave; l'auteur de ce HOWTO pour qu'il puisse l'inclure dedans.
<p>
<itemize>
  <item>Id&eacute;e #1: Disons que vous voulez logguer TOUT le traffic WWW sortant vers Internet. Vous pouvez cr&eacute;er une r&egrave;gle pour le firewall qui ACCEPTE le traffic sur le PORT 80 avec le bit SYN activ&eacute; et qui le LOGGUE. Maintenant rappelez vous, ceci peut cr&eacute;er de TRES gros fichiers log.
  <item>Id&eacute;e #2: Vous pouvez lancer la commande "ipchains -L -M" une fois par seconde et logguer toutes les entr&eacute;es. Vous pouvez ensuite &eacute;crire un programme qui combine toutes ces informations dans un seul fichier plus gros.
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( IPs  MULTIPLEs ) - J'ai plusieurs adresses IP EXTERNES que je veux 
PORTFWer vers plusieurs machines internes. Comment je peux faire &ccedil;a ?
<p>
Vous NE POUVEZ PAS. MASQ est un NAT 1:Many (1 vers plusieurs) et n'est pas le bon outil pour faire ca. Vous cherchez une solution NAT Many:Many qui est une installation NAT traditionnelle. Jetez un coup de d'oeil sur l'entr&eacute;e <ref id="shaping"> de la FAQ pour de plus amples d&eacute;tails sur l'outil IPROUTE2 qui fera ce dont vous avez besoin.  
<p>
Pour les personnes ici qui compte activer plusieurs adresses IP sur une seule interface r&eacute;seau avec "IP Alias" et ensuite PORTFWer TOUT les ports (0-65535) et utiliser IPROUTE2 pour entretenir les bonnes correspondances des IP source/destination : &ccedil;a a &eacute;t&eacute; r&eacute;alis&eacute; AVEC SUCCES sur les noyaux 2.0.x et avec moins de r&eacute;ussite sur les noyaux 2.2.x. Sans consid&eacute;ration du succ&egrave;s, ce n'est pas la bonne fa&ccedil;on de faire &ccedil;a et ce n'est pas une configuraion MASQ compatible. Jetez un coup d'oeil sur IPROUTE2 SVP... c'est la bonne mani&egrave;re de faire du vrai NAT.
<p>

Autre chose &agrave; noter aussi :
<p>
Si vous avez une connexion DSL ou Cablemdem rout&eacute;e (pas PPPoE), les choses se compliquent un peu plus parce que votre installation n'est pas rout&eacute;e. Pas d'inqui&eacute;tudes cependant, reportez vous au document "Bridge+Firewall, Linux Bridge+Firewall Mini-HOWTO" sur LDP. Vous y apprendrez &agrave; faire reconnaitre &agrave; votre machine Linux plusieurs adresses IP sur une seule interface !

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> J'essaie d'utiliser la commande NETSTAT pour me montrer mes connexions Masquerad&eacute;es mais ca marche pas
<p>
Il peut y avoir un probl&egrave;me avec le programme "netstat" sur les distribs bas&eacute;es sur Linux 2.0.x. Apr&egrave;s le redemarrage de Linux, la commande "netstat -M" fonctionne bien mais apres qu'un ordinateur MASQu&eacute; lance plusieurs fois des traffics ICMP avec succ&egrave;s, tels que ping, traceroute, etc., vous obtiendrez peut-&ecirc;tre quelquechose du style :
<p>
<verb>
masq_info.c: Internal Error `ip_masquerade unknown type'.
</verb>
<p>
La mani&egrave;re de d&eacute;tourner ce probl&egrave;me est de lancer la commande "/sbin/ipfwadm -M -l". Vous remarquerez aussi qu'apr&egrave;s les timeouts des entr&eacute;es masquerade ICMP, "netstat" fonctionne de nouveau.

<label id="PPTP">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> ( VPNs ) - Je voudrais faire fonctionner Microsoft PPTP (tunnels GRE) et/ou les tunnels IPSEC (Linux SWAN) &agrave; travers IP MASQ 
<p>
C'EST possible. Cependant c'est quelque peu hors de la port&eacute;e de ce document, vous pouvez vous reporter &agrave; la page de John Hardin <htmlurl url="ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html" name="PPTP Masq"> pour tous les d&eacute;tails.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Je veux faire fonctionner le jeu r&eacute;seau XYZ &agrave; travers IP MASQ mais ca fonctionne pas. A l'aide !
<p>
D'abord, allez ici : <url url="http://www.tsmservices.com/masq" name="Steve Grevemeyer's MASQ Applications page">. Si vous ne trouvez pas de solution l&agrave;-bas, essayer de patcher le noyau Linux avec le patch <url url="ftp://ftp.netcom.com/pub/mu/mumford/loose-udp-2.0.36.patch.gz" name="LooseUDP"> de Glenn Lamb, qui est trait&eacute;e dans la section <ref id="LooseUDP"> ci-dessus. Vous pouvez aussi regarder la <url url="http://www.alumni.caltech.edu/&tilde;dank/peer-nat.html" name="NAT Page"> de Dan Kegel pour plus d'informations.
<p>
Si vous avez les aptitudes technique pour utiliser "tcpdump" et sniffer votre r&eacute;seau, essayer de trouver quels protocoles et quels num&eacute;ros de port votre jeu XYZ utilise. Avec ces informations en main, abonnez vous a la <htmlurl url="mailto://masq-subscribe@tiffany.indyramp.com" name="IP Masq email list"> et envoyer vos r&eacute;sultats pour obtenir de l'aide.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>IP MASQ fonctionne bien pendant un certain temps puis s'arr&ecirc;te de marcher. Un red&eacute;marrage semble r&eacute;soudre ce probl&egrave;me pour un certain temps. Pourquoi ?
<p>
Je parie que vous utilisez IPAUTOFW et/ou vous l'avez compil&eacute; dans le noyau hein ?? C'est un probl&egrave;me reconnu de IPAUTOFW. Il est recommand&eacute; de NE PAS configurer IPAUTOFW dans le noyau Linux et d'utiliser IPPORTFW &agrave; la place. Ceci est trait&eacute; en detail dans la section <ref id="Forwarders">.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Les ordinateurs internes MASQu&eacute;s ne peuvent pas envoyer d'email SMTP ou POP-3 !
<p>
Bienque ceci ne soit pas un probl&egrave;me d&ucirc; au Masquerading, beaucoup de personnes l'ont mentionn&eacute;.
<p>
SMTP: Le probl&egrave;me est que vous utilisez probablement votre machine linux comme un serveur de relais SMTP et vous recevez l'erreur suivante :
<p><tscreen>
"error from mail server: we do not relay" 
</tscreen>
Les versions r&eacute;centes de Sendmail et d'autres Mail Transfer Agents (MTAs) d&eacute;sactivent le relaying par d&eacute;faut (c'est une bonne chose). Donc pour r&eacute;soudre le probl&egrave;me, faites ceci :
<p>
<itemize>
  <item>Sendmail: activez le relaying sp&eacute;cifique pour vos machines internes MASQu&eacute;es en modifiant le fichier /etc/sendmail.cw et en ajoutant le hostname et le nom de domaine de vos machines internes MASQu&eacute;es. Vous devriez aussi v&eacute;rifier que votre fichier /etc/hosts a l'adresse IP et le Fully Qualified Domain Name (FQDN) &eacute;crit dedans. Une fois que vous avez fait &ccedil;a, vous devez relancer Sendmail pour qu'il relise ses fichiers de configuration. Ceci est trait&eacute; dans <url url="http://www.ecst.csuchico.edu/~dranch/LINUX/index-linux.html#TrinityOS" name="TrinityOS - Section 25">

</itemize>

POP-3: Certains utilisateurs configurent leur ordinateurs internes MASQu&eacute;s de mani&egrave;re &agrave; ce que leurs clients POP-3 se connectent sur un serveur SMTP externe. Bienque que cela soit correct, de nombreux serveurs SMTP vont essayer d'identifier (IDENT) votre connexion sur le port 113. Il est tr&egrave;s probable que votre probl&egrave;me vienne du fait que votre politique par d&eacute;faut pour Masquerade soir DENY (refuse). C'est mal. Changez-le en REJECT (rejette) et relancer votre jeu de r&egrave;gles rc.firewall.

<label id="iproute2">
<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>( IPROUTE2 ) - J'ai besoin que diff&eacute;rents r&eacute;seaux internes MASQu&eacute;s puissent sortir sur diff&eacute;rentes adresses IP externes
<p>
Disons que vous avez l'installation suivant : Vous avez plusieurs r&eacute;seaux internes et aussi plusieurs adresses IP externes et/ou r&eacute;seaux. Ce que vous voulez faire c'est que le LAN#1 n'utilise que l'IP externe IP#1 et vous voulez aussi que le LAN#2 utilise l'IP externe IP#2.
<p>
LAN interne ---------->  IP officielle

  LAN #1                 IP externe #1
192.168.1.x      -->     123.123.123.11

  LAN #2                 IP externe #2
192.168.2.x      -->     123.123.123.12
<p>

En gros, ce que nous avons d&eacute;crit ici est un routage, PAS seulement sur l'adresse de destination (routage IP usuel) mais aussi 
un routage bas&eacute; sur l'adresse SOURCE. Ceci est appel&eacute; "routage bas&eacute; sur une politique" ("policy-based routing") ou "routage par source" ("source routing"). Cette fonctionnalit&eacute; n'est PAS disponible dans les noyaux 2.0.x, mais l'*EST* pour les noyaux 2.2.x via le package IPROUTE2, et est impl&eacute;ment&eacute; dans le nouveau noyau 2.4.x avec IPTABLES.
<p>
Vous devez tout d'abord comprendre que IPFWADM et IPCHAINS ne rentrent en action qu'*APRES* que le moment o&ugrave; le syst&egrave;me de routage a d&eacute;cid&eacute; de l'endroit o&ugrave; il va envoyer un paquet donn&eacute;. Cet &eacute;nonc&eacute; est tr&egrave;s important est devrait &ecirc;tre estamp&eacute; avec de grosses lettres rouges sur toute documentation sur IPFWADM/IPCHAINS/IPMASQ. C'est pourquoi les utilisateurs DOIVENT installer leur routage d'abord et commencer &agrave; ajouter IPFWADM/IPCHAINS et/ou des fonctions Masq.
<p>
Dans l'exemple pr&eacute;c&eacute;dent, vous devez dire au syst&egrave;me de routage de diriger les paquets en provenance de 192.168.1.x via 123.123.1233.11 et les paquets en provenance de 192.168.2.x via 123.123.123.12. C'est la partie difficile du travail, ajouter Masq par dessus un routage correct est facile.
<p>
Pour faire ce routage &eacute;l&eacute;gant, vous utiliserez IPROUTE2. Comme cette fonction n'a rien &agrave; voir avec IPMASQ, ce HOWTO ne le traite pas en d&eacute;tail. Referez vous SVP &agrave; <ref id="2.2.x-Requirements"> pour des URL et une documentation sur ce sujet.
<p>
Les commandes sont les m&ecirc;me que les commandes "iprule" et "iproute" (je pr&eacute;f&eacute;re le premier puisqu'il est plus facile de le chercher). Les commandes ci-dessous ne sont pas test&eacute;es, si elles ne fonctionnent pas, veuillez contacter l'auteur de IPROUTE2... pas David Ranch ou qui que ce soit dans la mailing list de Masq puisque &ccedil;a n'a RIEN avoir avec IP Masquerading.
<p>
Les toutes premi&egrave;res commandes ont seulement besoin d'&ecirc;tre lanc&eacute; une fois au d&eacute;marrage, disons dans le fichier /etc/rc.d/rc.local
<p>
<tscreen>
<verb>

# Permets aux LANs internes de communiquer entre eux, pas de masq.
  /sbin/iprule add from 192.168.0.0/16 to 192.168.0.0/16 table main pref 100
# Tout autre traffic de 192.168.1.x est externe, pris en charge par la table 101
  /sbin/iprule add from 192.168.1.0/24 to 0/0 table 101 pref 102
# Tout autre traffic de 192.168.2.x est externe, pris en charge par la table 102
  /sbin/iprule add from 192.168.2.0/24 to 0/0 table 102 pref 102

Ces commandes ont besoin d'&ecirc;tre test&eacute;es quand eth0 est configur&eacute;, peut-&ecirc;tre dans 
/etc/sysconfig/network-scripts/ifup-post (syst&egrave;mes RedHat). Lancez les une fois 
&agrave; la main pour &ecirc;tre sur qu'ils fonctionnent.

# la table 101 force tous les paquets qui lui sont assign&eacute; a sortir via 123.123.123.11
  /sbin/iproute add table 101 via 62123.123.123.11
# la table 102 force tous les paquets qui lui sont assign&eacute; a sortir via 123.123.123.12
  /sbin/iproute add table 102 via 62123.123.123.12

A partir de l&agrave;, vous devriez voir que les paquets provenant de 192.168.1.x partant 
vers le monde ext&eacute;rieur sont routes; via 123.123.123.11, et les paquets de
192.168.2.x sont rout&eacute; via 123.123.123.12.

Une fois que le routage est correct, vous pouvez ajouter les r&egrave;gles IPFWADM et IPCHAINS.
Les exemples suivants sont pour IPCHAINS :

/sbin/ipchains -A forward -i ppp+ -j MASQ

Si tout ce goupille bien, le code de masq va voir les paquets rout&eacute;s via
123.123.123.11 et 123.123.123.12 et va utiliser ces adresses comme adresse source masq.

</verb>
</tscreen>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Pourquoi les nouveaux noyaux 2.1.x et 2.2.x utilisent IPCHAINS au lieu de IPFWADM ?
<p>
IPCHAINS poss&egrave;de les fonctions suivantes que IPFWADM ne poss&egrave;de pas :
<p>
<itemize>
  <item>"Quality of Service" (compatibilit&eacute; QoS)
  <p>
  <item> Un syst&egrave;me de chaines en forme d'ARBRE, contre un syst&egrave;me LINEAIRE pour IPFWADM (ce qui permet de faire des trucs
  du genre : "si c'est ppp0, saute vers cette chaine (qui contient son propre jeu de r&egrave;gles)")
  <p>
  <item>IPCHAINS est plus flexible pour la configuration. Par exemple, il a la commande "replace" (remplace) en plus de "insert" et "add" (insere et ajoute). Vous pouvez aussi avoir des r&egrave;gles n&eacute;gatives (par exemple : "ignore tous les paquets venant de l'ext&eacute;rieur qui ne viennent pas de mon IP enregistr&eacute;" pour que vous ne puissiez pas &ecirc;tre la source d'attaques spoof&eacute;s).
  <p>
  <item>IPCHAINS peut filtrer tout protrocole IP explicitement, pas seulement TCP, UDP, ICMP
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Je viens de faire la mise &agrave; jour vers le noyau 2.2.x, pourquoi IP Masquerade ne fonctionne pas ?
<p>
Il y a plusieurs choses que vous devez v&eacute;rifier, si on consid&egrave;re que votre machine Linux IP Masq est bien connect&eacute;e &agrave; Internet et &agrave; votre LAN :
<p>
<itemize>
<item>Verifiez que vous avez les fonctions n&eacute;cessaires et les modules compil&eacute;s et charg&eacute;s. Reportez vous aux sections pr&eacute;c&eacute;dentes pour les details.
<p>
<item>V&eacute;rifiez <tt>/usr/src/linux/Documentation/Changes</tt> et assurez vous que vous avez la configuration minimale requise pour les outils r&eacute;seaux d'install&eacute;s.
<p>
<item>Assurez vous d'avoir bien suivi tous les tests de la section <ref id="Testing"> de ce HOWTO. 
<p>
<item>Vous devriez utiliser <url url="http://netfilter.filewatcher.org/ipchains/" name="ipchains"> pour manipuler IP Masq et les r&egrave;gles de firewalling.
<p>
<item>Les port forwarders standards IPAUTOFW et IPPORTFW ont &eacute;t&eacute; remplac&eacute;s par <url url="http://juanjox.kernelnotes.org/" name="IPMASQADM">. Vous aurez besoin d'appliquer ces patches au noyau, de le recompiler, compiler le nouvel outil IPMASQADM et ensuite de convertir vos anciens jeux de r&egrave;gles de firewall IPAUTOFW/IPPORTFW avec la nouvelle syntaxe. Cette partie est enti&egrave;rement trait&eacute;e dans la section <ref id="Forwarders">.
<p>
<item>Recommencer &agrave; v&eacute;rifier toute l'installation et la configuration ! Souvent, c'est juste une erreur typographiqe ou une simple erreur que vous cherchez.
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Je viens de faire la mise &agrave; jour vers le noyau 2.0.38+, pourquoi IP Masquerade ne fonctionne pas ?
<p>
Il y a plusieurs choses que vous devez v&eacute;rifiant, si on consid&egrave;re que votre machine Linux IP Masq est bien connect&eacute;e a Internet et &agrave; votre LAN :
<p>
<itemize>
<item>Verifiez que vous avez les fonctions n&eacute;cessaires et les modules compil&eacute;s et charg&eacute;s. Reportez vous SVP aux sections pr&eacute;c&eacute;dentes pour les details.
<p>
<item>V&eacute;rifiez <tt>/usr/src/linux/Documentation/Changes</tt> et assurez vous que vous avez la configuration minimale requise pour les outils r&eacute;seaux install&eacute;s.
<p>
<item>Assurez vous d'avoir bien suivi tous les tests de la section <ref id="Testing"> de ce HOWTO. 
<p>
<item> Vous devriez utiliser <url url="http://www.xos.nl/" name="ipfwadm"> pour manipuler IP Masq et les r&egrave;gles de firewalling. Si vous voulez utiliser IPCHAINS, vous aurez besoin d'appliquer un patch aux noyaux 2.0.x.
<p>
<item>Recommencez &agrave; v&eacute;rifier toute l'installation et la configuration ! Souvent, c'est juste une erreur de typographie ou une erreur toute simple que vous cherchez.
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>J'ai besoin d'aide sur les connexions EQL et IP Masq
<p>
EQL n'a rien &agrave; faire avec IP Masq bienqu'ils soient souvent combin&eacute;s sur les machines Linux. C'est pourquoi, je vous recommande de voir la nouvelle version de <htmlurl url="http://home.indyramp.com/masq/eql/eql.html" name="Robert Novak's EQL HOWTO"> pour vos besoins sur EQL.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> J'arrive pas faire fonctionner IP Masquerade ! Quelles options ai-je pour les Plateformes Windows ?
<p>
Vous voulez abandonner une solution gratuite, s&ucirc;re, haute performance qui fonctionne avec un minimum de ressources mat&eacute;rielles pour quelquechose qui a besoin de plus de mat&eacute;riel, avec des performances inf&eacute;rieures et moins s&ucirc;r ? (AMHO. Et oui, j'ai des exp&eacute;riences grandeur nature de ces choses l&agrave; ;-)
<p>
Okay, c'est votre choix. Si vous voulez une solution NAT et/ou proxy Windows, voici une liste convenable. Je n'ai pas de pr&eacute;f&eacute;rence pour ces outils puisque je ne m'en suis jamais servi.
<p>
<itemize>
  <item>Firesock (par les cr&eacute;ateurs de Trumpet Winsock) 
  <itemize>
    <item>Fait aussi Proxy
    <item><htmlurl url="http://www.trumpet.com.au" name="http://www.trumpet.com.au">
  </itemize>
  <p>
  <item>Iproute 
    <itemize>
       <item>programme DOS cr&eacute;&eacute; pour fonctionner sur des 286+
       <item>a besion d'une autre machine telle que Linux MASQ
       <item><htmlurl url="http://www.mischler.com/iproute/" name="http://www.mischler.com/iproute/">
    </itemize>
  <p>
  <item>Microsoft Proxy
     <itemize>
        <item>Necessite Windows NT Server
	<item>Tr&egrave;s cher
        <item><htmlurl url="http://www.microsoft.com" name="http://www.microsoft.com">
     </itemize>
  <p>
  <item>NAT32
    <itemize>
	<item>Compatible avec Windows 95/98/NT
	<item><htmlurl url="http://www.nat32.com" name="http://www.nat32.com">
	<item>Environ $25 pour Win9x et $47 pour WinNT
    </itemize>
 <p>
 <item>SyGate 
   <itemize>
	<item><htmlurl url="http://www.sygate.com" name="http://www.sygate.com">
   </itemize>
 <p>
 <item>Wingate
   <itemize>
	<item>Fait Proxy
	<item>Co&ucirc;te environ $30 pour 2-3 IPs
	<item><htmlurl url="http://www.wingate.com" name="http://www.wingate.com">
  </itemize>
 <p>
 <item>Winroute 
    <itemize>
	<item>Fait NAT 
	<item><htmlurl url="http://www.winroute.cz/en/" name="http://www.winroute.cz/en/">
    </itemize>
</itemize>
<p>
<p>
Enfin faites une recherche sur le web sur "MS Proxy Server", "Wingate", "WinProxy", ou allez sur <url url="http://www.winfiles.com" name="www.winfiles.com">. Et ne dites surtout a personnes que c'est nous qui vous envoyons. 

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Je voudrais aider &agrave; developper IP Masquerade. Que puis-je faire ?
<p>
Abonnez vous &agrave; la mailing list Linux IP Masquerading DEVELOPERS et demander aux d&eacute;veloppeurs sur quoi vous pouvez aider. Pour plus de d&eacute;tails sur comment s'abonner aux mailing lists, regardez la section <ref id="Masq-List"> de la FAQ.
<p>
SVP NE posez PAS de questions non relatifs au d&eacute;veloppement d'IP Masquerade l&agrave;-bas !!!!

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> O&ugrave; puis-je trouver plus d'informations sur IP Masquerade? 
<p>
Vous pouvez trouvez plus d'informations sur IP Masquerade ici : <url url="http://ipmasq.cjb.net/" name="Linux IP Masquerade Resource">, site dont s'occupe David Ranch.
<p>
Vous pouvez aussi trouver des informations sur <url url="http://www.ecst.csuchico.edu/&tilde;dranch/LINUX/index-linux.html" name="Dranch's Linux page">, o&ugrave; se trouvent les documents de TrinityOS et d'autres documents sur Linux.
<p>

Vous pouvez aussi trouver des informations sur <url url="http://www.indyramp.com/masq/" name="The Semi-Original Linux IP Masquerading Web Site"> entretenu par Indyramp Consulting, qui fournit aussi les mailing lists IP Masq.
<p>
Enfin, vous pouvez trouver des r&eacute;ponses aux questions sp&eacute;cifiques dans les archives des mailing lists IP MASQ et IP MASQ DEV. Reportez vous &agrave; la FAQ <ref id="Masq-List"> pour de plus amples d&eacute;tails.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Je veux traduire ce  HOWTO dans une autre langue, que dois-je faire ?
<p>
Assurez vous que la langue dans laquelle vous voulez traduire n'est pas d&eacute;j&agrave; trait&eacute;e par quelqu'un d'autre. Mais la plupart des HOWTOs traduits sont VIEUX et ont besoin d'&ecirc;tre mis &agrave; jour. Une liste des HOWTO traduits est disponible ici :
<url url="http://ipmasq.cjb.net/" name="Linux IP Masquerade Resource">.
<p>

Si une copie de la version <bf>en cours</bf> de l'IP MASQ HOWTO n'existe pas dans la langue que vous proposez, t&eacute;l&eacute;chargez SVP la version la plus r&eacute;cente du code SGML de l'IP-MASQ HOWTO ici : <url url="http://ipmasq.cjb.net/" name="Linux IP Masquerade Resource">.  De l&agrave;, continuez votre travail tout en produisant du bon code SGML. Pour plus d'aide sur le SGML, vous pouvez voir <url url="http://www.sgmltools.org" name="www.sgmltools.org">

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Ce HOWTO semble p&eacute;rim&eacute;, continuez vous &agrave; le mettre &agrave; jour ? Pouvez vous inclure plus d'information sur ... ? Comptez vous le rendre meilleur ?
<p>
Oui, ce HOWTO est toujours mis &agrave; jour. Par le pass&eacute;, j'ai &eacute;t&eacute; coupable d'&ecirc;tre trop occup&eacute; avec deux emplois et ne pas avoir assez de temps pour travailler dessus, mes excuses. A partir de v1.50, David Ranch a commenc&eacute; &agrave; r&eacute;am&eacute;nager ce document et le maintenir &agrave; jour.
<p>
Si vous pensez qu'un sujet devrait &ecirc;tre ajout&eacute; &agrave; ce HOWTO, envoyez SVP un email &agrave; <htmlurl url="mailto:ambrose@writeme.com" name="ambrose@writeme.com"> and <htmlurl url="mailto:dranch@trinnet.net" name="dranch@trinnet.net">. Ca serait encore mieux si vous pouviez fournir ces informations. Nous incluerons alors ces informations dans ce HOWTO si nous les trouvons appropri&eacute;es et quand nous les aurons test&eacute;es. Merci beaucoup pour vos contributions !
<p>
Nous avons beaucoup de nouvelles id&eacute;es et de plans pour am&eacute;liorer ce HOWTO, tels que des &eacute;tudes de cas qui vont traiter diff&eacute;rentes installations r&eacute;seaux impliquant de IP Masquerade, plus de s&eacute;curit&eacute; via des jeux de r&egrave;gles IPFWADM/IPCHAINS 'strong', plus d'entr&eacute;es dans la FAQ, etc. Si vous pensez pouvoir nous aider, SVP faites le ! Merci.

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Je viens de faire marcher IP Masquerade, c'est super ! Je veux vous remercier les gars, que puis-je faire ?
<p>
<itemize>
<item>Pouvez vous traduire la version la plus r&eacute;cente de ce HOWTO dans une autre langue ?
<item>Remerciez les developpeurs et &eacute;valuez le temps qu'ils y ont pass&eacute; et les efforts qu'il ont faits.  
<item>Joignez vous &agrave; la mailing list IP Masquerade et aidez les nouveaux utilisateurs de MASQ.
<item>Envoyez nous un email et dites nous &agrave; quel point vous &ecirc;tes heureux.
<item>Pr&eacute;sentez Linux &agrave; d'autres personnes et aidez les quand ils ont des probl&egrave;mes.
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<!-- Section 8 -->

<sect> Divers
<p>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Sources Utiles
<p>
NDT : Toutes ces sources sont bien entendu anglophone et j'ignore s'il existe des versions traduites pour les documents mentionn&eacute;s.
<itemize>
<item><url url="http://ipmasq.cjb.net/" name="IP Masquerade Resource page"> Regroupe toutes les informations n&eacute;cessaires pour installer IP Masquerade sur les noyaux 2.0.x, 2.2.x, et m&ecirc;me le vieux 1.2 !
<p>
<item><url url="http://juanjox.kernelnotes.org" name="Juan Jose Ciarlante's WWW site"> Qui est la personne qui s'occupe actuellement de la maintenance de Linux IP Masquerade.
<p>
<item><url url="http://www.indyramp.com/lists/masq" name="IP Masquerade mailing list Archives"> contient les messages envoy&eacute;s r&eacute;cemment aux mailing lists.
<p>
<item><url url="http://www.ecst.csuchico.edu/&tilde;dranch/LINUX/index-linux.html" name="David Ranch's Linux page including the TrinityOS Linux document and current versions of the IP-MASQ-HOWTO.">. Ses sujets tels que IP MASQ, jeux de r&egrave;gles IPFWADM/IPCHAINS 'strong', PPP, Diald, Cablemodems, DNS, Sendmail, Samba, NFS, Security, etc. y sont trait&eacute;s.
<p>
<item>La page des applications IP Masquerading <url url="http://www.tsmservices.com/masq" name="(IP Masquerading Applications page)">: Une liste exhaustive des applications qui fonctionnent ou qui peuvent &ecirc;tre accord&eacute;es de fa&ccedil;on &agrave; ce qu'ils fonctionnent &agrave; travers un serveur Linux IP masquerading.
<p>
<item>Pour les personnes qui installent IP Masq sur MkLinux, envoyez un email &agrave; Taro Fukunaga : <htmlurl url="mailto:tarozax@earthlink.net" name="tarozax@earthlink.net"> pour qu'il vous envoie une version de son court HOWTO pour MkLinux.
<p>
<item><url url="http://www.indyramp.com/masq/ip&lowbar;masquerade.txt" name="IP masquerade FAQ"> quelques informations d'ordre g&eacute;n&eacute;ral
<p>
<item><htmlurl url="http://netfilter.filewatcher.org/ipchains/" name="http://netfilter.filewatcher.org/ipchains/"> La doc de Paul Russel et peut-&ecirc;tre une ancienne sauvegarde ici : <htmlurl url="http://www.linuxdocs.org/IPCHAINS-HOWTO.html" name="Linux IPCHAINS HOWTO">. Ce HOWTO contient beaucoup d'informations sur l'utilisation d'IPCHAINS, de m&ecirc;me que les sources et les fichiers binaires de l'outil ipchains.

<p>
<item><url url="http://www.xos.nl/linux/ipfwadm/" name="X/OS Ipfwadm page"> contiens les sources, les binaires, la documentation, et d'autres informations au sujet de paquet <tt/ipfwadm/
<p>
<item>Allez voir la <htmlurl url="http://www.greatcircle.com/" name="GreatCircle's Firewall mailing list"> : Une excellente source pour les jeux de r&egrave;gles 'strong' pour le firewall.
<p>
<item>Le <url url="http://www.linuxdoc.org/LDP/nag/nag.html" name="LDP Network Administrator's Guide"> est un MUST pour l'administrateur Linux d&eacute;butant essayant d'installer un r&eacute;seau.
<p>
<item>Le <url url="http://www.linuxdoc.org/HOWTO/NET3-4-HOWTO.html" name="Linux NET-3-4 HOWTO"> est aussi un autre document exhaustif sur la mani&egrave;re d'installer et de configurer un r&eacute;seau Linux.
<p>
<item>Les <url url="http://www.linuxdoc.org/HOWTO/ISP-Hookup-HOWTO.html" name="Linux ISP Hookup HOWTO"> et <url url="http://www.linuxdoc.org/HOWTO/PPP-HOWTO.html" name="Linux PPP HOWTO"> vous fournissent les renseignements n&eacute;cessaires sur les d&eacute;marches &agrave; suivre pour connecter votre machine Linux &agrave; Internet.
<p>
<item>Le <url url="http://www.linuxdoc.org/HOWTO/Ethernet-HOWTO.html" name="Linux Ethernet-Howto"> est une bonne source d'information pour installer un LAN Ethernet.
<p>
<label id="Donald Becker's NIC drivers and utils FAQ-Hardware">
<item><url url="http://cesdis.gsfc.nasa.gov/linux/drivers/" name="Donald Becker's NIC drivers and Support Utils">
<p>
<item>Vous pourriez aussi peut-&ecirc;tre &ecirc;tre int&eacute;ress&eacute; par le <url url="http://www.linuxdoc.org/HOWTO/Firewall-HOWTO.html" name="Linux Firewalling and Proxy Server HOWTO">
<p>
<item>Le <url url="http://www.linuxdoc.org/HOWTO/Kernel-HOWTO.html" name="Linux Kernel HOWTO">vous guidera &agrave; travers le processus de compilation du noyau.
<p>
<item>D'autres <url url="http://www.linuxdoc.org/HOWTO/HOWTO-INDEX/howtos.html" name="Linux HOWTOs"> tels que Kernel HOWTO
<p>
<item>Faire des 'Post' sur le newsgroup USENET : <htmlurl url="news:comp.os.linux.networking" name="comp.os.linux.networking">
</itemize>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1>Sources Linux IP Masquerade 
<p>

La <url url="http://ipmasq.cjb.net/" name="Linux IP Masquerade Resource "> est un site web d&eacute;di&eacute; &agrave; Linux IP Masquerade dont s'occupe aussi Ambrose Au. Il a les derni&egrave;res informations relatif &agrave; IP Masquerade et toute autre information qui pourrait ne pas &ecirc;tre inclus dans ce HOWTO.
<p>

Vous pouvez trouver La Linux IP Masquerade Resource aux endroits suivant :
<itemize>
<item><htmlurl url="http://ipmasq.cjb.net/" name="http://ipmasq.cjb.net/">, Site Primaire, redirig&eacute; vers <htmlurl url="http://ipmasq.cjb.net/" name="http://ipmasq.cjb.net/">
<p>
<item><htmlurl url="http://ipmasq2.cjb.net/" name="http://ipmasq2.cjb.net/">, Site Secondaire, redirig&eacute; vers <htmlurl url="http://www.geocities.com/SiliconValley/Heights/2288/" name="http://www.geocities.com/SiliconValley/Heights/2288/">
</itemize>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Merci aux personnes suivantes :
<p>
Par ordre alphab&eacute;tique :
<itemize>

<item> Gabriel Beitler, gabrielb@voicenet.com 
&nl; pour avoir fourni la section 3.3.8 (installation de Novell)
<p>
<item>Juan Jose Ciarlante, irriga@impsat1.com.ar
&nl; pour ses contributions &agrave; son outil de port forwarding pour IPMASQADM, son travail sur les sources des noyaux 2.1.x et 2.2.x, le patch LooseUDP original, etc.
<p>
<item>Steven Clarke, steven@monmouth.demon.co.uk
&nl; pour sa contribution : l'outil IP de port forwarding IPPORTFW
<p>
<item>Andrew Deryabin, djsf@usa.net       
&nl; pour sa contribution : le module ICQ MASQ
<p>
<item>Ed Doolittle, dolittle@math.toronto.edu
&nl; pour sa suggestion : l'option <tt/-V/ dans la commande <tt/ipfwadm/ pour une s&eacute;curit&eacute; accrue
<p>
<item>Matthew Driver, mdriver@cfmeu.asn.au
&nl; pour son importante aide &agrave; ce HOWTO, et avoir fourni la section 3.3.1 (configuration de Windows 95)
<p>
<item>Ken Eves, ken@eves.com
&nl; pour la FAQ qui fourni des informations inestimables &agrave; ce HOWTO 
<p>
<item>John Hardin, jhardin@wolfenet.com&nl;
pour ses outils de forwarding de PPTP et de IPSEC
<p>
<item>Glenn Lamb, mumford@netcom.com
&nl;pour le patch LooseUDP
<p>
<item>Ed. Lott, edlott@neosoft.com
&nl;pour une longue liste de syst&egrave;mes et de logiciels test&eacute;s
<p>
<item>Nigel Metheringham, Nigel.Metheringham@theplanet.net
&nl;pour ses versions des HOWTO sur l'IP Packet Filtering et l'IP Masquerading, qui font de ce HOWTO un document meilleur et plus technique
&nl;sections 4.1, 4.2, et d'autres
<p>
<item>Keith Owens, kaos@ocs.com.au
&nl;pour son excellent guide sur ipfwadm section 4.2
&nl;et sa correction de l'option <tt/ipfwadm -deny/ qui &eacute;vite un trou de s&eacute;curit&eacute;, et clarifie le status du <tt/ping/ avec IP Masquerade 
<p>
<item> Michael Owings, mikey@swampgas.com
&nl;pour sa section sur CU-SeeMe et son Linux IP-Masquerade Teeny How-To
<p>
<item>Rob Pelkey, rpelkey@abacus.bates.edu
&nl;pour les sections 3.3.6 et 3.3.7 (configuration de MacTCP et d'Open Transport)
<p>
<item>Harish Pillay, h.pillay@ieee.org 
&nl;pour la section 4.5 (connexion avec Diald)
<p>
<item>Mark Purcell, purcell@rmcs.cranfield.ac.uk
&nl;pour la section 4.6 (IPautofw)
<p>
<item> David Ranch, dranch@trinnet.net
&nl; aide &agrave; mettre &agrave; jour et &agrave; entretenir ce HOWTO et la Linux IP Masquerade Resource Page, le document TrinityOS
, ..., trop de choses pour &ecirc;tre list&eacute;s ici :-)
<p>
<item>Paul Russell, rusty@linuxcare.com.au
&nl;pour tout son travail sur IP CHAINS, les patches noyau IP Masquerade, etc
<p>
<item>Ueli Rutishauser, rutish@ibm.net
&nl;pour la section  3.3.9 (configuration d'OS/2 Warp)
<p>
<item>Steve Grevemeyer, grevemes@tsmservices.com
&nl; pour avoir repris la page IP Masq Applications &agrave; Lee Nevo et l'avoir mise &agrave; jour en une backend de BD
<p>
<item>Fred Viles, fv@episupport.com&
nl;pour ses patches pour un port forwarding correct de FTP
<p>
<item>John B. (Brent) Williams, forerunner@mercury.net
&nl;pour la section 3.3.7 (configuraion d'Open Transport)
<p>
<item>Enrique Pessoa Xavier, enrique@labma.ufrj.br
&nl;pour sa suggestion de configuraiton pour BOOTp
<p>
<item>Toutes les personnes de la mailing list d'IP-MASQ, masq@tiffany.indyramp.com
&nl; pour leur aide et leur soutien aux nouveaux utilisateurs de Linux MASQ
<p>
<item>Les autres d&eacute;veloppeurs de code et de documentations d'IP Masquerade pour cette exceptionne fonction
<p>
<quote>
<itemize>
<item>Delian Delchev, delian@wfpa.acad.bg
<item>David DeSimone (FuzzyFox), fox@dallas.net
<item>Jeanette Pauline Middelink, middelin@polyware.iaf.nl 
<item>Miquel van Smoorenburg, miquels@q.cistron.nl
<item>Jos Vos, jos@xos.nl
<item>Et ceux que j'aurais pu oubli&eacute;s de mentionner ici (SVP faites le moi savoir)
</itemize>
</quote>
<p>
<item>Tous les utilisateurs qui ont envoy&eacute; des feedback ou des suggestions &agrave; la mailing list, surtout ceux qui ont signal&eacute; des erreurs dans ce document ou les clients qui sont compatibles ou pas.
<p>
<item>Nous nous excusons si nous avons omis des noms importants, pas encore inclus des informations que certains utilisateurs nous ont envoy&eacute;, etc. Il y a de nombreuses suggestions et id&eacute;es qui nous sont envoy&eacute;s mais il n'y pas assez de temps pour v&eacute;rifier et int&eacute;grer ces changements. David Ranch essaie continuellement de faire de son mieux pour int&eacute;grer ces informations, que l'on m'envoie, dans ce HOWTO. Je vous remerci de votre effort, et j'esp&egrave;re que vous comprendrez notre situtation.
</itemize>


<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->
<sect1> Reference 
<p>
<itemize>
<item>IP masquerade FAQ original par Ken Eves 
<item>archive de l'IP masquerade mailing list par Indyramp Consulting
<item>Site WWWW IP Masquerade par Ambrose Au
<item>page Ipfwadm par X/OS 
<item>Linux HOWTOs Linux sur les r&eacute;seaux 
<item>Certains sujets trait&eacute;s dans TrinityOS par David Ranch
</itemize>

<!-- ChangeLOG -->
<sect1> Changes   
<p>
<itemize>
TO do - HOWTO:
<itemize>
 <item>Add the scripted IPMASQADM example to the Forwarders section.  Also confirm the syntax.
 <item>Add a little section on having multiple subnets behind a MASQ server
 <item>Confirm the IPCHAINS ruleset and make sure it is consistant with the IPFWADM ruleset
 </itemize> 
<p>
TO DO - WWW page:
<itemize>
  <item>Update all PPTP urls from lowrent to ftp://ftp.rubyriver.com/pub/jhardin/masquerade/ip_masq_vpn.html
  <item>Update the PPTP patch on the masq site
  <item>Update the portfw FTP patch
</itemize>
<p>
Changes from 1.90 to 1.95 - 11/14/00
<itemize>
  <item>Added a quick upfront notice in the intro that running a SINGLE NIC in MASQ mutliple ethernet segments is NOT recommended and linked to the relivant FAQ entry.  Thanks to Daniel Chudnov for helping the HOWTO be more clear.
  <item>Added a pointer in the Intro section to the FAQ section for users looking for how MASQ is different from NAT and Proxy services.
  <p>
  <item>Reordered the Kernel requirements sections to be 2.2.x, 2.4.x, 2.0.x
  <p>
  <item>Expanded the kernel testing in Section 3 to see if a given kernel already supports MASQ or not.
  <p>
  <item>Reversed the order of the displayed simple MASQ ruleset examples (2.2.x and 2.0.x)
  <item>Cleaned up some formatting issues in the 2.0.x and 2.2.x rc.firewall files
  <item>Noted in the 2.2.x rc.firewall that the defrag option is gone in some distro's proc (Debian, TurboLinux, etc)
  <item>Added a NOTE #3 to the rc.firewall scripts to include instructions for Pump.  Thanks to Ross Johnson for this one.
  <item>Cleaned up the simple MASQ ruleset examples for both the 2.2.x and 2.2.x kernels
  <item>Updated the simple and stronger IPCHAINS and IPFWADM rulesets to include the external interface names (IPCHAINS is -i; IPFWADM is -W) to avoid some internal traffic MASQing issues.
  <p>
  <item>Vastly expanded the Section 5 (testing) with even more testing steps with added complete examples of what the output of the testing commands should look like.  
  <p>
  <item>Moved the H.323 application documentation from NOT supported to Supported.  :)
  <p>
  <item>Reordered the Multiple LAN section examples (2.2.x then 2.0.x)
  <item>Made some additional clarifications to the Multiple LAN examples
  <p>Fixed a critical typo with multiple NIC MASQing where the network examples had the specified networks reversed.  Thanks to Matt Goheen for catching this.  
  <p>
  <item>Added a little intro to MFW in the PORTFW section.
  <item>Reveresed the 2.0.x and 2.2.x sections for PORTFW
  <item>Updated the news regarding PORTFWing FTP traffic for 2.2.x kernels
  <code>
  NOTE:  At this time, there *IS* a BETA level IP_MASQ_FTP module 
         for PORT Forwarding FTP connections 2.2.x kernels which also supports 
         adding additional PORTFW FTP ports on the fly without the requirement 
         of unloading and reloaded the IP_MASQ_FTP module and thus breaking any 
         existing FTP transfers.
  </code>
  <item>Added a top level note about PORTFWed FTP support
  <item>Added a noted to the 2.0.x PORTFW'ed FTP example why users DON'T need to PORTFW port 20.
  <item>Updated the PORTFW section to also mention that users can use FTP proxy
applications like the one from SuSe to support PORTFWed FTP-like functionality.  Thanks to Stephen Graham for this one.
  <item>Updated the example for how to enable PORTFWed FTP to also include required configurations to how the ip_masq_ftp module is loaded for users who use multiple PORTs to contact multiple internal FTP servers.  Thanks to Bob Britton for reminding me about this one.
  <p>
  <item>Added a FAQ entry for users who have embedded ^Ms in their rc.firewall
file
  <item>Expanded the FAQ entry talking about how MASQ is different from NAT and Proxy to include some informative URLs.
  <item>Updated the explanation of the MASQ MTU issue and describe the two main explanations of the issue.
  <item>Clarified that per the RFC, PPPoE should only require an MTU of 1490 though some ISPs require a setting of 1460.  Because of this, I have updated the example to show an MTU of 1490.  
  <item>Broke out the Windows 9x sections into Win95 and Win98 as they use different settings (DWORD vs. STRING).  I also updated the sections to be more clear and the Registry backup methods have been updated.  
  <item>Fixed a typo where the NT 4.0 Registry entries were backwards
(Tcpip/Parameters vs. Parameters/Tcpip).  
  <item>Fixed an issue where the WinNT entry should have been a DWORD and not a
STRING.
  <item>A serious thanks goes out to Geoff Mottram for his various PPPoE and various Windows Registry entry fixes.
  <p>
  <item>Added an explicit URL for Oident in the IRC FAQ entry
  <item>Updated the FAQ section regarding some broken "netstat" versions
  <item>Added new FAQ sections for MASQ accounting ideas and traffic shaping
  <item>Expanded the IPROUTE2 FAQ entry on what Policy-routing is.
  <item>Moved the IPROUTE2 URLs to the 2.2.x Kernel requirements section and also added a few more URLs as well.
  <p>
  <item>Corrected the "intnet" variable in the stronger IPCHAINS ruleset to reflect the 192.168.0.0 network to be consistent with the rest of the example.  Thanks to Ross Johnson for this one.
  <p>
  <item>Added a new FAQ section for people asking about forwarding problems between multiple internal MASQed LANs.
  <item>Added a new FAQ section about users wanting to PORTFW all ports from
multiple external IP addresses to internal ones.  I also touched on people
trying to PORTFW all ports on multiple IP ALIASed interfaces and also noted the
Bridge+Firewall HOWTO for DSL and Cablemodem users who have multiple IPs in a
non-routed environment.
  <item>Added Mandrake 7.1, Mandrake 7.2, and Slackware 7.1 to the supported list
  <item>Added Redhat 7.0 to the MASQ supported distros.  Thanks to Eugene Goldstein for this one.
  <item>Fixed a mathematical error in the "Maximum Throughput" calculation in the FAQ section.  Thanks to Joe White @ ip255@msn.com for this one.
  <item>Fixed the fact that the Windows9x MTU changes are a STRING change and not a DWORD change to the registry.  Thanks to jmoore@sober.com for this one.
  <item>Updated the comments in the 2.0.x rc.firewall script to note that the
ip_defrag option is for both 2.0 and 2.2 kernels.  Thanks to pumilia@est.it for
this clarification.
</itemize>
<p>
Changes from 1.85 to 1.90 - 07/03/00
<itemize>
  <item>Updated the URL for TrinityOS to reflect its new layout
  <item>Caught a typo in the IPCHAINS rulesets where I was setting "ip_ip_always_defrag" instead of "ip_always_defrag"
  <item>The URL to Taro Fukunaga was invaild since it was using "mail:" instead of "mailto:"
  <item>Added some clarification to the "Masqing multiple internal interfaces" where some people didn't understand why eth0 was referenced multiple times.
  <item>Fixed another "space after the EXTIP variable" bug in the stronger IPCHAINS section.  I guess I missed one.
  <item>In Test #7 of Section 5, I referred users to go back to step #4.  Thats should have been step #6.
  <item>Updated the kernel versions that came with SuSe 5.2 and 6.0
  <item>Fixed a typo (or vs. of) in Section 7.2
  <item>Added Item #9 to the Testing MASQ section to refer users who are still haing MASQ problems to read the MTU entry in the FAQ
  <item>Improved the itemization in Section 5
  <item>Updated the IPCHAINS syntax to show the MASQ/FORWARD table.  Before, it was valid to run "ipchains -F -L" but now only "ipchains -M -L" works.  
  <item>Updated the LooseUDP documentation to reflect the new LooseUDP behavior in 2.2.16+ kernels.  Before, it was always enabled, now, it defaults to OFF due to a possible MASQed UDP port scanning vunerability.  I have updated the BASIC and SEMI-STRONG IPCHAINS rulesets to reflect this option.
  <item>Updated the recommended 2.2.x kernel to be 2.2.16+ since there is a TCP root exploit vunerability in all lesser versions.
  <item>Added Redhat 6.2 to the MASQ supported list
  <item>Updated the link for Sonny Parlin's FWCONFIG to now point to fBuilder.
  <item>Updated the various example IP addresses from 111.222.333.444 to be 111.222.121.212 to be within a valid IP address range
  <item>Updated the URL for the BETA H.323 MASQ module
  <item>Finally updated the MTU FAQ section to help out PPPoE DSL and Cablemodem users.  Basically, the <ref id="MTU-issues"> section now reflects that users can also change the MTU settings of all of their INTERNAL machines to solve the dreaded MASQ MTU issue.  
  <item>Added a clarification to the PORTFW section that PORTFWed connections that work for EXTERNAL clients will not work for INTERNAL clients.  If you also need INTERNAL portfw, you will need to also impliment the REDIR tool as well.  I also noted that this issue is fixed in the 2.4.x kernels with Netfilter.
  <item>I also added a technical explanation from Juanjo to the end of the PORTFW section to why this senario doesn't work properly.
  <item>Updated all of the IPCHAINS URLs to point to Paul Rusty's new site at http://netfilter.filewatcher.org/ipchains/
  <item>Updated Paul Rustys email address
  <item>Added a new FAQ section for users whose connections remain idle for a long time and their PORTFWed connection no longer work.  
  <item>Updated all the URLs to the LDP that pointed to metalab.unc.edu to the new site of linuxdoc.org
  <item>Updated the Netfilter URLs to point to renamed HOWTOs, etc.
  <item>I also updated the status of the 2.4.x support to note that I *will* add full Netfilter support to this HOWTO and if the time comes, then split that support off into a different HOWTO.
  <item>Updated the 2.4.x Requirements section to reflect how NetFilter has changed compared to IPFWADM and IPCHAINS and gave a PROs/CONs list of new features and changes to old behaviors.
  <item>Added a TCP/IP math example to the "My MASQ connection is slow" FAQ entry to better explain what a user should expect performance wise.
  <item>Updated the HOWTO to reflect that newer versions of the "pump" DHCP client now can run scripts upon bringup, lease renew, etc.
  <item>Updated the PORTFWing of FTP to reflect that several users say they can successfully forward FTP traffic to internal machines without the need of a special ip_masq_ftp module.  I have made the HOWTO reflect that users should try it without the modified module first and then move to the patch if required.
</itemize>
<p>
Changes from 1.82 to 1.85 - 05/29/00
<itemize>
  <item>Ambrose Au's name has been taken off the title page as David Ranch has been the primary maintainer for the HOWTO for over a year.  Ambrose will still be involved with the WWW site though.
  <item>Deleted a stray SPACE in section 6.4
  <item>Re-ordered the compatible MASQ'ed OS section and added instructions for setting up a AS/400 system running on OS/400.  Thanks to jaco@libero.it for the notes.
  <item>Added an additional PORFW-FTP patch URL for FTP access if HTTP access fails.
  <item>Updated the kernel versions for Redhat 5.1 & 6.1 in the FAQ
  <item>Added FloppyFW to the list of MASQ-enabled Linux distros
  <item>Fixed an issue in the Stronger IPFWADM rule set where there were spaces between "ppp_ip" and the "=".
  <item>In the kernel compiling section for 2.2.x kernels, I removed the reference to enable "CONFIG_IP_ALWAYS_DEFRAG".  This option was removed from the compiling section and enabled by default with MASQ enabled in 2.2.12.
  <item>Because of the above change in the kernel behavior, I have added the enabling of ip_always_defrag to all the rc.firewall examples.
  <item>Updated the status of support for H.323.  There is now ALPHA versions of modules to support H.323 on both 2.0.x and 2.2.x kernels.
  <item>Added Debian v2.2 to the supported MASQ distributions list
  <item>Fixed a long standing issue where the section that covered explicit filtering of IP addresses for IPCHAINS had old IPFWADM syntax.  I've also cleaned this section up a little and made it a little more understandable.
  <item>Doh!  Added Juan Ciarlante's URL to the important MASQ resources
section.  Man.. you guys need to make me more honest than this!!
  <item>Updated the HOWTO to reflect kernels 2.0.38 and 2.2.15
  <item>Rerversed the order shown to compile kernels to show 2.2.x kernels
first as 2.0.x is getting pretty old.
  <item>Updated the 2.2.x kernel compiling section to reflect the changed
options for the latter 2.2.x kernels.
  <item>Added a a possible solution for people that fail to get past MASQ test
#5.
</itemize>
<p>
Changes from 1.81 to 1.82 - 01/22/00
<itemize>
  <item>Added a missing subsection for /proc/sys/net/ipv4/ip_dynaddr in the
stronger IPCHAINS ruleset.  Section 6.5
  <item>Changed the IP Masq support for Debian 2.1 to OUI
  <item>Reorganized and updated the "Masq is slow" FAQ section to include fixing Ethernet speed and duplex issues.
  <item>Added a link to Donald Becker's MII utilities for Ethernet NIC cards
  <item>Added a missing ")" for the 2.2.x section (previously fixed it only for the 2.0.x version) to the ICQ portfw script and changed the evaluation from -lt to -le
  <item>Added Caldera eServer v2.3 to the MASQ supported list
  <item>Added Mandrake 6.0, 6.1, 7.0 to the MASQ supported list
  <item>Added Slackware v7.0 to the MASQ supported list
  <item>Added Redhat 6.1 to the MASQ supported list
  <item>Added TurboLinux 4.0 Lite to the MASQ supported list
  <item>Added SuSe 6.3 to the MASQ supported list
  <item>Updated the recommended stable 2.2.x kernel to be anything newer than 2.2.11
  <item>In section 3.3, the HOWTO forgot how to tell the user how to load the /etc/rc.d/rc.firewall upon each reboot.  This has now been covered for Redhat (and Redhat-based distros) and Slackware.
  <item>Added clarification in the Windows WFWG v3.x and NT setup sections why users should NOT configure the DHCP, WINS, and Forwarding options.
  <item>Added a FAQ section on how to fix FTP problems with MASQed machines.
  <item>Fixed a typo in the Stronger firewall rulesets.  The "extip" variabl cannot have the SPACE between the variable name and the "=" sign.  Thanks to johnh@mdscomp.com for the sharp eye.
  <item>Updated the compatibly section:  Mandrake 7.0 is based on 2.2.14 and TurboLinux v6.0 runs 2.2.12
</itemize>
<p>
Changes from 1.80 to 1.81 - 01/09/00
<itemize>
  <item>Updated the ICQ section to reflect that the new ICQ Masq module supports file transfer and real-time chat.  The 2.0.x module still has those limitations.
  <item>Updated Steven E. Grevemeyer's email address.  He is the maintainer of the IP Masq Applications page.
  <item>Fixed a few lines that were missing the work AREN'T for the "setsockopt" errors.
  <item>Updated a error the strong IPCHAINS ruleset where it was using the variable name "ppp_ip" instead of "extip".
  <item>Fixed a "." vs a "?" typo in section 3.3.1 in the DHCP comment section.
  <item>Added a missing ")" to the ICQ portfw script and changed the evaluation from -lt to -le
  <item>Updated the Quake Module syntax to NOT use the "ports=" verbage
</itemize>

<p>

Changes from 1.79 to 1.80 - 12/26/99
<itemize>
  <item>Fixed a space typo when setting the "ppp_ip" address.  
  <item>Fixed a typo in the simple IPCHAINS ruleset.  "deny" to "DENY"
  <item>Updated the URLs for Bjorn's "modutils" for Linux
  <item>Added verbage about NetFilter and IPTables and gave URLs until it is added to this HOWTO or a different HOWTO.
  <item>Updated the simple /etc/rc.d/rc.firewall examples to notify users about the old Quake module bug.
  <item>Updated the STRONG IPFWADM /etc/rc.d/rc.firewall to clarify users about dynamic IP addresses (PPP & DHCP), newer DHCPCD syntax, and the old Quake module bug.
  <item>Updated the STRONG IPCHAINS /etc/rc.d/rc.firewall to ADD a missing section on dynamic IP addresses (PPP & DHCP) and the old Quake module bug.
  <item>Added a note in the "Applications that DO NOT work" section that there IS a beta module for Microsoft NetMeeting (H.323 based) v2.x on 2.0.x kernels.  There is NON versions available for Netmeeting 3.x and/or 2.2.x kernels as of yet.
</itemize>

<p>

Changes from 1.78 to 1.79 - 10/21/99
<itemize>
  <item>Updated the HOWTO name to reflect that it isn't a MINI anymore!
</itemize>
<p>
Changes from 1.77 to 1.78 - 8/24/99
<itemize>
  <item>Fixed a typeo in "Section 6.6 - Multiple Internal Networks" where the -a policy was ommited.
  <item>Deleted the 2.2.x kernel configure option "Drop source routed frames" since it is now enabled by default and the kernel compile option was removed.
  <item>Updated the 2.2.x and all other IPCHAINS sections to notify users of the IPCHAINS fragmentation bug.
  <item>Updated all the URLs point at Lee Nevo's old IP Masq Applications page to Seg's new page.
</itemize>
<p>
Changes from 1.76 to 1.77 - 7/26/99
<itemize>
  <item>Fixed a typo in the Port fowarding section that used "ipmasqadm ipportfw -C" instead of "ipmasqadm portfw -f"
</itemize>
<p>
Changes from 1.75 to 1.76 - 7/19/99
<itemize>
  <item>Updated the "ipfwadm: setsockopt failed: Protocol not available" message in the FAQ to be more clear instead of making the user hunt for the answer in the Forwarders section.
  <item>Fixed incorrect syntax in section 6.7 for IPMASQADM and "portfw"
</itemize>
<p>
Changes from 1.72 to 1.75 - 6/19/99
<itemize>
  <item>Fixed the quake module port setup order for the weak IPFWADM & IPCHAINS ruleset and the strong IPFWADM ruleset as well.
  <item>Added a user report about port forwarding ICQ 4000 directly in and using ICQ's default settings WITHOUT enabling the "Non-Sock" proxy setup.
  <item>Updated the URLs for the IPMASQADM tool
  <item>Added references to Taro Fukunaga, tarozax@earthlink.net for his MkLinux port of the HOWTO
  <item>Updated the blurb about Sonny Parlin's FWCONFIG tool to note new IPCHAINS support
  <item>Noted that Fred Vile's patch for portfw'ed FTP access is ONLY available for the 2.0.x kernels
  <item>Updated the 2.2.x kernel step with a few clarifications on the Experiemental tag  
  <item>Added Glen Lamb's name to the credits for the LooseUDP patch
  <item>Added a clarification on installing the LooseUDP patch that it should use "cat" for non-compressed patches.
  <item>Fixed a typo in the IPAUTO FAQ section
  <item>I had the DHCP client port numbers reversed for the IPFWADM and IPCHAINS rulesets.  The order I had was if your Linux server was a DHCP SERVER.
  <item>Added explicit /sbin path to all weak and strong ruleset examples.
  <item>Made some clarifications in the strong IPFWADM section regarding Dynamic IP addresses for PPP and DHCP users.  I also noted that the strong rulesets should be re-run when PPP comes up or when a DHCP lease is renewed.
  <item>Added reference in the 2.2.x requirements, updated the ICQ FAQ section, and added Andrew Deryabin to credits section for his ICQ MASQ module.
  <item>Added some clarifcation in the FAQ section why the 2.1.x and 2.2.x kernels went to IPCHAINS.
  <item>Added a little FAQ section on Microsoft File/Print/Domain services (Samba) through a MASQ server.  I also added a URL to a Microsoft Knowledge base document pour de plus amples d&eacute;tails.
  <item>Added clarification in the FAQ section that NON Debian distribution supports IP masq out of the box.
  <item>Updated the supported MASQ distributions in the FAQ section.
  <item>Added to the Aliased NIC section of the FAQ that you CANNOT masq out of an aliased interface.
  <item>Wow.. never caught this before but the "ppp-ip" variable in the strong ruleset section is an invalid variable name!  It has been renamed to "ppp_ip"
  <item>In both the IPFWADM and IPCHAINS simple ruleset setup areas, I had a commented out section on enabling DHCP traffic.  Problem is, it was below the final reject line!  Doh!  I moved both up a section.
  <item>In the simple IPCHAINS setup, the #ed out line for DHCP users, I was using the IPFWADM "-W" command instead of IPCHAINS's "-i" parameter.
  <item> Added a little blurb to the Forwarders section the resolution to the famous "ipfwadm: setsockopt failed: Protocol not available" error.  This also includes a little /proc test to let people confirm if IPPORTFW is enabled in the kernel.  I also added this error to a FAQ section for simple searching.
  <item>Added a Strong IPCHAINS ruleset to the HOWTO
  <item>Added a FAQ section explaining the "kernel: ip_masq_new(proto=UDP): no free ports." error.
  <item>Added an example of scripting IPMASQADM PORTFW rules	 
  <item>Updated a few of the Linux Documentation Project (LDP) URLs
  <item>Added Quake III support in the module loading sections of all the rc.firewall rulesets.
  <item>Fixed the IPMASQADM forwards for ICQ
</itemize>
<p>
  <item>1.72 - 4/14/99 - Dranch:  Added a large list of Windows NAT/Proxy alternatives with rough pricing and URLs to the FAQ.
  <p>
  <item>1.71 - 4/13/99 - Dranch:  Added IPCHAINS setups for multiple internal MASQed networks.  Changed the ICQ setup to use ICQ's default 60 second timeout and change IPFWADM/IPCHAINS timeout to 160 seconds.  Updated the MASQ and MASQ-DEV email list and archive subscription instructions.
  <p>
  <item>1.70 - 3/30/99 - Dranch: Added two new FAQ sections that cover SMTP/POP-3 timeout problems and how to masquerade multiple internal networks out different external IP addresses with IPROUTE2.
  <p>
  <item>1.65 - 3/29/99 - Dranch: Typo fixes, clarifications of required 2.2.x kernel options, added dynamic PPP IP address support to the strong firewall section, additional quake II module ports, noted that the LooseUDP patch is built into later 2.2.x kernels and its from Glenn Lamb and not Dan Kegel, added more game info in the compatibility section.  
  <p>
  <item>1.62 - Dranch:  Make the final first-draft changes to the doc and now announce it the the MASQ email list.
<p>
  <item>1.61 - Dranch:  Make editorial changes, cleaned things up and fixed some errors in the Windows95 and NT setups.
  <p>
  <item>1.58 - Dranch:  Addition of the port forwarding sections; LooseUDP setup; Ident servers for IRC users, how to read firewall logs, deleted the CuSeeme Mini-HOWTO since it is rarely used. 
  <p>
  <item>1.55 - Dranch: Complete overhaul, feature and FAQ addition, and editing sweep of the v1.50 HOWTO.  Completed the 2.2.x kernel and IPCHAINS configurations.  Did a conversion from IPAUTOFW to IPPORTFW for the examples that applied.  Added many URLs to various other documentation and utility sites.  There are so many changes.. I hope everyone likes it.  Final publishing of this new rev of the HOWTO to the LDP project won't happen until the doc is looked over and approved by the IP MASQ email list (then v2.00).
  <p>
  <item>1.50 - Ambrose: A serious update to the HOWTO and the initial addition of the 2.2.0 and IPCHAINS configurations.
  <p>
  <item>1.20 - Ambrose: One of the more recent HOWTO versions that solely dealt with < 2.0.x kernels and IPFWADM. 
</itemize>

<!-- - - - - - - - - - - - - - - - - - - - - - - - - - -->

</article>
