# [iptables] impossible a lancer depuis MAJ Kernel (résolu)

## ultrabug

Bonjour à tous,

J'ai upgrade un serveur en 2.6.16-hardened-r6 et depuis mon iptables ne marche plus.

```
# iptables -L

FATAL: Module ip_tables not found.

iptables v1.3.4: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)

Perhaps iptables or your kernel needs to be upgraded.
```

Réinstaller iptables n'apporte rien. Dans mon kernel, tous les composants iptables sont compilés en dur (meme en les compilant en module, ca ne change rien). Un revdep-rebuild ne montre rien de cassé...

Config noyau :

```
# more .config |grep NETFI

CONFIG_NETFILTER=y

CONFIG_NETFILTER_DEBUG=y

# CONFIG_NETFILTER_NETLINK is not set

CONFIG_NETFILTER_XTABLES=y

CONFIG_NETFILTER_XT_TARGET_CLASSIFY=y

CONFIG_NETFILTER_XT_TARGET_CONNMARK=y

CONFIG_NETFILTER_XT_TARGET_MARK=y

CONFIG_NETFILTER_XT_TARGET_NFQUEUE=y

CONFIG_NETFILTER_XT_TARGET_NOTRACK=y

CONFIG_NETFILTER_XT_MATCH_COMMENT=y

CONFIG_NETFILTER_XT_MATCH_CONNBYTES=y

CONFIG_NETFILTER_XT_MATCH_CONNMARK=y

CONFIG_NETFILTER_XT_MATCH_CONNTRACK=y

CONFIG_NETFILTER_XT_MATCH_DCCP=y

CONFIG_NETFILTER_XT_MATCH_HELPER=y

CONFIG_NETFILTER_XT_MATCH_LENGTH=y

CONFIG_NETFILTER_XT_MATCH_LIMIT=y

CONFIG_NETFILTER_XT_MATCH_MAC=y

CONFIG_NETFILTER_XT_MATCH_MARK=y

CONFIG_NETFILTER_XT_MATCH_PKTTYPE=y

CONFIG_NETFILTER_XT_MATCH_REALM=y

CONFIG_NETFILTER_XT_MATCH_SCTP=y

CONFIG_NETFILTER_XT_MATCH_STATE=y

CONFIG_NETFILTER_XT_MATCH_STRING=y

CONFIG_NETFILTER_XT_MATCH_TCPMSS=y
```

Help ! Merci  :Smile: Last edited by ultrabug on Wed May 17, 2006 1:03 pm; edited 1 time in total

----------

## marvin rouge

Va voir là :   Networking -> Networking support (NET [=y])   -> Networking options                                                                                                                                                   -> Network packet filtering (replaces ipchains) (NETFILTER [=y])                                                                                                  -> IP: Netfilter Configuration   

(c'est un grep IP sur ton fichier de conf pour savoir si t'as pas oublié IP_NF_IPTABLES )

+

----------

## ultrabug

Salut marvin, voici le grep :

```
# more .config |grep IP_NF

CONFIG_IP_NF_CONNTRACK=y

CONFIG_IP_NF_CT_ACCT=y

CONFIG_IP_NF_CONNTRACK_MARK=y

CONFIG_IP_NF_CONNTRACK_EVENTS=y

CONFIG_IP_NF_CT_PROTO_SCTP=y

CONFIG_IP_NF_FTP=y

CONFIG_IP_NF_IRC=y

CONFIG_IP_NF_NETBIOS_NS=y

CONFIG_IP_NF_TFTP=y

CONFIG_IP_NF_AMANDA=y

CONFIG_IP_NF_PPTP=y

CONFIG_IP_NF_QUEUE=y

CONFIG_IP_NF_IPTABLES=y

CONFIG_IP_NF_MATCH_IPRANGE=y

CONFIG_IP_NF_MATCH_MULTIPORT=y

CONFIG_IP_NF_MATCH_TOS=y

CONFIG_IP_NF_MATCH_RECENT=y

CONFIG_IP_NF_MATCH_ECN=y

CONFIG_IP_NF_MATCH_DSCP=y

# CONFIG_IP_NF_MATCH_AH_ESP is not set

CONFIG_IP_NF_MATCH_TTL=y

CONFIG_IP_NF_MATCH_OWNER=y

CONFIG_IP_NF_MATCH_ADDRTYPE=y

CONFIG_IP_NF_MATCH_HASHLIMIT=y

CONFIG_IP_NF_MATCH_POLICY=y

CONFIG_IP_NF_MATCH_STEALTH=y

# CONFIG_IP_NF_FILTER is not set

CONFIG_IP_NF_TARGET_LOG=y

CONFIG_IP_NF_TARGET_ULOG=y

CONFIG_IP_NF_TARGET_TCPMSS=y

CONFIG_IP_NF_NAT=y

CONFIG_IP_NF_NAT_NEEDED=y

# CONFIG_IP_NF_TARGET_MASQUERADE is not set

CONFIG_IP_NF_TARGET_REDIRECT=y

CONFIG_IP_NF_TARGET_NETMAP=y

CONFIG_IP_NF_TARGET_SAME=y

CONFIG_IP_NF_NAT_SNMP_BASIC=y

CONFIG_IP_NF_NAT_IRC=y

CONFIG_IP_NF_NAT_FTP=y

CONFIG_IP_NF_NAT_TFTP=y

CONFIG_IP_NF_NAT_AMANDA=y

CONFIG_IP_NF_NAT_PPTP=y

CONFIG_IP_NF_MANGLE=y

CONFIG_IP_NF_TARGET_TOS=y

CONFIG_IP_NF_TARGET_ECN=y

CONFIG_IP_NF_TARGET_DSCP=y

CONFIG_IP_NF_TARGET_TTL=y

CONFIG_IP_NF_TARGET_CLUSTERIP=y

CONFIG_IP_NF_RAW=y

CONFIG_IP_NF_ARPTABLES=y

CONFIG_IP_NF_ARPFILTER=y

CONFIG_IP_NF_ARP_MANGLE=y
```

Comme tu vois, iptables est dedans

----------

## guilc

non, manque ça :

CONFIG_IP_NF_FILTER

----------

## PabOu

effectivement !

"iptables" utilisé tout seul (par exemple iptables -L) ca veut implicitement dire "iptables -t filter" ("iptables -t filter -L") car c'est l'utilisation la plus courrante.

iptables n'est qu'une commande qui à pour but de dialoguer avec netfilter dans le noyau. Avoir le support pour cette commande, c'est bien, mais il faut lui assurer le support de ses paramètres aussi.

Il ya donc -t filter (CONFIG_IP_NF_FILTER), mais aussi -t nat (CONFIG_IP_NF_FILTER), ou encore -t mangle (CONFIG_IP_NF_MANGLE)

----------

## ultrabug

Bonjour à tous,

J'ai recompilé en tenant compte de vos remarques, j'ai tout inclus mais rien n'y fait, iptables ne veut pas marcher  :Sad: 

----------

## PabOu

j'ai le même kernel (2.6.16-hardened-r6) et avec iptables 1.3.5, ca fonctionne ici.

Une remarque : "more .config | grep keyword" c'est pas bien ! Il faut faire "grep keyword .config" :)

Et puis pour être encore plus sur, essaye "zcat /proc/config_qui_se_trouve_kekpart_mais_fo_avoir_le_support_dans_le_noyo | grep keyword"

----------

## boozo

voire... zgrep keyword /proc/config.gz_mais_fo_avoir_le_support_dans_le_noyo  :Mr. Green: 

j'y vais, j'y vais --------->-))))°>---------  :Arrow:  []

----------

## nemo13

 *boozo wrote:*   

> voire... zgrep keyword /proc/config.gz_mais_fo_avoir_le_support_dans_le_noyo 

 

A chipoter dans l'éfficacité, zallons jusqu'au bout :

```
zgrep -i keyword /proc/config.gz
```

bon je sors bêcher le jardin   :Arrow:   :Arrow: 

A+

----------

## ultrabug

Bonjour  :Smile: 

Après avoir recompilé mon noyau avec _tout_ ce qui concerne iptables en module, ca marche...

Pkoi ca ne marche plus en compilé dur ? Dieu seul le sait (hein Linus)  :Smile: 

Merci pour votre aide

----------

## guilc

 *ultrabug wrote:*   

> Bonjour 
> 
> Après avoir recompilé mon noyau avec _tout_ ce qui concerne iptables en module, ca marche...
> 
> Pkoi ca ne marche plus en compilé dur ? Dieu seul le sait (hein Linus) 
> ...

 

Je vote pour la fumette a la config en dur du kernel, ou oubli de relilo/mettre le kernel dans /boot avant de rebooter, car chezoiçamarche TREEEEEEEES bien tout en dur...

----------

## ultrabug

Je fume pas  :Sad:  Et genkernel se gourre jamais   :Laughing:  Nan franchement j'ai toujours vérifié que mon kernel était le bon  :Sad: 

----------

## PabOu

J'ai tout en dur également, et ca marche très bien aussi !

zgrep, il est installé avec quel ebuild ? (c'est eix qu'on utilise pour savoir ca ?)

----------

## sireyessire

 *PabOu wrote:*   

> J'ai tout en dur également, et ca marche très bien aussi !
> 
> zgrep, il est installé avec quel ebuild ? (c'est eix qu'on utilise pour savoir ca ?)

 

```
$whereis zgrep

zgrep: /bin/zgrep /usr/man/man1/zgrep.1.gz /usr/share/man/man1/zgrep.1.gz

$qfile /bin/zgrep

app-arch/gzip (/bin/zgrep)
```

----------

## PabOu

Merci pour la réponse rapide :) Laisse moi au moins le temps de retourner sur la page des sujets avant de répondre. ;)

----------

## sireyessire

 *PabOu wrote:*   

> Merci pour la réponse rapide  Laisse moi au moins le temps de retourner sur la page des sujets avant de répondre. 

 

faut utiliser des tabs  :Wink:  comme ça tu as toujours la page des sujets en parallèle  :Laughing: 

----------

## PabOu

Mais la page n'est pas rechargée automatiquement ! Alors je préfère garder mon habitude. :)

----------

## nemo13

 *PabOu wrote:*   

> zgrep, il est installé avec quel ebuild ? (c'est eix qu'on utilise pour savoir ca ?)

 

Yeeeees !!! pour une fois que je puis t'apporter une réponse 

```
qfile zgrep

app-arch/gzip (/bin/zgrep)

qfile zcat

app-arch/gzip (/bin/zcat)

qfile zless

app-arch/gzip (/bin/zless) 
```

A+

flûte 15 mn de retard  c'est dûr la vie  :Wink: Last edited by nemo13 on Wed May 17, 2006 4:33 pm; edited 1 time in total

----------

## PabOu

 *nemo13 wrote:*   

> Yeeeees !!! pour une fois que je puis t'apporter une réponse

 

Merci, mais je pense que tu t'es fait griller de 4 posts :D Regarde la réponse de siryessire juste après ma question. ;)

----------

## nemo13

 *PabOu wrote:*   

>  *nemo13 wrote:*   Yeeeees !!! pour une fois que je puis t'apporter une réponse 
> 
> Merci, mais je pense que tu t'es fait griller de 4 posts  Regarde la réponse de siryessire juste après ma question. 

 

hélas oui : A quand le rafraichissement automatique et en tache de fond !

----------

## nemo13

 *sireyessire wrote:*   

> faut utiliser des tabs  comme ça tu as toujours la page des sujets en parallèle 

 

Je suis preneur de toute solution de rafraichissement zotomatik  des tab !  :Very Happy: 

----------

## ultrabug

C'est pas fini de dévier mon sujet oui ?  :Sad: 

----------

## PabOu

Il est résolu, ou est le problème ? ;)

Si problème il y a, Yoyo agira !

----------

## Leander256

Non le probleme n'est pas resolu, moi je veux compiler iptables en dur  :Twisted Evil: 

Pour ce faire j'ai donc rajoute dans le .config ce qui semblait manquer :

```
IP_NF_FILTER=y

IP_NF_NAT=y
```

Et lorsque j'ai fait make, voila t'y pas qu'il se met a me poser des questions :

```
 Packet filtering (IP_NF_FILTER) [Y/n/m/?] y

    REJECT target support (IP_NF_TARGET_REJECT) [N/m/y/?] (NEW)

  Full NAT (IP_NF_NAT) [Y/n/m/?] y

    MASQUERADE target support (IP_NF_TARGET_MASQUERADE) [N/m/y/?] (NEW)

    REDIRECT target support (IP_NF_TARGET_REDIRECT) [N/m/y/?] (NEW)

    NETMAP target support (IP_NF_TARGET_NETMAP) [N/m/y/?] (NEW)

    SAME target support (IP_NF_TARGET_SAME) [N/m/y/?] (NEW)

    Basic SNMP-ALG support (EXPERIMENTAL) (IP_NF_NAT_SNMP_BASIC) [N/m/y/?] (NEW)
```

Et une fois la compilation terminee et le reboot effectue, iptables fonctionne a nouveau :

```
# iptables -L

Chain INPUT (policy ACCEPT)

target     prot opt source               destination

Chain FORWARD (policy ACCEPT)

target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination
```

J'ai comme l'impression qu'il y a un bug avec le make menuconfig, que celui-ci n'affiche pas certaines options. Peut-etre faudrait-il remonter ca aux kernel devs ?

----------

## sireyessire

 *Leander256 wrote:*   

> Non le probleme n'est pas resolu, moi je veux compiler iptables en dur 
> 
> Pour ce faire j'ai donc rajoute dans le .config ce qui semblait manquer :
> 
> ```
> ...

 

C'est normal tu rajoutes des options mais tu ne configures pas les sous-options que cela génére alors lors du make il te pose les questions qui vont bien. Moi j'ai plus l'impression que tu as raté quelques options dans le menuconfig (faut faire attention car depuis le 2.6.14 ou 15 les options de net sont séparés en 2 menus un avec les drivers et un avec les options indépendantes du hard)

----------

## ultrabug

C'est dingue quand meme cette histoire, moi ca marche définitivement pas en dur  :Sad:  Peut-etre parceque c'est un hardened ?

----------

## PabOu

non j'ai la même version en hardened et kernel sans le support des modules (donc tout en dur), et ca passe ici.

Leander : du coté de netfilter/iptables, c'est rempli de flèches à droite du nom (des sous menus quoi). Tu en as peut-etre passé un ou deux.

----------

## guilc

 *ultrabug wrote:*   

> C'est dingue quand meme cette histoire, moi ca marche définitivement pas en dur  Peut-etre parceque c'est un hardened ?

 

BIIIIIIIPP, error, try again

En hardened ça marche aussi très bien  :Wink: 

(d'aileurs, qu'est ce tu fous avec le support des modules sur un hardened, ça casse la moitié de l'interet du hardened au niveau trojans/injection de code...)

----------

## ultrabug

OK OK ! bon je dis plus rien moi et je garde mes modules, a près tout, ca marche ...

----------

