Debian
Debian-France
Debian-Facile
Debian-fr.org
Forum-Debian.fr
Debian ?
Communautés
Vous n'êtes pas identifié(e).
L'icône rouge permet de télécharger chaque page du wiki visitée au format
PDF et la grise au format ODT →
Ci-dessous, les différences entre deux révisions de la page.
| Les deux révisions précédentes Révision précédente Prochaine révision | Révision précédente Prochaine révision Les deux révisions suivantes | ||
|
doc:reseau:iptables-pare-feu-pour-un-client [09/10/2014 00:15] Hypathie [Pare-feu pour une station (client)] |
doc:reseau:iptables-pare-feu-pour-un-client [12/10/2014 15:20] Hypathie [Pare-feu pour une station (client)] |
||
|---|---|---|---|
| Ligne 6: | Ligne 6: | ||
| * Suivi : {{à-placer}} | * Suivi : {{à-placer}} | ||
| * Création par [[user>Hypathie]] 08/10/2014 | * Création par [[user>Hypathie]] 08/10/2014 | ||
| - | * Testé par <...> le <...> FIXME | + | * Testé par <...> le <...> |
| * Commentaires sur le forum : [[http://debian-facile.org/viewtopic.php?pid=99071#p99071| Lien vers le forum concernant ce tuto]] ((N'hésitez pas à y faire part de vos remarques, succès, améliorations ou échecs !)) | * Commentaires sur le forum : [[http://debian-facile.org/viewtopic.php?pid=99071#p99071| Lien vers le forum concernant ce tuto]] ((N'hésitez pas à y faire part de vos remarques, succès, améliorations ou échecs !)) | ||
| - | **Nota :** | + | |
| ===== Introduction ===== | ===== Introduction ===== | ||
| **Iptables** est un logiciel libre grâce auquel l’administrateur système peut configurer les chaînes et règles du pare-feu en espace noyau. | **Iptables** est un logiciel libre grâce auquel l’administrateur système peut configurer les chaînes et règles du pare-feu en espace noyau. | ||
| Ligne 73: | Ligne 73: | ||
| * sur ICMP : [[http://www.inetdoc.net/guides/iptables-tutorial/icmpheaders.html]] | * sur ICMP : [[http://www.inetdoc.net/guides/iptables-tutorial/icmpheaders.html]] | ||
| * sur SCTP : les [[http://www.inetdoc.net/guides/iptables-tutorial/sctpcharacteristics.html|Caractéristiques SCTP]] et les [[http://www.inetdoc.net/guides/iptables-tutorial/sctpheaders.html|En-têtes SCTP]] | * sur SCTP : les [[http://www.inetdoc.net/guides/iptables-tutorial/sctpcharacteristics.html|Caractéristiques SCTP]] et les [[http://www.inetdoc.net/guides/iptables-tutorial/sctpheaders.html|En-têtes SCTP]] | ||
| + | |||
| + | Au sujet de la configuration réseau, commandes, fichiers de configuration pour GNU/linux:\\ [[http://www.linux-france.org/prj/edu/archinet/systeme/ch03.html]] | ||
| Pour ce qui concerne le routage (table NAT), nous l'aborderons lors de la mise en place d'un pare-feu pour une machine faisant office de routeur, dans le wiki suivant. | Pour ce qui concerne le routage (table NAT), nous l'aborderons lors de la mise en place d'un pare-feu pour une machine faisant office de routeur, dans le wiki suivant. | ||
| Ligne 463: | Ligne 465: | ||
| * Pour vérifier ses logs : | * Pour vérifier ses logs : | ||
| - | On se connecte en ssh du client sur lequel on a installé le pare-feu vers un client de notre réseau; puis dans l'autre sens d'un client du réseau vers le client "pare-feuté" qui est aussi server ssh. | + | On se connecte en ssh du client sur lequel on a installé le pare-feu vers un client de notre réseau; puis dans l'autre sens d'un client du réseau vers le client "pare-feuté" qui est aussi serveur ssh. |
| <code user>less /var/log/messages | grep OUTGOING_SSH</code> | <code user>less /var/log/messages | grep OUTGOING_SSH</code> | ||
| Ligne 498: | Ligne 500: | ||
| <code root>iptables-restore < /etc/iptables</code> | <code root>iptables-restore < /etc/iptables</code> | ||
| - | Bon il ne faut pas oublier de mettre son pare-feu à chaque redémarrage !\\ | + | Bon il ne faut pas oublier de charger son pare-feu à chaque redémarrage !\\ |
| Évitons ce risque et surtout de nous fatiguer...\\ | Évitons ce risque et surtout de nous fatiguer...\\ | ||
| Ligne 565: | Ligne 567: | ||
| /sbin/iptables -t filter -A OUTPUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j ACCEPT | /sbin/iptables -t filter -A OUTPUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j ACCEPT | ||
| /sbin/iptables -t filter -A INPUT -p udp -m udp --sport 53 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT | /sbin/iptables -t filter -A INPUT -p udp -m udp --sport 53 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT | ||
| - | #Allow trafic on internal network | + | #Allow trafic on internal network |
| - | /sbin/iptables -t filter -A OUTPUT -o lo -j ACCEPT | + | |
| /sbin/iptables -t filter -A INPUT -i lo -j ACCEPT | /sbin/iptables -t filter -A INPUT -i lo -j ACCEPT | ||
| + | /sbin/iptables -t filter -A OUTPUT -o lo -j ACCEPT | ||
| #Allow ping to internal network | #Allow ping to internal network | ||
| /sbin/iptables -A OUTPUT -p icmp -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT | /sbin/iptables -A OUTPUT -p icmp -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT | ||
| Ligne 578: | Ligne 580: | ||
| /sbin/iptables -I INPUT -p tcp --dport 22 -j OutGoingSSH | /sbin/iptables -I INPUT -p tcp --dport 22 -j OutGoingSSH | ||
| /sbin/iptables -A OutGoingSSH -j LOG --log-prefix '[OUTGOING_SSH] : ' | /sbin/iptables -A OutGoingSSH -j LOG --log-prefix '[OUTGOING_SSH] : ' | ||
| - | #Set up a user chain forr ssh incoming | + | #Set up a user chain for ssh incoming |
| /sbin/iptables -t filter -N InComingSSH | /sbin/iptables -t filter -N InComingSSH | ||
| /sbin/iptables -I OUTPUT -p tcp --sport 22 -j InComingSSH | /sbin/iptables -I OUTPUT -p tcp --sport 22 -j InComingSSH | ||
