Vous n'êtes pas identifié(e).
L'icône rouge permet de télécharger chaque page du wiki visitée au format
PDF et la grise au format ODT →
Ci-dessous, les différences entre deux révisions de la page.
Les deux révisions précédentes Révision précédente Prochaine révision | Révision précédente Prochaine révision Les deux révisions suivantes | ||
doc:reseau:iptables-pare-feu-pour-un-client [01/11/2015 17:44] milou [Pare-feu pour une station (client)] |
doc:reseau:iptables-pare-feu-pour-un-client [23/08/2018 21:05] Beta-Pictoris |
||
---|---|---|---|
Ligne 125: | Ligne 125: | ||
> **La cinquième ligne ''Chain OUTPUT (policy ACCEPT)''** concerne les paquets sortants (**''OUTPUT''**). | > **La cinquième ligne ''Chain OUTPUT (policy ACCEPT)''** concerne les paquets sortants (**''OUTPUT''**). | ||
+ | === Lien utile === | ||
+ | |||
+ | En complément, voir ce post sur le forum : | ||
+ | * [[https://debian-facile.org/viewtopic.php?id=18221]] | ||
====Quelques définitions==== | ====Quelques définitions==== | ||
Ligne 220: | Ligne 224: | ||
===Autoriser les échanges avec les serveurs DNS=== | ===Autoriser les échanges avec les serveurs DNS=== | ||
<code root> | <code root> | ||
- | iptables -t filter -A OUTPUT -p udp -m udp\ | + | iptables -t filter -A OUTPUT -p udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT |
- | --dport 53 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j ACCEPT | + | iptables -t filter -A INPUT -p udp --sport 53 -m conntrack --ctstate ESTABLISHED -j ACCEPT |
- | + | ||
- | iptables -t filter -A INPUT -p udp -m udp\ | + | |
- | --sport 53 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT | + | |
</code> | </code> | ||
Ligne 375: | Ligne 376: | ||
===Faire des tests === | ===Faire des tests === | ||
+ | |||
* Sur l'interface lo | * Sur l'interface lo | ||
<code user>ping localhost</code> | <code user>ping localhost</code> | ||
Ligne 403: | Ligne 405: | ||
* Ping sur un domaine : | * Ping sur un domaine : | ||
- | <code root>ping google.fr</code> | + | <code user>ping google.fr</code> |
<code config retour de la commande>PING google.fr (173.194.40.152) 56(84) bytes of data. | <code config retour de la commande>PING google.fr (173.194.40.152) 56(84) bytes of data. | ||
Ligne 551: | Ligne 553: | ||
<code root>vim /etc/network/interfaces</code> | <code root>vim /etc/network/interfaces</code> | ||
- | <code> | + | |
+ | <file config interfaces> | ||
# The loopback network interface | # The loopback network interface | ||
auto lo | auto lo | ||
iface lo inet loopback | iface lo inet loopback | ||
post-up iptables-restore < /etc/firewall-client | post-up iptables-restore < /etc/firewall-client | ||
- | </code> | + | </file> |
===Avantages de cette méthode=== | ===Avantages de cette méthode=== | ||
Ligne 650: | Ligne 654: | ||
/sbin/iptables -P FORWARD DROP | /sbin/iptables -P FORWARD DROP | ||
# Allow trafic with DNS server | # Allow trafic with DNS server | ||
- | /sbin/iptables -t filter -A OUTPUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j ACCEPT | + | /sbin/iptables -t filter -A OUTPUT -p udp --dport 53 -m conntrack --ctstate NEW -j ACCEPT |
- | /sbin/iptables -t filter -A INPUT -p udp -m udp --sport 53 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT | + | /sbin/iptables -t filter -A INPUT -p udp --sport 53 -m conntrack --ctstate ESTABLISHED -j ACCEPT |
#Allow trafic on internal network | #Allow trafic on internal network | ||
/sbin/iptables -t filter -A INPUT -i lo -j ACCEPT | /sbin/iptables -t filter -A INPUT -i lo -j ACCEPT | ||
Ligne 750: | Ligne 754: | ||
<code root> | <code root> | ||
- | chmod 0755 /etc/init.d/firewall-client.sh | + | chmod 0755 /etc/init.d/firewall-client.sh</code> |
- | chown root:root /etc/init.d/firewall-client.sh | + | <code root>chown root:root /etc/init.d/firewall-client.sh |
</code> | </code> | ||