Debian
Debian-France
Debian-Facile
Debian-fr.org
Forum-Debian.fr
Debian ?
Communautés
Vous n'êtes pas identifié(e).
L'icône rouge permet de télécharger chaque page du wiki visitée au format
PDF et la grise au format ODT →
Ci-dessous, les différences entre deux révisions de la page.
| Les deux révisions précédentes Révision précédente Prochaine révision | Révision précédente Prochaine révision Les deux révisions suivantes | ||
|
doc:reseau:iptables-pare-feu-pour-une-passerelle [16/11/2014 09:41] Hypathie [Introduction] |
doc:reseau:iptables-pare-feu-pour-une-passerelle [16/11/2014 10:32] Hypathie [Les règles du pare-feu pas à pas] |
||
|---|---|---|---|
| Ligne 407: | Ligne 407: | ||
| * Ce qui donne : | * Ce qui donne : | ||
| - | <code>iptables -L</code> | + | <code root>iptables -L FORWARD</code> |
| <code> | <code> | ||
| - | Chain INPUT (policy ACCEPT) | ||
| - | target prot opt source destination | ||
| - | |||
| Chain FORWARD (policy DROP) | Chain FORWARD (policy DROP) | ||
| target prot opt source destination | target prot opt source destination | ||
| Ligne 417: | Ligne 414: | ||
| ACCEPT tcp -- anywhere 192.168.1.0/24 state RELATED,ESTABLISHED | ACCEPT tcp -- anywhere 192.168.1.0/24 state RELATED,ESTABLISHED | ||
| ACCEPT icmp -- anywhere anywhere | ACCEPT icmp -- anywhere anywhere | ||
| + | </code> | ||
| - | Chain OUTPUT (policy ACCEPT) | + | * OU de manière plus précise : |
| - | target prot opt source destination | + | <code root> |
| + | iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p icmp\ | ||
| + | -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT | ||
| + | |||
| + | iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p icmp\ | ||
| + | -m state --state ESTABLISHED,RELATED -j ACCEPT | ||
| + | |||
| + | </code> | ||
| + | |||
| + | * Ce qui donnerait cette fois : | ||
| + | <code>iptables -L FORWARD</code> | ||
| + | <code> | ||
| + | Chain FORWARD (policy DROP) | ||
| + | target prot opt source destination | ||
| + | ACCEPT tcp -- 192.168.1.0/24 anywhere state NEW,RELATED,ESTABLISHED | ||
| + | ACCEPT tcp -- anywhere 192.168.1.0/24 state RELATED,ESTABLISHED | ||
| + | ACCEPT icmp -- 192.168.1.0/24 anywhere state NEW,RELATED,ESTABLISHED | ||
| + | ACCEPT icmp -- anywhere 192.168.1.0/24 state RELATED,ESTABLISHED | ||
| </code> | </code> | ||
| Ligne 514: | Ligne 529: | ||
| > Là encore la navigation est possible pour un ordi du sous-réseau 192.168.1.0/24 | > Là encore la navigation est possible pour un ordi du sous-réseau 192.168.1.0/24 | ||
| > Et le ping fonctionne vers google et l'ordi 192.168.0.22 sans besoin d'ajouter de règle imcp car on a autorisé TOUS les protocoles | > Et le ping fonctionne vers google et l'ordi 192.168.0.22 sans besoin d'ajouter de règle imcp car on a autorisé TOUS les protocoles | ||
| + | |||
| + | **Enfin il est inutile d'ajouter une règle udp pour la résolution de nom si le serveur de nom est installé et correctement paramétré.**\\ | ||
| + | Dans le cas contraire on ajouterait : | ||
| + | <code root> | ||
| + | iptables -t filter -A FORWARD -p udp --dport 53 -j ACCEPT | ||
| + | </code> | ||
| + | |||
| + | Ou pour être plus précis : | ||
| + | |||
| + | <code root> | ||
| + | iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p udp\ | ||
| + | --dport 53 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT | ||
| + | |||
| + | iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p udp\ | ||
| + | --dport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT | ||
| + | </code> | ||
| + | |||
| </note> | </note> | ||
| Ligne 563: | Ligne 595: | ||
| iptables -A OUTPUT -o eth1 -j ACCEPT | iptables -A OUTPUT -o eth1 -j ACCEPT | ||
| - | #On garde nos règles concernant le DROP sur FORWARD (FILTER) | + | ##On garde nos règles concernant le DROP sur FORWARD (FILTER) |
| #mais on oublie pas eth1 ! | #mais on oublie pas eth1 ! | ||
| - | /sbin/iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p\ | + | iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p\ |
| tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT | tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT | ||
| - | /sbin/iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p\ | + | iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p\ |
| tcp -m state --state ESTABLISHED,RELATED -j ACCEPT | tcp -m state --state ESTABLISHED,RELATED -j ACCEPT | ||
| + | iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p icmp\ | ||
| + | -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT | ||
| + | |||
| + | iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p icmp\ | ||
| + | -m state --state ESTABLISHED,RELATED -j ACCEPT | ||
| + | |||
| + | #décocher les deux règles ci-dessous si un serveur DNS n'est pas installé sur la passerelle | ||
| + | |||
| + | #iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p udp\ | ||
| + | # --dport 53 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT | ||
| + | |||
| + | #iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p udp\ | ||
| + | # --dport 53 -m state --state ESTABLISHED,RELATED -j ACCEPT | ||
| + | |||
| + | ##Règles icmp pour INPUT et OUTPUT | ||
| iptables -t filter -A INPUT -p icmp -i eth0 -m conntrack\ | iptables -t filter -A INPUT -p icmp -i eth0 -m conntrack\ | ||
| --ctstate ESTABLISHED,RELATED -j ACCEPT | --ctstate ESTABLISHED,RELATED -j ACCEPT | ||
