L'icône rouge permet de télécharger chaque page du wiki visitée au format PDF et la grise au format ODT →

Différences

Ci-dessous, les différences entre deux révisions de la page.

--- doc:reseau:iptables-pare-feu-pour-une-passerelle [16/11/2014 09:41]
Hypathie [Introduction]
+++ doc:reseau:iptables-pare-feu-pour-une-passerelle [24/09/2015 17:10]
milou [iptables: un pare-feu pour une passerelle]
@@ Ligne 4: / Ligne 4: @@
   * Niveau requis : {{tag> avisé}}
   * Commentaires : Fignoler le routage, installer un pare-feu sur une passerelle debian.
-  * Débutant, à savoir : [[:doc:systeme:commandes:le_debianiste_qui_papillonne|Utiliser GNU/Linux en ligne de commande, tout commence là !.]] :-)
+  * Suivi : {{tag>à-tester}}
-  * Suivi : {{tag>à-tester à-placer}}
     * Création par [[user>Hypathie]] 14/10/2014
     * Testé par <...> le <...> FIXME
@@ Ligne 15: / Ligne 14: @@
 ===== Introduction =====
-Pour ce qui concerne iptables, ce wiki prend la suite du wiki [[http://wiki.debian-facile.org/atelier:chantier:iptables-pare-feu-pour-un-client|iptables-pare-feu-pour-un-client]], où les connaissances de base sur les commandes iptables ont été abordées.\\
+Pour ce qui concerne iptables, ce wiki prend la suite du wiki [[doc:reseau:iptables-pare-feu-pour-un-client?&#sauvegarder-ses-reglest|iptables-pare-feu-pour-un-client]], où les connaissances de base sur les commandes iptables ont été abordées.\\
 Pour ce qui concerne les exemplifications qui vont suivre, je considérerai qu'une passerelle a été mise en place et que les commandes de base d'iptables sont connues.
@@ Ligne 376: / Ligne 375: @@
 iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p\
- tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
+ tcp -m state --state NEW,ESTABLISHED -j ACCEPT
 iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p\
- tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
+ tcp -m state --state ESTABLISHED -j ACCEPT
 </code>
@@ Ligne 390: / Ligne 389: @@
 Chain FORWARD (policy DROP)
 target     prot opt source               destination
-ACCEPT     tcp  --  192.168.1.0/24       anywhere             state NEW,RELATED,ESTABLISHED
+ACCEPT     tcp  --  192.168.1.0/24       anywhere             state NEW,ESTABLISHED
-ACCEPT     tcp  --  anywhere             192.168.1.0/24       state RELATED,ESTABLISHED
+ACCEPT     tcp  --  anywhere             192.168.1.0/24       state ESTABLISHED
 Chain OUTPUT (policy ACCEPT)
@@ Ligne 407: / Ligne 406: @@
   * Ce qui donne :
-<code>iptables -L</code>
+<code root>iptables -L FORWARD</code>
 <code>
-Chain INPUT (policy ACCEPT)
+Chain FORWARD (policy DROP)
 target     prot opt source               destination
+ACCEPT     tcp  --  192.168.1.0/24       anywhere             state NEW,ESTABLISHED
+ACCEPT     tcp  --  anywhere             192.168.1.0/24       state ESTABLISHED
+ACCEPT     icmp --  anywhere             anywhere
+</code>
+  * OU de manière plus précise :
+<code root>
+iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p icmp\
+ -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
+iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p icmp\
+ -m state --state ESTABLISHED,RELATED -j ACCEPT
+</code>
+  * Ce qui donnerait cette fois :
+<code>iptables -L FORWARD</code>
+<code>
 Chain FORWARD (policy DROP)
 target     prot opt source               destination
 ACCEPT     tcp  --  192.168.1.0/24       anywhere             state NEW,RELATED,ESTABLISHED
 ACCEPT     tcp  --  anywhere             192.168.1.0/24       state RELATED,ESTABLISHED
-ACCEPT     icmp --  anywhere             anywhere
+ACCEPT     icmp --  192.168.1.0/24       anywhere             state NEW,RELATED,ESTABLISHED
+ACCEPT     icmp --  anywhere             192.168.1.0/24       state RELATED,ESTABLISHED
-Chain OUTPUT (policy ACCEPT)
-target     prot opt source               destination
 </code>
@@ Ligne 476: / Ligne 490: @@
 > ping de l'un de ces ordi vers google est ok
-  * __Sans suivi de connexion__ :
+  * __Dans les deux sens d'une interface à l'autre__ :
   iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
@@ Ligne 495: / Ligne 509: @@
 > On autorise le passage de eth1 à eth0 et de eth0 à eth1
-  * __Avec suivi de connexion__ :
+  * __Avec suivi de connexion d'une interface à l'autre avec des règles différentes__ :
   iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
@@ Ligne 514: / Ligne 528: @@
 > Là encore la navigation est possible pour un ordi du sous-réseau 192.168.1.0/24
 > Et le ping fonctionne vers google et l'ordi 192.168.0.22 sans besoin d'ajouter de règle imcp car on a autorisé TOUS les protocoles
+**Enfin il est inutile d'ajouter une règle udp pour la résolution de nom si le serveur de nom est installé et correctement paramétré.**\\
+Dans le cas contraire on ajouterait :
+<code root>
+iptables -t filter -A FORWARD -p udp --dport 53 -j ACCEPT
+</code>
+Ou pour être plus précis :
+<code root>
+iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p udp\
+ --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
+iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p udp\
+ --dport 53 -m state --state ESTABLISHED -j ACCEPT
+</code>
 </note>
@@ Ligne 563: / Ligne 594: @@
 iptables -A OUTPUT -o eth1 -j ACCEPT
-#On garde nos règles concernant le DROP sur FORWARD (FILTER)
+##On garde nos règles concernant le DROP sur FORWARD (FILTER)
 #mais on oublie pas eth1 !
-/sbin/iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p\
+iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p\
- tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
+ tcp -m state --state NEW,ESTABLISHED -j ACCEPT
+iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p\
+ tcp -m state --state ESTABLISHED -j ACCEPT
+iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p icmp\
+ -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
+iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p icmp\
+ -m state --state ESTABLISHED,RELATED -j ACCEPT
+#décocher les deux règles ci-dessous si un serveur DNS n'est pas installé sur la passerelle
+#iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p udp\
+# --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
-/sbin/iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p\
+#iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p udp\
- tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
+# --dport 53 -m state --state ESTABLISHED -j ACCEPT
+##Règles icmp pour INPUT et OUTPUT
 iptables -t filter -A INPUT -p icmp -i eth0 -m conntrack\
  --ctstate ESTABLISHED,RELATED -j ACCEPT
@@ Ligne 588: / Ligne 634: @@
 iptables -t filter -A OUTPUT -o eth0 -p udp -m udp --dport 53\
- -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+ -m state --state NEW,ESTABLISHED -j ACCEPT
 iptables -t filter -A INPUT -i eth0 -p udp -m udp --sport 53\
- -m state --state RELATED,ESTABLISHED -j ACCEPT
+ -m state --state ESTABLISHED -j ACCEPT
 iptables -t filter -A OUTPUT -o eth1 -p udp -m udp --dport 53\
- -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+ -m state --state NEW,ESTABLISHED -j ACCEPT
 iptables -t filter -A INPUT -i eth1 -p udp -m udp --sport 53\
- -m state --state RELATED,ESTABLISHED -j ACCEPT
+ -m state --state ESTABLISHED -j ACCEPT
 iptables -t filter -A OUTPUT -o eth0 -p tcp -m multiport --dports\
-,443,8000 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+,443,8000 -m state --state NEW,ESTABLISHED -j ACCEPT
 iptables -t filter -A INPUT -i eth0 -p tcp -m multiport --sports\
-,443,8000 -m state --state RELATED,ESTABLISHED -j ACCEPT
+,443,8000 -m state --state ESTABLISHED -j ACCEPT
 iptables -A OUTPUT -o eth1 -p tcp -m multiport --dports 80,443,8000 -j ACCEPT
@@ Ligne 741: / Ligne 787: @@
 iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
-iptables -A FORWARD -i eth1 -o eth0 -d 192.168.1.0/24 -s 0.0.0.0/0\
+iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p tcp\
- -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
+ -m state --state NEW,ESTABLISHED -j ACCEPT
-iptables -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0\
+iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p tcp\
- -d 192.168.1.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT
+ -m state --state ESTABLISHED -j ACCEPT
-iptables -A FORWARD -i eth1 -o eth0 -p tcp -m multiport\
+#Si pas de DNS configurer on dé-commente les règles udp suivantes :
- --dports 80,443,8000 -j ACCEPT
-iptables -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0\
+#iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p udp\
- -d 192.168.1.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT
+# --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
+#iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p udp\
+# --dport 53 -m state --state ESTABLISHED -j ACCEPT
+iptables -t filter -A FORWARD -p icmp -j ACCEPT
 iptables -N icmp_packets
@@ Ligne 771: / Ligne 822: @@
 </code>
+> La navigation web fonctionne pour l'ordi B
+> Les ping de même
 ====DROP sur INPUT et OUTPUT (chaîne filter) ====
 Cette fois, il va falloir interdire (DROP) les chaînes INPUT et OUTPUT de la table FILTER excepté pour tous les protocoles dont on a besoin.\\
@@ Ligne 807: / Ligne 862: @@
 iptables -A OUTPUT -o eth1 -j ACCEPT
-# On garde nos règles concernant le DROP sur FORWARD (FILTER)
+# On garde nos règles concernant FORWARD (FILTER)
-# et on oublie pas eth1 !
-iptables -t filter -A FORWARD -i eth1 -o eth0 -d 192.168.1.0/24 -s 0.0.0.0/0\
+iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p tcp\
- -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
+ -m state --state NEW,ESTABLISHED -j ACCEPT
+iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p tcp\
+ -m state --state ESTABLISHED -j ACCEPT
+#Si pas de DNS configurer on dé-commente les règles udp suivantes :
+#iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p udp\
+# --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
-iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0\
+#iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p udp\
- -d 192.168.1.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT
+# --dport 53 -m state --state ESTABLISHED -j ACCEPT
 iptables -t filter -A FORWARD -p icmp -j ACCEPT
+# règles icmp sur INPUT et OUTPUT
 iptables -t filter -A INPUT -p icmp -i eth0 -m conntrack\
  --ctstate ESTABLISHED,RELATED -j ACCEPT
@@ Ligne 834: / Ligne 898: @@
 iptables -t filter -A OUTPUT -o eth0 -p udp -m udp --dport 53\
- -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+ -m state --state NEW,ESTABLISHED -j ACCEPT
 iptables -t filter -A INPUT -i eth0 -p udp -m udp --sport 53\
- -m state --state RELATED,ESTABLISHED -j ACCEPT
+ -m state --state ESTABLISHED -j ACCEPT
 iptables -t filter -A OUTPUT -o eth1 -p udp -m udp --dport 53\
- -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+ -m state --state NEW,ESTABLISHED -j ACCEPT
 iptables -t filter -A INPUT -i eth1 -p udp -m udp --sport 53\
- -m state --state RELATED,ESTABLISHED -j ACCEPT
+ -m state --state ESTABLISHED -j ACCEPT
 iptables -t filter -A OUTPUT -o eth0 -p tcp -m multiport --dports\
-,443,8000 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+,443,8000 -m state --state NEW,ESTABLISHED -j ACCEPT
 iptables -t filter -A INPUT -i eth0 -p tcp -m multiport --sports\
-,443,8000 -m state --state RELATED,ESTABLISHED -j ACCEPT
+,443,8000 -m state --state ESTABLISHED -j ACCEPT
 iptables -A OUTPUT -o eth1 -p tcp -m multiport --dports 80,443,8000 -j ACCEPT
@@ Ligne 1081: / Ligne 1145: @@
 /sbin/iptables -A INPUT -i eth1 -j ACCEPT
 /sbin/iptables -A OUTPUT -o eth1 -j ACCEPT
-#permettre le passage entre les deux interfaces eternet de la passerelle
+#permettre le passage de tcp entre les deux interfaces eternet de la passerelle
-/sbin/iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
+/sbin/iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p tcp\
-/sbin/iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT
+ -m state --state NEW,ESTABLISHED -j ACCEPT
+/sbin/iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p tcp\
+ -m state --state ESTABLISHED -j ACCEPT
+#Si pas de DNS configurer on dé-commente les règles udp suivantes :
+#iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -d 0.0.0.0/0 -p udp\
+# --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
+#iptables -t filter -A FORWARD -i eth0 -o eth1 -s 0.0.0.0/0 -d 192.168.1.0/24 -p udp\
+# --dport 53 -m state --state ESTABLISHED -j ACCEPT
+#autoriser le ping avec le sous-réseau 192.168.1.0/24
 /sbin/iptables -t filter -A FORWARD -p icmp -j ACCEPT
 #accepter le ping entre les réseaux locaux
 /sbin/iptables -t filter -A INPUT -p icmp -i eth0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
@@ Ligne 1126: / Ligne 1200: @@
 /sbin/iptables -A syn_flood -j DROP
 #autoriser la connexion avec les serveurs DNS
-/sbin/iptables -t filter -A OUTPUT -o eth0 -p udp -m udp --dport 53 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+/sbin/iptables -t filter -A OUTPUT -o eth0 -p udp -m udp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
-/sbin/iptables -t filter -A INPUT -i eth0 -p udp -m udp --sport 53 -m state --state RELATED,ESTABLISHED -j ACCEPT
+/sbin/iptables -t filter -A INPUT -i eth0 -p udp -m udp --sport 53 -m state --state ESTABLISHED -j ACCEPT
-/sbin/iptables -t filter -A OUTPUT -o eth1 -p udp -m udp --dport 53 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+/sbin/iptables -t filter -A OUTPUT -o eth1 -p udp -m udp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
-/sbin/iptables -t filter -A INPUT -i eth1 -p udp -m udp --sport 53 -m state --state RELATED,ESTABLISHED -j ACCEPT
+/sbin/iptables -t filter -A INPUT -i eth1 -p udp -m udp --sport 53 -m state --state ESTABLISHED -j ACCEPT
 #autoriser la navigation web
-/sbin/iptables -t filter -A OUTPUT -o eth0 -p tcp -m multiport --dports 80,443,8000 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+/sbin/iptables -t filter -A OUTPUT -o eth0 -p tcp -m multiport --dports 80,443,8000 -m state --state NEW,ESTABLISHED -j ACCEPT
-/sbin/iptables -t filter -A INPUT -i eth0 -p tcp -m multiport --sports 80,443,8000 -m state --state RELATED,ESTABLISHED -j ACCEPT
+/sbin/iptables -t filter -A INPUT -i eth0 -p tcp -m multiport --sports 80,443,8000 -m state --state ESTABLISHED -j ACCEPT
 /sbin/iptables -A OUTPUT -o eth1 -p tcp -m multiport --dports 80,443,8000 -j ACCEPT
 /sbin/iptables -A INPUT -i eth1  -p tcp -m multiport --sports 80,443,8000 -j ACCEPT
 #Si le serveur cups est branché sur un ordinateur du réseau 192.168.0.0/24, par exemple sur 192.168.0.22
 # laisser décommenter les deux lignes suivantes :
-/sbin/iptables -A INPUT -i eth0 -s 192.168.0.22 -d 192.168.0.1 -p tcp --sport 631 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+/sbin/iptables -A INPUT -i eth0 -s 192.168.0.22 -d 192.168.0.1 -p tcp --sport 631 -m state --state NEW,ESTABLISHED -j ACCEPT
-/sbin/iptables -A OUTPUT -o eth0 -s 192.168.0.1 -d 192.168.0.22 -p tcp --dport 631 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+/sbin/iptables -A OUTPUT -o eth0 -s 192.168.0.1 -d 192.168.0.22 -p tcp --dport 631 -m state --state NEW,ESTABLISHED -j ACCEPT
 #créer une chaîne utilisateur pour les connexion ssh, les loguer et les accepter
 /sbin/iptables -t filter -N InComingSSH
@@ Ligne 1227: / Ligne 1301: @@
 <code root>
 /sbin/iptables -A INPUT -i eth1 -p udp -m udp --sport 27000 -m\
- state --state NEW,RELATED,ESTABLISHED -j ACCEPT
+ state --state NEW,ESTABLISHED -j ACCEPT
 /sbin/iptables -A INPUT -i eth0 -p udp -m udp --sport 27000 -m\
- state --state RELATED,ESTABLISHED -j ACCEPT
+ state --state ESTABLISHED -j ACCEPT
 </code>

doc/reseau/iptables-pare-feu-pour-une-passerelle.txt · Dernière modification: 01/11/2015 18:20 par milou

Debian-facile

Différences

Pied de page des forums