Le minimum c’est ça :
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
Pour ce qui est de mes rêgles je n’ai rien inventé j’ai pris ça d’un howto. D’après celui-ci ces deux rêgles suplémentaires bloquerait le scan de port furtif.
[quote=“MisterFreez”]Le minimum c’est ça :
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
Pour ce qui est de mes rêgles je n’ai rien inventé j’ai pris ça d’un howto. D’après celui-ci ces deux rêgles suplémentaires bloquerait le scan de port furtif.[/quote]
Vs avez raison ts les deux pour le minimum mais pour ton scan de port, si ta règle générale interdit tte entrée, je ne vois pas pourquoi une règle secondaire spécifique ferait mieux.
pour la règle reject, OK mais pas pour drop, il me semble.
Pour ceux qui utilisent la TV sur leur ordi via Free, il peut être indispensable d’ajouter la règle suivante :
Vs aurez compris qu’il faut remplacer “xx.yyy.zz.www” par votre IP
Merci à Kna de m’avoir indiqué cette règle.
Reste plus qu’a connaitre son adresse IP.
Cette commande permet de le savoir :
Je ne sais pas s’il y a plus simple… 
et en couplant le tout, ça doit donner un truc du genre:
/sbin/ifconfig | perl -anE 'if (/adr:/) {$F[1]=~ s/adr://g ; say grep {!/^127/} $F[1]}' | xargs iptables -A INPUT -s mafreebox.freebox.fr -p udp -m state --state ! INVALID -j ACCEPT -d(pas testé)
[quote=“MisterFreez”]Reste plus qu’a connaitre son adresse IP.
Cette commande permet de le savoir :
Je ne sais pas s’il y a plus simple… [/quote]
sur le web, il y a plusieurs sites qui te la donne, en voilà un :
whatsmyip.org/
Pour celles et ceux qui se posent des questions sur les chaînes input, output, forward, j’avais créé il y a quelques temps les pages suivantes, que je viens d’actualiser :
Fonctionnement du parefeu sous Linux
Configuration globale du parefeu
C’est plutôt une introduction, c’est très schématique.
Une critique sur le script de Ricardo, au lieu de du mot clé “clean”, je mettrais plutôt “passthrough”, ensuite tu pourrais rajouter un mode “panic” qui ne laisse qu’un accès très restreint 
Perso, je suis plus orienté script et fonctions avec chargement d’addons… mes derniers scripts donnaient un truc du genre :
#! /bin/sh
LOOPBACK_INTERFACE="lo"
LOOPBACK_NETWORK="127.0.0.0/8"
IPTABLES="/usr/sbin/$IPTABLES"
FW_CONF="/etc/firewall/firewall.conf"
PWD=`pwd`
cd /etc/firewall
. /etc/firewall/fw-functions # ma bibliotheque de fonctions
/etc/firewall/clean.sh # je supprime toutes les chaines et règles existantes
/etc/firewall/chains.sh # je crée mes chaines personnelles
# définition de la police par défaut, tout est en drop
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT
#partage de la connexion Internet car ma machine est une passerelle
$IPTABLES -t nat -A POSTROUTING -s $INTERNAL_NETWORK -o $EXTERNAL_INTERFACE -j S
NAT --to $EXTERNAL_IP
echo 1 >/proc/sys/net/ipv4/ip_forward
$IPTABLES -A INPUT -i $INTERNAL_INTERFACE -s $INTERNAL_NETWORK -j ACCEPT
$IPTABLES -A OUTPUT -o $INTERNAL_INTERFACE -d $INTERNAL_NETWORK -j ACCEPT
# tout ce qui vient sur les chaines INPUT ou OUTPUT pour les protos TCP ou UDP
# je l'envoie sur les chaines LnD (D pour Drop) ou LnR (R pour Reject)
$IPTABLES -A INPUT -i $EXTERNAL_INTERFACE -p TCP -s $ANYWHERE -j LnD
$IPTABLES -A OUTPUT -o $EXTERNAL_INTERFACE -p TCP -s $ANYWHERE -j LnR
$IPTABLES -A INPUT -i $EXTERNAL_INTERFACE -p UDP -s $ANYWHERE -j LnD
$IPTABLES -A OUTPUT -o $EXTERNAL_INTERFACE -p UDP -s $ANYWHERE -j LnR
$IPTABLES -A INPUT -i $EXTERNAL_INTERFACE -p ICMP -s $ANYWHERE -j ACCEPT
$IPTABLES -A OUTPUT -o $EXTERNAL_INTERFACE -p ICMP -s $ANYWHERE -j ACCEPT
# et je charge des "addons"
addons/dns.sh
addons/http_client.sh
addons/news.sh
addons/mail.sh
addons/mail_server.sh
addons/ntp.sh
addons/free_services.sh
addons/peertv.sh
echo "[ Termine ]"
cd $PWDEt les addons ressemblent à :
#! /bin/sh
. /etc/firewall/fw-functions
protection off
echo addon dns
client_rule add UDP 53
protection onToute la complexité vient de la définition des variables dans le fichier “firewall.conf” et des addons…
En gros, je suis pour l’exploitabilité du pare-feu… plus on développe de services sur son réseau, plus ça peut devenir compliqué à gérer des règles “iptables”…
Je ferais deux remarques :
[ol]
[li]ce tuto est un “pour les nuls” d’où la non gestion de serveur sur la machine ;[/li]
[li]quitte à être modulaire tu pourrais avoir une interface pour les utiliser facilement par exemple gérer la liste des addons à la volée (sans avoir à remodifier ton script à chaque fois).
Tu gère un argument “-v” pour la liste des addons, "-a " pour activer l’addon et "-d " pour retirer l’addon (d’ailleurs tu na rien pour désactiver un addon).[/li][/ol]
Tout à fait, le but est la “simplification” pour la création de nouvelle règle pour le pare-feu (le côté “pour les nuls”). Ensuite pour la gestion, en effet il faut développer le script. Pour être tout à fait complet, dans le répertoire /etc/firewall, j’ai d’autres scripts dont un panic.sh par exemple. Ensuite, j’ai un /etc/init.d/firewall avec les variables start | stop, etc qui font appel à ces scripts.
Les fonctions qui sont déclarées dans le fichier “/etc/firewall/fw-functions” gèrent les paramètres “-a” et “-d” car j’avais prévu l’ajout et le retrait des addons (d’où le “client add” dans l’addon)… mais bon… j’ai fini par partir sur un autre projet.
Pour ma part, c’est plus simple à administrer qu’un fichier de 32k remplit de règles IPTables…
La fonction client_rule :
client_rule() {
command=$1
protocole=$2
port=$3
DO="-A"
if [ "$command" = "del" ]
then
DO="-D"
fi
$IPTABLES $DO OUTPUT -o $EXTERNAL_INTERFACE -p $protocole \
--sport $UNPRIVPORTS --dport $port -s $EXTERNAL_IP -d $ANYWHERE -j ACCEPT
$IPTABLES $DO INPUT -i $EXTERNAL_INTERFACE -p $protocole -m state --state ESTABLISHED,RELATED \
--sport $port --dport $UNPRIVPORTS -s $ANYWHERE -d $EXTERNAL_IP -j ACCEPT
}Mais il t’a déjà été répondu que ce tuto ne se veut pas complet mais minimal et simplissime.
On sait très bien qu’il y a des lacunes et qu’il peut être complété mais ce n,'est pas le but ici.
C’est un tuto pour un débutant qui veut quand même avoir un minimum de protection sans trop se creuser la tête.
Ensuite, quand ledit débutant devient plus “pointu”, il s’adresse à toi, OK ? :smt003
Je crois qu’il y a un malentendu 
Si j’apporte une critique, j’espère qu’elle est simplement constructive et elle est purement sur la forme. Je ne suis pas un ‘pro’ de iptables, c’est pour cela que j’ai préféré créer des scripts qui créent les règles automatiquement.
Donc je répète, j’ai critiqué la forme.
Maintenant sur le fond, il aurait été peut être plus judicieux de nommer le post “comprendre IPTables pour les nuls” et à ce moment là, je ne me serais pas permis de dire qu’il y avait peut être moyen de rendre les choses plus ‘transparentes’.
En aucun cas je ne me pose en “sauveur du monde” et on a tous à apprendre et à améliorer notre compréhension. J’ai peut être été hors sujet et si vous avez mal pris mon intervention alors je vous prie de m’excuser.
Aucunement vexé, je te l’assure et ton intervention est louable.
Je ne fais que trouver un supplément de complication qui risque de rebuter le débutant.
La discussion est ouverte dans ce fil et tes messages y ont leur place.
En fait en lisant tout ça je me suis dit qu’il était facile de faire un script simple pour faire un parefeu pour monsieur tout le monde. Ci dessous est le premier jet. J’ai pensé à la situation de M. tout le monde avec une box. J’ai essayé de penser au plus courant dont notamment
[code]# pas de parano, OUTPUT et FORWARD en ACCEPT
initialisation OUTPUT FORWARD
passerelle
inputok tcp pop3s pop3 ftp smtp www ssh https
inputok udp bootpc bootps ntp domain
limiteport ssh 5 90
limiteport ftp 10 90
limiteport pop3 5 90
redirige tcp 4662 2
redirige udp 4672 2
redirige udp 4665 2
redirige 6112 tcp 2
redirige 6112 udp 2
redirige 4000 tcp 2
redirige 4000 udp 2
redirigeserveur 27016 udp 2
potes 212.27.38.253
fromto 212.27.38.253 tcp 2
fromto 212.27.38.253 udp 2
redirigeserveur www tcp 3
sortie tcp smtp 2 3 d 193.251.214.114[/code]
[code]#!/bin/sh
IF_EXT=eth1
IF_LAN=eth0
LAN=192.168.1
IP=82.66.248.156
MOI=1
IP_LAN=$LAN.$MOI
IPTABLES=“iptables”
RESTRICT="-m state --state NEW,ESTABLISHED,RELATED "
#############################################################
#############################################################
#############################################################
port () {
unset PRT
PRT=grep -E "^$1[^a-zA-Z]" /etc/services | sed -e '1,$s|^.*[\t| ]\([0-9]*\)/.*$|\1|' | head -n 1
if [ ! -z $PRT ] ; then
RES=$PRT
else
RES=$1
fi
}
#############################################################
#############################################################
#############################################################
redirigeserveur () {
port $1
PORT=$RES
if [ -z $4 ] ; then
PDEST=$PORT
else
port $4
PDEST=$RES
fi
$IPTABLES -t nat -A PREROUTING $RESTRICT -p $2 --dport $PORT -j DNAT -i $IF_LAN -d $IP --to $LAN.$3:$PDEST
$IPTABLES -t nat -A PREROUTING $RESTRICT -p $2 --dport $PORT -j DNAT -i $IF_EXT --to $LAN.$3:$PDEST
$IPTABLES -t nat -A POSTROUTING -o $IF_LAN -p $2 --dport $PORT -s $LAN.0/24 -j MASQUERADE
}
#############################################################
redirige () {
port $1
PORT=$RES
if [ -z $4 ] ; then
PDEST=$PORT
else
port $4
PDEST=$RES
fi
unset ORIGINE
if [ ! -z $5 ] ; then
ORIGINE="-s $5"
fi
$IPTABLES -t nat -A PREROUTING $RESTRICT -p $2 --dport $PORT -j DNAT -i $IF_EXT $ORIGINE --to $LAN.$3:$PDEST
}
#############################################################
fromto () {
$IPTABLES -t nat -A PREROUTING -p $2 -i $IF_EXT -s $1 -j DNAT --to $LAN.$3
}
#############################################################
#############################################################
#############################################################
limiteport () {
port $1
PORT=$RES
$IPTABLES -I INPUT -i $IF_EXT -p tcp --dport $PORT -m state --state NEW -m recent --set
$IPTABLES -I INPUT -i $IF_EXT -p tcp --dport $PORT -m state --state NEW -m recent --update --seconds $3 --hitcount $2 -j DROP
}
#############################################################
interdit () {
PROT=$2
port $1
PORT=$RES
shift
shift
for m in $* ; do
$IPTABLES -A INPUT -p $PROT $RESTRICT --dport $PORT -i $IF_EXT -s $m -j ACCEPT
done
$IPTABLES -A INPUT -p $PROT --dport $PORT -i $IF_EXT -j DROP
}
#############################################################
accepte () {
PROT=$2
port $1
PORT=$RES
shift
shift
for m in $* ; do
$IPTABLES -A INPUT -p $PROT --dport $PORT -i $IF_EXT -s $m -j DROP
done
$IPTABLES -A INPUT -p $PROT $RESTRICT --dport $PORT -i $IF_EXT -j ACCEPT
}
#############################################################
inputok () {
PROT=$1
shift
while [ ! -z $1 ] ; do
port $1
PORT=$RES
shift
if [ ! -z $1 ] && [ $1 = “s” ] ; then
while [ ! -z $1 ] && [ $1 = “s” ] ; do
shift
DEST="-s $1"
shift
$IPTABLES -A INPUT $RESTRICT -p $PROT $DEST --dport $PORT -j ACCEPT
done
else
$IPTABLES -A INPUT $RESTRICT -p $PROT --dport $PORT -j ACCEPT
fi
done
}
#############################################################
potes () {
while [ ! -z $1 ] ; do
$IPTABLES -A INPUT $RESTRICT -s $1 -j ACCEPT
shift
done
}
#############################################################
#############################################################
#############################################################
outputok () {
unset $TABLE
if [ $1 = “forward” ] ; then
TABLE=FORWARD
shift
else
TABLE=OUTPUT
fi
PROT=$1
shift
while [ ! -z $1 ] ; do
port $1
PORT=$RES
shift
if [ ! -z $1 ] && [ $1 = “d” ] ; then
while [ ! -z $1 ] && [ $1 = “d” ] ; do
shift
DEST="-d $1"
shift
$IPTABLES -A $TABLE $RESTRICT -p $PROT $DEST --dport $PORT -j ACCEPT
done
else
$IPTABLES -A $TABLE $RESTRICT -p $PROT --dport $PORT -j ACCEPT
fi
done
}
#############################################################
machinesures () {
while [ ! -z $1 ] ; do
$IPTABLES -A FORWARD $RESTRICT -s $1 -j ACCEPT
shift
done
}
destinationsures () {
while [ ! -z $1 ] ; do
$IPTABLES -A OUTPUT $RESTRICT -d $1 -j ACCEPT
shift
done
}
#############################################################
sortielimite () {
MACHINE=$LAN.$1
DEST="“
shift
PROT=$1
shift
PROT=tcp
while [ ! -z $1 ] ; do
if [ $1 = “tcp” ] || [ $1 = “udp” ] ; then
PROT=$1
DEST=”“
shift
elif [ $1 = “d” ] ; then
shift
DEST=”-d $1"
shift
else
port $1
PORT=$RES
shift
$IPTABLES -A FORWARD -s $MACHINE $DEST -p $PROT --dport $PORT -j ACCEPT
fi
done
$IPTABLES -A FORWARD -s $MACHINE -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A FORWARD -s $MACHINE -j DROP
}
#############################################################
#############################################################
#############################################################
passerelle () {
$IPTABLES -t nat -A POSTROUTING -o $IF_EXT -j MASQUERADE
}
#############################################################
sortie () {
PROT=$1
shift
port $1
PORT=$RES
shift
while [ ! -z $1 ] ; do
SOURCE=$LAN.$1
shift
if [ ! -z $1 ] && [ $1 = “d” ] ; then
shift
DEST="-d $1"
shift
else
unset DEST
fi
$IPTABLES -t nat -A PREROUTING $RESTRICT -p $PROT -s $SOURCE $DEST -i $IF_LAN --dport $PORT -j ACCEPT
done
$IPTABLES -t nat -A PREROUTING -p $PROT --dport $PORT -i $IF_LAN -d $IP_LAN -j ACCEPT
$IPTABLES -t nat -A PREROUTING -p $PROT --dport $PORT -i $IF_LAN -d $IP -j ACCEPT
$IPTABLES -t nat -A PREROUTING -p $PROT --dport $PORT -i $IF_LAN -j DROP
}
#############################################################
#############################################################
#############################################################
initialisation () {
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "16384" > /proc/sys/net/ipv4/ip_conntrack_max OUTPUT=DROP
INPUT=DROP
FORWARD=DROP
while [ ! -z $1 ] ; do
if [ $1 = OUTPUT ] ; then
OUTPUT=ACCEPT
fi
if [ $1 = INTPUT ] ; then
INTPUT=ACCEPT
fi
if [ $1 = FORWARD ] ; then
FORWARD=ACCEPT
fi
shift
done
$IPTABLES -F INPUT
$IPTABLES -F OUTPUT
$IPTABLES -F FORWARD
$IPTABLES -F INPUT
$IPTABLES -t nat -F
$IPTABLES -P INPUT $INPUT
$IPTABLES -P OUTPUT $OUTPUT
$IPTABLES -P FORWARD $FORWARD
if [ $INPUT = DROP ] ; then
$IPTABLES -A INPUT -i $IF_LAN -j ACCEPT
$IPTABLES -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A INPUT -p icmp -j ACCEPT
fi
if [ $OUTPUT = DROP ] ; then
$IPTABLES -A OUTPUT -o $IF_LAN -j ACCEPT
$IPTABLES -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT
$IPTABLES -A OUTPUT -p icmp -j ACCEPT
fi
if [ $FORWARD = DROP ] ; then
$IPTABLES -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A FORWARD -p icmp -j ACCEPT
fi
}
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
#############################################################
initialisation OUTPUT FORWARD
passerelle
inputok tcp pop3s pop3 ftp smtp www ssh https
inputok udp bootpc bootps ntp domain
limiteport ssh 5 90
limiteport ftp 10 90
limiteport pop3 5 90
redirige tcp 4662 2
redirige udp 4672 2
redirige udp 4665 2
redirige 6112 tcp 2
redirige 6112 udp 2
redirige 4000 tcp 2
redirige 4000 udp 2
redirigeserveur 27016 udp 2
potes 212.27.38.253
fromto 212.27.38.253 tcp 2
fromto 212.27.38.253 udp 2
redirigeserveur www tcp 3
sortie tcp smtp 2 3 d 193.251.214.114
[/code]
Les règles obtenues:
[quote]iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD
iptables -F INPUT
iptables -t nat -F
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 995 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 110 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 25 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 68 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 67 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 123 -j ACCEPT
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 53 -j ACCEPT
iptables -I INPUT -i eth1 -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -I INPUT -i eth1 -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 90 --hitcount 5 -j DROP
iptables -I INPUT -i eth1 -p tcp --dport 21 -m state --state NEW -m recent --set
iptables -I INPUT -i eth1 -p tcp --dport 21 -m state --state NEW -m recent --update --seconds 90 --hitcount 10 -j DROP
iptables -I INPUT -i eth1 -p tcp --dport 110 -m state --state NEW -m recent --set
iptables -I INPUT -i eth1 -p tcp --dport 110 -m state --state NEW -m recent --update --seconds 90 --hitcount 5 -j DROP
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p 4662 --dport tcp -j DNAT -i eth1 --to 192.168.1.2:tcp
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p 4672 --dport udp -j DNAT -i eth1 --to 192.168.1.2:udp
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p 4665 --dport udp -j DNAT -i eth1 --to 192.168.1.2:udp
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 6112 -j DNAT -i eth1 --to 192.168.1.2:6112
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 6112 -j DNAT -i eth1 --to 192.168.1.2:6112
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 4000 -j DNAT -i eth1 --to 192.168.1.2:4000
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 4000 -j DNAT -i eth1 --to 192.168.1.2:4000
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 27016 -j DNAT -i eth0 -d 82.66.248.156 --to 192.168.1.2:27016
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p udp --dport 27016 -j DNAT -i eth1 --to 192.168.1.2:27016
iptables -t nat -A POSTROUTING -o eth0 -p udp --dport 27016 -s 192.168.1.0/24 -j MASQUERADE
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -s 212.27.38.253 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i eth1 -s 212.27.38.253 -j DNAT --to 192.168.1.2
iptables -t nat -A PREROUTING -p udp -i eth1 -s 212.27.38.253 -j DNAT --to 192.168.1.2
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 80 -j DNAT -i eth0 -d 82.66.248.156 --to 192.168.1.3:80
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 80 -j DNAT -i eth1 --to 192.168.1.3:80
iptables -t nat -A POSTROUTING -o eth0 -p tcp --dport 80 -s 192.168.1.0/24 -j MASQUERADE
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p tcp -s 192.168.1.2 -i eth0 --dport 25 -j ACCEPT
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p tcp -s 192.168.1.3 -d 193.251.214.114 -i eth0 --dport 25 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 25 -d 192.168.1.1 -i eth0 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 25 -d 82.66.248.156 -i eth0 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 25 -i eth0 -j DROP
[/quote]
faut que je réflesse un peu 
ouais donc en fait ce que je voulais dire… c’est qu’il vaut mieux éviter de mettre comme politique par défaut “ACCEPT” dans la chaîne FORWARD, c’est mal.
du coup tes règles en input ne sont pas utiles (tu devrais le voir avec un iptables -nvL, les compteurs devraient être à 0).
Schéma NetFilter
Tu fais du DNAT, dans le noeud de PREROUTING :
iptables -t nat -A PREROUTING -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 80 -j DNAT -i eth0 -d 82.66.248.156 --to 192.168.1.3:80De fait, l’adresse 82.66.248.156 est changée en 192.168.1.3 avant de passer dans la chaîne “INPUT” (regardes bien le schéma). Ensuite, eh bien le noyau applique le processus de routage et envoie dans le noeud “FORWARD” car cela ne va pas à destination de ses processus locaux. Or tu ne filtres RIEN dans ta chaîne FORWARD !
iptables -P FORWARD ACCEPTMême s’il semble que tu ne puisses passer dans la chaîne FORWARD que les nouvelles sessions, les établies, etc… 
Il y a d’autres règles qui me perturbent.
Disons simplement que sur le principe, c’est pas bien, car de plus tu autorises tout ton LAN à sortir par n’importe quel protocole, sans aucun filtrage, rien…
[quote=“Raum”] faut que je réflesse un peu
ouais donc en fait ce que je voulais dire… c’est qu’il vaut mieux éviter de mettre comme politique par défaut “ACCEPT” dans la chaîne FORWARD, c’est mal.
[/quote]
Ça dépend le contexte, pourquoi diable quand il s’agit d’un LAN où chaque machine est de confiance (en gros ta maison…). Cf plus bas.
[quote]
du coup tes règles en input ne sont pas utiles (tu devrais le voir avec un iptables -nvL, les compteurs devraient être à 0).[/quote]
Ben non, ça marche bien, et ces règles sont utiles
Là tu n’as pas compris la règle, il s’agit d’une machine (mettons 192.168.1.25) du LAN qui interroge le serveur via son IP publique. La connexion va passer à la passerelle, si cela renvoit sur 192.168.1.3, ce dernier va répondre froidement à 192.168.1.25 qui verra donc revenir un paquet de 192.168.1.3 alors qu’il veut établir une connexion avec 82.66.248.156, la connexion ne se fera pas. Il est donc impératif de faire du masquerading afin 192.168.1.3 repasse par la passerelle et que 192.168.1.25 recoivent bien une réponse venant de la machine 82.66.248.156.
Pour le reste, vu que c’est une machine du LAN, ça n’est pas filtré, tout va bien.
[quote]
Même s’il semble que tu ne puisses passer dans la chaîne FORWARD que les nouvelles sessions, les établies, etc… Il y a d’autres règles qui me perturbent.
Disons simplement que sur le principe, c’est pas bien, car de plus tu autorises tout ton LAN à sortir par n’importe quel protocole, sans aucun filtrage, rien…[/quote]
Là encore il faut relire le titre du fil.
Sinon, il y a une fonction (sortielimite) que j’ai rajouté pour ceux qui ont FON chez eux derrière leur parefeu (mon cas).
Pour limiter un peu sans être draconien les ports, j’ai mis ceci comme règles:
# FON: tout de 1 à 1023 sauf SMTP, 1937 = port FONERA
sortielimite 240 tcp 1:24 26:1023 \
8080 aol svn openvpn cvspserver mysql vnetd msnp 6891 4000 1937 \
udp 1:1023 aol svn openvpn cvspserver mysql msnp 6891 6112 1812 1813
Attention à autoriser le port 1937 en TCP et les ports 1812,1813 en UDP sinon la fonera ne pourra pas se signaler et le point d’accès ne sera pas répertorié.
salut tout le monde,
je suis nouveau sur ce forum et je suis passé récemment de ubuntu à debian
je voudrais savoir si ce qui est dit page 1 (à savoir que le pare feu n’est pas configuré par défaut) est valable sur debian 5.0
merci d’avance
[quote=“Ashgenesis”]Je me suis amusé à faire un petit script qui initialise les règles iptables et qui utilise iptables-save
Le script est à lancer une seule fois et sous root
[code]#!/bin/sh
#########################
#cp ./firewall.sh /etc/init.d/firewall.sh
echo -e "#!/bin/sh
case “$1” in
’start’)
/sbin/iptables-restore < /etc/firewall.conf
RETVAL=$?
;;
‘stop’)
/sbin/iptables-save > /etc/firewall.conf
RETVAL=$?
;;
‘clean’)
/sbin/iptables -t filter -F
/sbin/iptables -t nat -F
/sbin/iptables -t mangle -F
/sbin/iptables -t raw -F
/sbin/iptables -t filter -P INPUT ACCEPT
/sbin/iptables -t filter -P OUTPUT ACCEPT
/sbin/iptables -t filter -P FORWARD ACCEPT
/sbin/iptables -t nat -P PREROUTING ACCEPT
/sbin/iptables -t nat -P POSTROUTING ACCEPT
/sbin/iptables -t nat -P OUTPUT ACCEPT
/sbin/iptables -t mangle -P PREROUTING ACCEPT
/sbin/iptables -t mangle -P OUTPUT ACCEPT
/sbin/iptables -t mangle -P POSTROUTING ACCEPT
/sbin/iptables -t mangle -P FORWARD ACCEPT
/sbin/iptables -t mangle -P INPUT ACCEPT
/sbin/iptables -t raw -P OUTPUT ACCEPT
/sbin/iptables -t raw -P PREROUTING ACCEPT
RETVAL=$?
;;
‘restart’)
$0 stop && $0 start
RETVAL=$?
;;
‘status’)
/sbin/iptables-save
RETVAL=$?
;;
*)
echo "Usage: $0 { start | stop | restart | clean | status }“
RETVAL=1
;;
esac
exit $RETVAL
” > /etc/init.d/firewall.sh
#####################################
iptables -t filter -F
iptables -t nat -F
iptables -t mangle -F
iptables -t raw -F
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT ACCEPT
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#####################################
#####################################
iptables-save > /etc/firewall.conf
chmod +x /etc/init.d/firewall.sh
update-rc.d firewall.sh defaults 19 21
[/code][/quote]
j’ai suivi le tuto et je suis un peu bloqué là
comment on lance ce script svp
[quote=“titi_le_boss”]salut tout le monde,
je suis nouveau sur ce forum et je suis passé récemment de ubuntu à debian
je voudrais savoir si ce qui est dit page 1 (à savoir que le pare feu n’est pas configuré par défaut) est valable sur debian 5.0
merci d’avance[/quote]
Valable pour etch, lenny, squeez et la Sid actuelle.
Ils sont entrain de changer tout ça dans le noyau mais ce ne seras pas en place avant deux ans je pense. Donc encore deux ans de validité.
erf ok…
dommage
[quote=“titi_le_boss”]erf ok…
dommage[/quote]
