« LINUX:Firewall » : différence entre les versions
Aucun résumé des modifications |
Aucun résumé des modifications |
||
| Ligne 16 : | Ligne 16 : | ||
Les fichiers de configurations se trouvent dans le répertoire "/etc/sysconfig". | Les fichiers de configurations se trouvent dans le répertoire "/etc/sysconfig". | ||
* iptables-config et ip6tables-config regroupent | * iptables-config et ip6tables-config regroupent les options de lancement du service respectivement pour IPV4 et IPV6 | ||
* iptables et ip6tables regroupent respectivement pour IPV4 et IPV6 | * iptables et ip6tables regroupent les règles à appliquer respectivement pour IPV4 et IPV6 | ||
Pour activer ces services respectivement pour IPV4 et IPV6, nous utilisons les commandes: | Pour activer ces services respectivement pour IPV4 et IPV6, nous utilisons les commandes: | ||
| Ligne 34 : | Ligne 34 : | ||
Nous nous focaliserons sur celui concernant IPV4. | Nous nous focaliserons sur celui concernant IPV4. | ||
Le protocole FTP, couramment utilisé sur Internet, est un peu spécial car il utilise en même temps deux ports, usuellement les 21 et 20. Il pose un gros problème pour le NAT. Cette spécifié nécessite de charger en mémoire des modules spéciaux qu'il faut spécifier. Ceci se fait dans le fichier de configuration "'''/etc/sysconfig/iptables-config'''". On y modifie la ligne suivante sans paramètres à l'origine en ajoutant les modules concernant FTP: | Le protocole FTP, couramment utilisé sur Internet, est un peu spécial car il utilise en même temps deux ports, usuellement les 21 et 20. Il pose aussi un gros problème pour le NAT. Cette spécifié nécessite de charger en mémoire des modules spéciaux qu'il faut spécifier. Ceci se fait dans le fichier de configuration "'''/etc/sysconfig/iptables-config'''". On y modifie la ligne suivante sans paramètres à l'origine en ajoutant les modules concernant FTP: | ||
---- | ---- | ||
IPTABLES_MODULES="'''ip_nat_ftp ip_conntrack_ftp nf_conntrack_ftp'''" | IPTABLES_MODULES="'''ip_nat_ftp ip_conntrack_ftp nf_conntrack_ftp'''" | ||
| Ligne 45 : | Ligne 45 : | ||
Il faut recharger ce paramètre système avec la commande: | Il faut recharger ce paramètre système avec la commande: | ||
sysctl -p /etc/sysctl.d/router.conf | sysctl -p /etc/sysctl.d/router.conf | ||
ou redémarrer la machine. | ou redémarrer la machine pour qu'il soit effectif. | ||
| Ligne 73 : | Ligne 73 : | ||
:OUTPUT ACCEPT [0:0] | :OUTPUT ACCEPT [0:0] | ||
:INPUT ACCEPT [0:0] | :INPUT ACCEPT [0:0] | ||
# | # Commentaires | ||
# | # | ||
# Bloc des règles personnelles | # Bloc des règles personnelles | ||
| Ligne 106 : | Ligne 106 : | ||
* OUTPUT: pour traiter tout le trafic sortant hors de la machine | * OUTPUT: pour traiter tout le trafic sortant hors de la machine | ||
* FORWARD: pour traiter tout le trafic transitant au travers de la machine, ce qui est le rôle principal d'un routeur | * FORWARD: pour traiter tout le trafic transitant au travers de la machine, ce qui est le rôle principal d'un routeur | ||
En début du fichier de commandes "/etc/sysconfig/iptables", on déclare ces chaînes de cette table avec une politique donnée au démarrage. | |||
---- | |||
*filter | |||
:OUTPUT ACCEPT [0:0] | |||
:INPUT ACCEPT [0:0] | |||
:FORWARD ACCEPT [0:0] | |||
# Commentaires | |||
# | |||
# Bloc des règles personnelles | |||
# | |||
COMMIT | |||
---- | |||
| Ligne 177 : | Ligne 190 : | ||
==Nouvelles connexions-statut NEW== | ==Nouvelles connexions-statut NEW== | ||
Passons ensuite aux nouvelles connexions. | Passons ensuite aux nouvelles connexions. | ||
Voici la partie du script qui vient en dessous dans le cas des schémas les plus simples présentés en premier lieu au chapitre "Principe". Par sécurité les deux interfaces "enp0s25" et "ppp0" sont | Voici la partie du script qui vient en dessous dans le cas des schémas les plus simples présentés en premier lieu au chapitre "Principe". Par sécurité les deux interfaces "enp0s25" et "ppp0" sont reprises ensemble. Ce script ne demande pas d'explications. | ||
---- | ---- | ||
# '''INPUT''' | # '''INPUT''' | ||
| Ligne 208 : | Ligne 221 : | ||
---- | ---- | ||
Les options suivantes signifient: | Les options suivantes signifient: | ||
* -s : désigne l'adresse IP ou la tranche d'adresses IP d'où vient le paquet | * -s : désigne l'adresse IP ou la tranche d'adresses IP d'où vient le paquet ('''s'''ource) | ||
* ! : signifie la négation donc " ! -s " signifie "ne venant pas de ces adresses IP" | * ! : signifie la négation donc " ! -s " signifie "ne venant pas de ces adresses IP" | ||