- 1. Nol Mac Formateur et Consultant indpendant expert Unix et
FOSS http://www.noelmace.comScurit du systmePare-feu et
NatingLicence Creative Commons Ce(tte) uvre est mise disposition
selon les termes de la Licence Creative Commons Attribution - Pas
dUtilisation Commerciale - Partage dans les Mmes Conditions 3.0
France.Linux LPIC2noelmace.com
2. Plan Netfilter Vocabulaire Tables Cibles Extensions de
correspondance Options des extensions de correspondance Extensions
de cibles traduction d'adresse rseau Options essentielles de
iptables Rgles simples Exemples de rgles simplesLinux
LPIC2noelmace.com 3. Netfilter Framework Pare-feu LinuxProjet lanc
en 1998Intgr Linux 2.3 en mars 2000 en remplacement de ipchains
(lui aussi dvelopp par Rusty Russell) Manipulable par divers
programmes en espace utilisateur Le plus courant tant iptables,
dvelopp par l'quipe Netfilter Linux LPIC2Mais il en existe
d'autres, comme ufw ou gufwnoelmace.com 4. Vocabulaire
lmentDfinitionChaneTrafic rseauxTableRegroupement de chanes par
catgorieRgleInstructions appliques un traficCibleAction effectue en
cas de validation d'une rgleStratgie (Policy)Cible par dfaut d'une
chaneLinux LPIC2noelmace.com 5. Tables tableusagechanes
INPUTFILTERFiltrage classiqueOUTPUT FORWARD
PREROUTINGNATTranslation d'ipPOSTROUTING OUTPUT
PREROUTINGMANGLEModification de paquetsRAWMarquage (ncessite le
module iptable_raw)Linux LPIC2OUTPUT PREROUTING OUTPUT noelmace.com
6. Cibles
cibleEffetACCEPTautorisationDROPdestructionQUEUEtransmission en
espace utilisateurRETURNcesser de parcourir la chane et retourner
dans la chane prcdente (appelante) en passant la rgle suivanteLinux
LPIC2noelmace.com 7. Options essentielles de iptables Cration d'une
rgle# iptables [-t table] -A chane rgle -j cible [options] #
iptables [-t table] -A chane rgle -j cible [options] Suppression
d'une rgle# iptables [-t table] -D chane {rgle|rglenum} [options] #
iptables [-t table] -D chane {rgle|rglenum} [options] Dfinition de
la rgle par dfaut (stratgie) d'une chaine# iptables [-t table] -P
chane cible [options] # iptables [-t table] -P chane cible
[options] Lister toutes les rgles d'une chane # iptables [-t table]
-L chane [options] # iptables [-t table] -L chane [options] Vider
une chane (supprime toutes les rgles d'une chane)# iptables [-t
table] -F chane [options] # iptables [-t table] -F chane [options]
Linux LPIC2noelmace.com 8. Rgles simples pour une interface
-iinterface: d'entre-o interface: pour une interface de sortie pour
une adresse ip -s adresse: source-d adresse: destinationLinux
LPIC2noelmace.com 9. Exemples de rgles simples Refuser tout les
paquets entrant via l'interface eth1 # iptables -A INPUT -i eth1 -j
DROP # iptables -A INPUT -i eth1 -j DROP Accepter tout les paquets
sortant via l'interface eth1 # iptables -A OUTPUT -o eth1 -j ACCEPT
# iptables -A OUTPUT -o eth1 -j ACCEPT Refuser tout les paquets en
entre provenant de 192.168.1.10 # iptables -A INPUT -s
192.168.1.10/24 -j DROP # iptables -A INPUT -s 192.168.1.10/24 -j
DROP Autoriser tout les paquets en sortie destination de
192.168.1.1 # iptables -A OUTPUT -d 192.168.1.1/24 -j ACCEPT #
iptables -A OUTPUT -d 192.168.1.1/24 -j ACCEPTLinux
LPIC2noelmace.com 10. Extensions de correspondance modules
additionnels de correspondance de paquets Peuvent tre chargs de
deux manires Implicitement - Option -p protocole ou --protocol
protocole udp, tcp, icmp ou allExplicitement - Option -m module ou
--match module Permettent d'utiliser des options supplmentaires, en
fonction du module Remarque : pour visualiser l'aide relative un
module, indiquez l'option correspondante suivie de -hLinux
LPIC2noelmace.com 11. Options des extensions de correspondance tcp
et udp --source-port [!] port[:port] icmp--destination-port [!]
port[:port] tcp --icmp-type [!] nom_du_type_icmp numrique ou par
nom (cf -h) state--tcp-flags [!] masque comp masques : SYN ACK FIN
RST URG PSH ALL NONE --state {NEW|ESTABLISHED|RELATED|
INVALID}sparation par des virgules[!] --synLinux LPIC2noelmace.com
12. Extensions de cibles modules de cible additionnels permettre de
nouvelles actions sur les paquets LOG : journalisation du paquet
REJECT : supprimer le paquet et rpondre par un paquet d'erreur
sorte de DROP verbeux traduction d'adresse rseau (NAT : Network
address translation) DNATSNATMASQUERADE Et bien d'autres (cf man
iptables-extensions)Linux LPIC2noelmace.com 13. traduction
d'adresse rseau Uniquement disponibles dans la table nat
modification de l'adresse de destination # iptables -t nat -A
{PREROUTING|OUTPUT} rgle# iptables -t nat -A {PREROUTING|OUTPUT}
rgle-j DNAT --to-destination adresse-ip[-adresse-ip][:port-port] -j
DNAT --to-destination adresse-ip[-adresse-ip][:port-port]
modification de l'adresse source personnalisable# iptables -t nat
-A POSTROUTING rgle# iptables -t nat -A POSTROUTING rgle-j SNAT
--to-source adresse-ip[-adresse-ip][:port-port] -j SNAT --to-source
adresse-ip[-adresse-ip][:port-port] masquerading : une seule ip
(celle du routeur)# iptables -t nat -A POSTROUTING rgle -j
MASQUERADE # iptables -t nat -A POSTROUTING rgle -j MASQUERADELinux
LPIC2noelmace.com 14. Ce quon a couvert Configuration du pare-feu
Netfilter sous GNU/Linux filtrageNAT et IP maqueradinglogging212.1
Configuring a router Weight: 3 Description: Candidates should be
able to configure a system to perform network address translation
(NAT, IP masquerading) and state its significance in protecting a
network. This objective includes configuring port redirection,
managing filter rules and averting attacks.Linux LPIC2noelmace.com
15. Licence Ce(tte) uvre (y compris ses illustrations, sauf mention
explicite) est mise disposition selon les termes de la Licence
Creative Commons Attribution - Pas dUtilisation Commerciale -
Partage dans les Mmes Conditions 3.0 France. Pour voir une copie de
cette licence, visitez
http://creativecommons.org/licenses/by-nc-sa/3.0/fr/ ou crivez :
Creative Commons, 444 Castro Street, Suite 900, Mountain View,
California, 94041, USA.Vous tes libre de: partager reproduire,
distribuer et communiquer cette uvreremixer adapter luvreSelon les
conditions suivantes : Attribution Vous devez clairement indiquer
que ce document, ou tout document driv de celui, est (issu de)
luvre originale de Nol Mac (noelmace.com) (sans suggrer qu'il vous
approuve, vous ou votre utilisation de luvre, moins d'en demander
expressment la permission).Pas dUtilisation Commerciale Vous navez
pas le droit dutiliser cette uvre des fins commerciales (ie.
l'intention premire ou l'objectif d'obtenir un avantage commercial
ou une compensation financire prive). Pour obtenir ce droit, une
autorisation explicite de l'auteur est requise.Partage dans les
Mmes Conditions Si vous modifiez, transformez ou adaptez cette
uvre, vous navez le droit de distribuer votre cration que sous une
licence identique ou similaire celle-ci.Pour toute demande de
collaboration, d'utilisation commerciale ou de publication de ce
support ou d'un driv de celui-ci sous une licence incompatible,
contacter l'auteur via les contacts indiqus sur le site
http://www.noelmace.com. Vous tes par ailleurs vivement encourag
(sans obligation lgale) communiquer avec celui-ci si vous ralisez
une uvre drive ou toute amlioration de ce support.Linux
LPIC2noelmace.com
