Iptables

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Iptables

angelo78

Bonjour à tous ,

dans le cadre de mes études je suis amené à faire un projet dans lequel je dois faire un firewall

En cours on a étudié iptables (enfin on a été amener à faire des recherches sur google pour trouver comment ca marche :pt1cable: )

j'ai donc trouvé plusieur script mais je n'ai pas tout compris :heink: oui pas tres doué le type :sweat:

enfin voila si vous pourriez m'indiquer un script pour autoriser certain port et en enlever d'autre cela m'aiderai déjà pas mal

perso je pensais tout refusé

Code :

#Remise à zero
iptables -F
iptables -t nat -F
iptables -t nat -X
# Nous les faisons pointer par défaut sur DROP
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

puis authoriser certain port

Code :

#On accept le port 80
iptables -A INPUT -P tcp --dport 80 -j ACCEPT

cela est il suffissant ? que rajouté ?

puis une fois le script achevé ou le mettre ? j'ai lu /etc/rc.d/init.d mais aussi une histoire avec iptables-save

je suis un peu - beaucoup perdu

Publicité

SpN

BF4: Joorem

Y'a ce tuto, si ça peut t'aider : http://people.via.ecp.fr/~alexis/f [...] ewall.html

simple_stupid

Keep It Simple Stupid

Code :

#Remise à zero
iptables -F
iptables -t nat -F
iptables -t nat -X
# Nous les faisons pointer par défaut sur DROP
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

puis authoriser certain port

Code :

#On accept le port 80
iptables -A INPUT -P tcp --dport 80 -j ACCEPT

Ouais, déjà ce serait mieux comme ça:

Code :

#On accept le port 80
iptables -A INPUT -p tcp --dport www -j ACCEPT

ok, t'acceptes le trafic entrant. Si tu n'autorises pas les répondes, tu ne vas pas aller loin...

Code :

#On accept le port 80
iptables -A OUTPUT -m state --state ESTABLISHED -p tcp --sport www -j ACCEPT

dam1330

...

faudrait pas plutot faire l'inverse ?

iptables -A OUTPUT -p tcp --sport www -j ACCEPT
iptables -A INTPUT -m state --state ESTABLISHED -p tcp --dport www -j ACCEPT

Message cité 1 fois
Message édité par dam1330 le 15-06-2006 à 13:48:29

angelo78

sudo iptables -A INTPUT -m state --state ESTABLISHED -p tcp --dport www -j ACCEPT

iptables: No chain/target/match by that name

Cette comande semble ne pas marché ...

macfennec

Zorro del Sáhara

INPUT pas INTPUT

angelo78

vraiment désolé j'dois vraiment être fatigué

simple_stupid

Keep It Simple Stupid

dam1330 a écrit :

faudrait pas plutot faire l'inverse ?

iptables -A OUTPUT -p tcp --sport www -j ACCEPT
iptables -A INTPUT -m state --state ESTABLISHED -p tcp --dport www -j ACCEPT

Ca dépend si tu es le client ou bien le serveur ;-)

l0ky

non serveur c'est

-A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
-A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

et client

-A INPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT

Message cité 1 fois
Message édité par l0ky le 15-06-2006 à 16:10:21

angelo78

ok merci

j'ai pas eu la réponse à cette question :

puis une fois le script achevé ou le mettre ?
j'ai lu /etc/rc.d/init.d mais aussi une histoire avec iptables-save

Message cité 2 fois

Publicité

simple_stupid

Keep It Simple Stupid

l0ky a écrit :

non serveur c'est

-A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
-A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

Ouais, enfin si tu n'acceptes que les paquets ayant le flag SYN (NEW quoi), tu ne pourras pas faire grand chose non plus. Une fois que ta connexion est établie, il faut bien échanger des paquets dans les 2 sens.

angelo78 a écrit :

ok merci

j'ai pas eu la réponse à cette question :

puis une fois le script achevé ou le mettre ?
j'ai lu /etc/rc.d/init.d mais aussi une histoire avec iptables-save

Si t'es sous Debian, dans /etc/network/if-pre-up.d/

Sinon, comme les autres scripts...

Message cité 1 fois
Message édité par simple_stupid le 15-06-2006 à 16:45:47

angelo78

alors moi je suis sous ubuntu d'ou ma question c'est comme debian? (logiquement oui mais je prefere etre sur )

Message édité par angelo78 le 15-06-2006 à 16:52:01

l0ky

simple_stupid a écrit :

Ce que je corrigeais c'était les ports (sport/dport) et la chaine (input/outpu) qui n'était pas du tout bon que ce soit pour un serveur ou un client.

pour info:
NEW ne signifie pas "seulement" les paquets ayant le flag SYN.

Pour netfilter, NEW signifie que le paquet n'appartient pas à une connection existante. Tu peux recevoir un paquet avec seulement le flag RST, si ce paquet n'appartient pas a une connection exisante il sera dans l'état NEW.
Si tu veux réellement n'accepter que les paquets ayant un flag syn pour le NEW tu dois mettre --syn

Donc en gros pour un serveur HTTP pour faire les choses un peu propre il faut :

-A INPUT -p tcp --dport 80 --syn -m state --state NEW -j ACCEPT
-A INPUT -p tcp --dport 80 -m state --state ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

Message édité par l0ky le 15-06-2006 à 16:53:13

simple_stupid

Keep It Simple Stupid

angelo78 a écrit :

Ce que je corrigeais c'était les ports (sport/dport) et la chaine (input/outpu) qui n'était pas du tout bon que ce soit pour un serveur ou un client.

Ah. Ce n'était pas de moi cette erreur :jap:

angelo78 a écrit :

pour info:
NEW ne signifie pas "seulement" les paquets ayant le flag SYN.

Raccourci pas du tout clair de ma part, c'est toujours bien de préciser.

Par contre, pourquoi ne pas faire:

-A INPUT -p tcp --dport www -m state --state NEW, ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp --sport www -m state --state ESTABLISHED -j ACCEPT

Message cité 1 fois

l0ky

simple_stupid a écrit :

Par contre, pourquoi ne pas faire:

-A INPUT -p tcp --dport www -m state --state NEW, ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp --sport www -m state --state ESTABLISHED -j ACCEPT

Si tu ne précise pas le --syn oui c'est OK.

Généralement ce que je fais pour ouvrir des services c'est un truc du genre :

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp --dport www --syn -m state --state NEW -j ACCEPT

-A OUTPUT -p tcp --sport www --m state --state ESTABLISHED -j ACCEPT

angelo78

je pense que vous compliquez pas mal les choses

mes besoins sont juste d'autoriser le port 80 pour "tout le monde " en entré

et en sorti uniquement 2 machines ayant l'adresse ip 192.168.1.211 et 192.168.1.212

je suis obligé de mettre tout ca ?

l0ky

Dans la vie il y a deux manières de faire les choses :
- les faire
- et les faire proprement

A bon entendeur

angelo78

ok ma réflexion étais sans doute déplacé mais comme je comprend pas forcement tout j'essai de simplifier

Message édité par angelo78 le 23-06-2006 à 13:55:43

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

Iptables

Sujets relatifs
[IPTABLES] Proftpd vhost et port différents du 21 [résolu]	FirewallEyes et IPTABLES
probleme avec iptables : modules (resolu), forwarding maintenant	[Iptables] J'invoque un dieu de Iptables
[Iptables] probleme de NAT	problème passerelle internet (Iptables, je pense)
iptables & rejet des acquittements	IPTABLES avec MASQUERADE
Iptables -L qui ne fonctionne pas !	[Iptables] Config de ftp (résolu)
Plus de sujets relatifs à : Iptables

Page générée en 0.053 secondes