Bonjour à tous    
 
J'ai un VPS chez ovh sur lequel j'héberge un serveur OpenVPN.
 
Je n'arrive pas à configurer correctement le firewall pour ne laisser passer que les connections "utiles" : SSH, http, https, openvpn.
 
Pour le moment ma table iptables ressemble à ça :
 
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    ACCEPT     all  --  anywhere             anywhere
2    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:http
3    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:https
4    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh (c’est plus le 22 j’en ai mis un autre)
5    ACCEPT     udp  --  anywhere             anywhere             udp dpt:openvpn (c’est plus le 1194 j’en ai mis un autre)
6    ACCEPT     udp  --  anywhere             anywhere             udp dpt:domain
7    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:domain
8    ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:943
9    ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
 
Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination
 
Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination
 
Mon problème : quand je rajoute la ligne

mes clients n'arrivent plus à se connecter au serveur... (mais moi j'ai toujours accès à l'interface Web du serveur et la connection SSH est bien fonctionnelle).
Pourtant avec la ligne n°5 ça devrait marcher, non ?
 
merci pour votre aide !

iptables n'a pas été remplacé par nftables?

Ah bah je sais pas, je suis en Ubuntu 24.04

Coucou, personne n’a une idée ?  

A ma connaissance ipttables est ancien, perso je partirais sur nftables directement pour être "future proof".
 
Après je ne m'y connais pas pour ton problème , mais peut-être (une fois de plus) la wiki Archlinux peut aider? https://wiki.archlinux.org/title/Iptables

Bon je vais regarder pour mettre nftables ce weekend alors, ça sera déjà ça de fait, merci  
 
Édit: j’ai jeté un coup d’œil à la documentation de la distribution, effectivement nftables remplace iptables mais les 2 sont encore supportés à priori. La doc conseille aussi d’utiliser ufw comme frontend, bon pourquoi pas.
 
Par contre ça me dit pas pourquoi mes connexions vpn sont filtrées quand je bloque le traffic enfant malgré le port dédié ouvert…  

Quels sont les paquets qui arrivent au début de la chaîne INPUT ?
 
Tous les paquets réseau entrants à destination de la machine en elle-même (c'est à dire les paquets qui ne sont pas routés) sur la totalité des interfaces réseau.
 
C'est à dire pour l'interface réseau eth0 (par exemple) du serveur mais aussi pour l'interface tun0 ou ovpn0 créée lors de l'ouverture d'une connexion à OpenVPN.
 
 
Comme autres problèmes :
- nftables a effectivement remplacé iptables
- la ligne concernant l'état RELATED/ESTABLISHED serait plus à sa place au tout début de la chaîne, en position zéro. Et réécrite en utilisant le module "ctstate" au lieu de "state"
- il ne faut pas oublier d'autoriser le protocole ICMP, pour le ping mais aussi pour un tas de messages d'erreur
- parfois, il est nécessaire d'autoriser les paquets pour le DHCP entrant, protocole UDP port source 67 port destination 68

 
Merci pour ta réponse
 
Comment je fais pour voir monitorer les paquets qui rentrent ?
 
Pour les autres problèmes je vais ajouter/modifier les lignes correspondantes  

Eventuellement, tu peux essayer de mettre au point tes règles de pare-feu en regardant passer les paquets comme ceci :

puis

pour afficher les détails des 5 premiers paquets qui seront dégagés.
Tu peux avoir plusieurs groupes nflog, le numéro 10 utilisé ici étant juste un exemple.
 
Tu peux aussi simplement utiliser la cible LOG mais il y a le risque de recevoir tellement de paquets que cela fasse ramer le serveur et grossir les fichiers de log de manière déraisonnable.
 
 
Sinon, si tu veux juste voir si des paquets "passent" dans une règle, chaque règle iptables a un compteur de paquets et d'octets. Tu peux donc ajouter une règle qui ne fait rien avec :

et voir les compteurs avec une commande telle que :

(c'est l'option -v qui demande l'affichage des compteurs)