[Topic unique] Firewall Avec Iptables

Recherche :

Mot : Pseudo : Filtrer
Page : 1 2 Page Suivante Page Précédente Bas de page
Auteur	Sujet : [Topic unique] Firewall Avec Iptables

korben31

Voila j'ai actuelement partager ma connection avec iptable et fait quelque redirection sans trop m'y plonger dedans
Je suis tomber sur un site qui expliquer assez bien iptable http://christian.caleca.free.fr/netfilter/ ( certe je pense qu'il y a mieux )
Et maintenant je voudrai faire donc un script qui:
-Bloque toute les connection venant d'internet
-Laisse passé les connection entrante que depuis certaine ip pour ssh
-Autorisé le port 80 ( apache )
-Laisse sortir les connection vers internet depuis mon reseau ( ou en fonction des plage ip )
-Redirectionner quelque port.

Donc je commence si vous avez des supposition suplementaire ( gestion differente par rapport a la dmz et au rezo local )

Code :

#### Variables ####
### Chemin vers Iptables ###
IPT="/sbin/iptables"
### Determination des interfaces ###
LOCAL="eth0"
INTERNET="eth1"
VPN="tap0"
PORT_VPN="5000"
PRIVATE="192.168.0.0/16"
### Remize a zeri de iptable : ###
$IPT -F
### Nous supprimons d'éventuelles chaînes personnelles : ###
$IPT -X
### Bloque tout par default ###
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
### Partage de la connection ###
$IPT -t nat -A POSTROUTING -o $INTERNET -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
### Accepte les loopback ###
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
### Accepte les connection sortante ###
$IPT -P OUTPUT ACCEPT
### Accepte les connection local ( estimer sure ) ###
$IPT -A INPUT -i $LOCAL -j ACCEPT
$IPT -A OUTPUT -o $LOCAL -j ACCEPT
### Autorise mon VPN ###
### Le port ###
$IPT -A INPUT -p udp --dport $PORT_VPN -j ACCEPT
### Accepte les connection VPN ( estimer sure ) ###
$IPT -A INPUT -i $VPN -j ACCEPT
$IPT -A OUTPUT -o $VPN -j ACCEPT
# Verifie les adresse ip allant sur internet
$IPT -A FORWARD -s ! $PRIVATE -i $LOCAL -j DROP
### Bloque tout les NETBIOS Vers internet ###
$IPT -A FORWARD -p tcp --sport 137:139 -o $INTERNET -j DROP
$IPT -A FORWARD -p udp --sport 137:139 -o $INTERNET -j DROP
$IPT -A OUTPUT -p tcp --sport 137:139 -o $INTERNET -j DROP
$IPT -A OUTPUT -p udp --sport 137:139 -o $INTERNET -j DROP
### Verifie que les connection depuis internet n'ont pas une ip local ###
$IPT -A FORWARD -i $INTERNET -s 192.168.0.0/16 -j DROP
$IPT -A FORWARD -i $INTERNET -s 172.16.0.0/12 -j DROP
$IPT -A FORWARD -i $INTERNET -s 10.0.0.0/8 -j DROP
$IPT -A INPUT -i $INTERNET -s 192.168.0.0/16 -j DROP
$IPT -A INPUT -i $INTERNET -s 172.16.0.0/12 -j DROP
$IPT -A INPUT -i $INTERNET -s 10.0.0.0/8 -j DROP
### Lourde les connection loopback venant et sortant d'internet ###
$IPT -A INPUT -i $INTERNET -s $LOOP -j DROP
$IPT -A FORWARD -i $INTERNET -s $LOOP -j DROP
$IPT -A INPUT -i $INTERNET -d $LOOP -j DROP
$IPT -A FORWARD -i $INTERNET -d $LOOP -j DROP
### Autorise les requete de ping de tout le monde ###
### Perso je le met que en local et pas depuis internet ###
###$IPT -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
### ou alors que depuis le local ###
$IPT -A INPUT -p icmp --icmp-type echo-request -i $LOCAL -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type echo-request -i $VPN -j ACCEPT
### A choisir ###
### Accepte ssh depuis internet ###
$IPT -A INPUT -p tcp --dport ssh -i $INTERNET -j ACCEPT
$IPT -A OUTPUT -p tcp --sport ssh -o $INTERNET -j ACCEPT
### Accepte http depuis internet ###
$IPT -A INPUT -p tcp --dport http -i $INTERNET -j ACCEPT
$IPT -A OUTPUT -p tcp --sport http -o $INTERNET -j ACCEPT
### On log tout ca ###
### Log les drop ###
$IPT -N LOG_DROP
$IPT -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : '
$IPT -A LOG_DROP -j DROP
### Log des accepte ###
$IPT -N LOG_ACCEPT
$IPT -A LOG_ACCEPT -j LOG --log-prefix '[IPTABLES ACCEPT] : '
$IPT -A LOG_ACCEPT -j ACCEPT
### Log des paquet non traité ###
$IPT -A FORWARD -j LOG_DROP
$IPT -A INPUT -j LOG_DROP
$IPT -A OUTPUT -j LOG_DROP

A vous

Message édité par korben31 le 25-05-2005 à 14:13:56

Publicité

jlighty

ajoute des règles pour permettre à l'interface loopback (lo)de communiquer.
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT

Message édité par jlighty le 23-05-2005 à 17:26:43

bichtoubard

http://freshmeat.net/projects/ipta [...] pic_id=151

korben31

korben31

si quelqu'un sais a quoi ca sert ca =>

# Check source address validity on packets going out to internet
iptables -A FORWARD -s ! $PRIVATE -i eth1 -j DROP

et si c'est vraiment utilé dans notre cas ...

l0ky

C'est pour droper les paquets ayant une adresse sourve réservée au réseau privé. J'ai oublié le numéro de la RFC.
c'est les adresses 192.168.0.0/16, 10.0.0.0/8, etc...

Edit: du moins je le suppose vu que tu n'as pas dit ce qu'il y avait dans la variable $PRIVATE

Message édité par l0ky le 24-05-2005 à 10:23:35

korben31

ah oué je voi mais bon pourquoi pas mais en general un vpn est assez sure quoi que ...

korben31

Hmm on pourrai aussi faire une ligne pour verifier les adresse venant du vpn sont bien des adresse local de mon reseau...

l0ky

Ca permet entre autres de ne pas polluer, et d'éviter certaines attaques

korben31

oui ou si l'autre n'est pas securisé ca evite que moi je le soi a mon tour
faut esseyer de faire

Publicité

korben31

Ca doit donner un truc genre ca jpense =>

### Verifie les adresse ip Venant du vpn ###
$IPT -A INPUT -s ! $PRIVATE -i $VPN -j DROP
$IPT -A FOWARD -s ! $PRIVATE -i $VPN -j DROP

Message édité par korben31 le 24-05-2005 à 11:01:36

l0ky

Faudrait peut être que tu décrives quelque part ton architecture si tu veux des réponses cohérentes...

l0ky

ensuite évite d'utiliser des variables qui ne sont pas définies : $LOOP

korben31

ué aussi
Bah perso

192.168.1.xxx 192.168.0.xxx
Win Xp| |Win XP
[Debian]|--Internet--[Routeur]--|[Debian]
10.4.0.1 10.4.0.2

Mais faut que chacun puisse l'adapter

l0ky

Dans ton archi VPN, est-ce que ton firewall est la seule machine chez toi ? Sinon ce n'est pas INPUT et OUTPUT qu'il faut utilser mais plutot FORWARD.

korben31

bah perso
Ma machine debian et relier directement a la freebox contrairement a mon ami
et derriere ya des machine sous win xp
donc a mon avis il faut les deux INPUT et FOWARD ( pour mon serv et pour les clients )

Message édité par korben31 le 24-05-2005 à 11:03:59

l0ky

Oui, ma remarque s'appliquait surtout à ta dernière règle

korben31

oué j'y avais pas penser sinon ca regle que pour le serveur debian et ca filtre pas pour le reste du reseau jpense

Nis+

J'ai une petite question.

Quand on met /8 /16, ça permet de selectionner un range d'ips mais à quoi correspond le 8 ?

Est ce que 10.0.0.0/8 selectionne les adresses 10.x.y.z ?

Dans ce cas, je pense ne pas faire d'erreur avec 10.0.0.0/24 qui donne 10.0.0.x .

J'ai bon ?

l0ky

oui, en fait ca sélectionne le nombre de bits à partir de la gauche.

Message édité par l0ky le 24-05-2005 à 11:06:13

Nis+

cool, merci :jap:

korben31

moi j'ai une question j'ai vu des option avec mangle ca sert a quoi ?

l0ky

modifier les paquets
man iptables

korben31

# Seules les connexions déjà établies ou en relation avec
# des connexions établies sont acceptées venant du Net vers le LAN
iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

korben31

J'ai trouver un bon "man" en francais
http://lea-linux.org/reseau/secu/iptables.html

korben31

Ah oué pour les logs aussi si qq sais en faire des "Standard"

jlighty

Citation :

$IPT -N LOG_DROP
£IPT -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : '
$IPT -A LOG_DROP -j DROP

pour les paquets acceptés

Citation :

$IPT -N LOG_ACCEPT
$IPT -A LOG_ACCEPT -j LOG --log-prefix '[IPTABLES ACCEPT] : '
$IPT -A LOG_ACCEPT -j ACCEPT

Message édité par jlighty le 24-05-2005 à 12:08:20

korben31

Oué mais bon faut pas avoir 1000 log non plus sinon ca va prendre pas mal de place

### Log des paquet refused ###
iptables -A FORWARD -j LOG_DROP
iptables -A INPUT -j LOG_DROP
iptables -A OUTPUT -j LOG_DROP

c'est a la fin

korben31

Ah mon avis j'ai oublier le foward du VPN

korben31

Bad argument `DROP'
Try `iptables -h' or 'iptables --help' for more information.
Oops jsais pas d'ou ca vien

korben31

j'ai merder quelque part la :'(
il me blok ma connection jpe plus surfer vous voyez pas ?

l0ky

Tu acceptes les connections sortantes (-A OUTPUT -j ACCEPT) mais tu n'acceptes nul part les paquets appartenant à des connections ESTABLISHED/RELATED.

Pense à mettre les balises
[cpp][/cpp]
pour qu'on puisse mettre les références des lignes ) problèmes.

korben31

Code :

iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

c'est ca qui faut rajouter ?

C'est pas du code c plus plus c est pour ca que je les pas mis ^^

Edit: Non toujours pareil il me lourde tout mais j'arrive quand meme a me connect au serv samba

Message édité par korben31 le 24-05-2005 à 18:30:19

korben31

Ah ca y es jai du progres ^^
j'ai rajouter ca
$IPT -A FORWARD -i $LOCAL -j ACCEPT
et c'est bon ( au debut j'avais mi -o ca pouvai pas marcher cest sure )

mais j'ai encore quelque merde genre les log s'affiche sur l'ecran du pc :'(
je sais qu'il faut changer le log lvl mais cmt ?

Message édité par korben31 le 24-05-2005 à 18:33:27

l0ky

korben31 a écrit :

Code :

iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

c'est ca qui faut rajouter ?

C'est pas du code c plus plus c est pour ca que je les pas mis ^^

Et ? C'est juste pour qu'il y ait les numéros de lignes pour qu on puisse s'y référer. C'est plus facile pour t'aider. C'est toi qui va.

Ensuite, c'est plus propre d'utiliser le suivit de connection.
Netfilter est statefull autant l'utiliser au mieux.

Edit: et c'est surtout dans ton premier post que ca serait utile, les balises...

Message édité par l0ky le 24-05-2005 à 18:36:33

korben31

oué mais j'sais pas du tout comment ca marche je finalise un peut et je repost le tout et si tu pouvais m'aider a amelioré le tout ( ou sur msn si ta une adresse )
En tout ca merci de ton attention

korben31

Bon voila se que j'ai maintenant =>

Code :

#### Variables ####
### Chemin vers Iptables ###
IPT="/sbin/iptables"
### Determination des interfaces ###
LOCAL="eth0"
INTERNET="eth1"
VPN="tap0"
PORT_VPN="5000"
PRIVATE="192.168.1.0/16"
### Remize a zeri de iptable : ###
$IPT -F
### Nous supprimons d'éventuelles chaînes personnelles : ###
$IPT -X
### Bloque tout par default ###
$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP
### Accepte les connection sortante ###
$IPT -P OUTPUT ACCEPT
### Accepte les loopback ###
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
### Accepte les connection local ( estimer sure ) ###
$IPT -A INPUT -i $LOCAL -j ACCEPT
$IPT -A OUTPUT -o $LOCAL -j ACCEPT
$IPT -A FORWARD -i $LOCAL -j ACCEPT
### Accepte les connection local ( estimer sure ) ###
$IPT -A INPUT -i eth2 -j ACCEPT
$IPT -A OUTPUT -o eth2 -j ACCEPT
$IPT -A FORWARD -i eth2 -j ACCEPT
### Autorise mon VPN ###
### Le port ###
$IPT -A INPUT -p udp --dport $PORT_VPN -j ACCEPT
### Accepte les connection VPN ( estimé sure ) ###
$IPT -A INPUT -i $VPN -j ACCEPT
$IPT -A OUTPUT -o $VPN -j ACCEPT
$IPT -A FORWARD -i $VPN -j ACCEPT
### Partage de la connection ###
$IPT -t nat -A POSTROUTING -o $INTERNET -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
# Verifie les adresse ip allant sur internet ( pas fini j'ai plusieurs plage ip )
#$IPT -A FORWARD -s ! $PRIVATE -i $LOCAL -j DROP
### Bloque tout les NETBIOS Vers internet ###
$IPT -A FORWARD -p tcp --sport 137:139 -o $INTERNET -j DROP
$IPT -A FORWARD -p udp --sport 137:139 -o $INTERNET -j DROP
$IPT -A OUTPUT -p tcp --sport 137:139 -o $INTERNET -j DROP
$IPT -A OUTPUT -p udp --sport 137:139 -o $INTERNET -j DROP
### Verifie que les connection depuis internet n'ont pas une ip local ###
$IPT -A FORWARD -i $INTERNET -s 192.168.0.0/16 -j DROP
$IPT -A FORWARD -i $INTERNET -s 172.16.0.0/12 -j DROP
$IPT -A FORWARD -i $INTERNET -s 10.0.0.0/8 -j DROP
$IPT -A INPUT -i $INTERNET -s 192.168.0.0/16 -j DROP
$IPT -A INPUT -i $INTERNET -s 172.16.0.0/12 -j DROP
$IPT -A INPUT -i $INTERNET -s 10.0.0.0/8 -j DROP
### Lourde les connection loopback venant et sortant d'internet ###
###( met une erreur de drop surement parce que c'est pas comme ca le -s $LOOP ) ###
#$IPT -A INPUT -i $INTERNET -s $LOOP -j DROP
#$IPT -A FORWARD -i $INTERNET -s $LOOP -j DROP
#$IPT -A INPUT -i $INTERNET -d $LOOP -j DROP
#$IPT -A FORWARD -i $INTERNET -d $LOOP -j DROP
### Autorise les requete de ping de tout le monde ###
### Perso je le met que en local et pas depuis internet ###
#$IPT -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
### ou alors que depuis le local et pas internet ###
#$IPT -A INPUT -p icmp --icmp-type echo-request -i $LOCAL -j ACCEPT
#$IPT -A INPUT -p icmp --icmp-type echo-request -i $VPN -j ACCEPT
#$IPT -A FORWARD -p icmp --icmp-type echo-request -i $LOCAL -j ACCEPT
### Plus simplement ca doit marcher : ###
$IPT -A INPUT -p icmp --icmp-type echo-request -i ! $INTERNET -j ACCEPT
### A choisir ###
### Accepte ssh depuis internet ###
$IPT -A INPUT -p tcp --dport ssh -i $INTERNET -j ACCEPT
$IPT -A OUTPUT -p tcp --sport ssh -o $INTERNET -j ACCEPT
### Accepte http depuis internet ###
$IPT -A INPUT -p tcp --dport http -i $INTERNET -j ACCEPT
$IPT -A OUTPUT -p tcp --sport http -o $INTERNET -j ACCEPT
#### Ca je sais pas trop je test ^^ ###
iptables -A OUTPUT -o $INTERNET -m state --state NEW,ESTABLISHED -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED -p tcp --sport 80 -j ACCEPT
iptables -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
### On log tout ca ###
### Log les drop ###
$IPT -N LOG_DROP
$IPT -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : '
$IPT -A LOG_DROP -j DROP
### Log des accepte ###
$IPT -N LOG_ACCEPT
$IPT -A LOG_ACCEPT -j LOG --log-prefix '[IPTABLES ACCEPT] : '
$IPT -A LOG_ACCEPT -j ACCEPT
### Log des paquet non traité ###
$IPT -A FORWARD -j LOG_DROP
$IPT -A INPUT -j LOG_DROP
$IPT -A OUTPUT -j LOG_DROP

Se qu'il reste a faire :
-regler le log lvl
-faire des truk plus propre a certain endroit avec les ESTABLISHED,RELATED

Voila voila je sens que je touche au but ^^

Edit: Ah oué j'oublier ca :'(
[root@Speed-ReZo] (~) #ping free.fr
ping: unknown host free.fr

Message édité par korben31 le 25-05-2005 à 14:14:16

jlighty

il faut aussi ouvre le port 53 en TCP et UDP pour le DNS

korben31

ok
j'ai une autre couille aussi
May 24 19:30:14 Speed-ReZo kernel: [IPTABLES DROP] : IN= OUT=eth1 SRC=81.56.84.188 DST=194.242.113.47 LEN=71 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=UDP SPT=56397 DPT=53 LEN=33
pourquoi il me le lourde ?

Message édité par korben31 le 24-05-2005 à 19:17:02

jlighty

heu à quoi correspond SP$ ?
normalement il doit te retourner le numéro de port source et destination

Publicité

Page : 1 2

Page Suivante

Page Précédente

Haut de page

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

[Topic unique] Firewall Avec Iptables

Sujets relatifs
Mes regles IPTABLES ne marchent pas	Configuration iptables pour un serveur FTP
cherche bon firewall	[IPTABLES] Utiliser des adresses IP publiques sur un LAN (résolu)
[Firewall] de l'utilité de bloquer ses ports en sortie	Log de Iptables
[Firewall] Que pensez vous de portsentry ?	[IPTables] [Logs] [Firewall Snapgear SME550]Paquet Accepté ou Bloqué ?
Plus de sujets relatifs à : [Topic unique] Firewall Avec Iptables

Page générée en 0.121 secondes