Aide règle firewall iptables linux

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Aide règle firewall iptables linux

kaillros

Bonjour

Actuellement je m'intéresse aux firewalls en général les règles, comment ça marche etc... et j'ai voulu tenté une expérience avec Iptables qui d'après ce que j'ai pu lire est pas mal pour une première approche j'ai compris (je pense) les systèmes de règles etc... mais lorsque j'ai voulu faire mes propres test autant le dire.... un jolie fail total :lol:

Place au schéma

Explications :

Donc ce que j'aimerai faire comme règle (basique pour le moment) c'est assez simple je pense... mon LAN peut avoir accès au WAN le WAN vers mon LAN.
mon LAN peut avoir accès a la DMZ, mais la DMZ pas vers mon LAN et bien sûr mon WAN peut avoir accès sur la DMZ et la DMZ vers le WAN.

Disons que j’héberge un service ou site web ou autre truc sur la DMZ que je souhaite isoler de mon LAN d'ou la raison que ma DMZ peut pas avoir un accès sur le LAN, mais le LAN lui peut avoir accès sur la DMZ.

Pour le moment je me concentre sur la première étape puisque j'ai commencé par là et j'me suis péter les dents :sweat: c'est à dire faire en sorte déjà que mon LAN puissent avoir accès sur le WAN et par conséquent ouvrir une page internet et faire une recherche quelconque genre facebook ou autre.

D'après ce que j'ai pu voir sur énormément de vidéo tous absolument tous commencent par DROP la chaine INPUT, OUTPUT, FORWARD par conséquent je bloque tout traffic mais absolument tout même le ping, chose que j'ai suivi j'ai DROP pour les trois chaine, ensuite voici la commande que j'ai tapé.

Code :

# Ne pas casser les connexions établies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Code :

# Interdire toute connexion entrante
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP

Code :

# Interdire toute connexion sortante
iptables -t filter -P OUTPUT DROP

Code :

# Autoriser les requetes DNS, FTP, HTTP, NTP etc. SORTANTES
iptables -t filter -A OUTPUT -p tcp --dport 20 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 21 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT

Code :

# Autoriser loopback
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A OUTPUT -o lo -j ACCEPT
# Autoriser ping
iptables -t filter -A INPUT -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -j ACCEPT

Code :

# Gestion des connexions ENTRANTES autorisées
#
# iptables -t filter -A INPUT -p --dport -j ACCEPT
# Autoriser HTTP, HTTPS
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 443 -j ACCEPT

Normalement avec ce type de règle un client de mon LAN devrait pouvoir aller sur internet mais niette.... une idée svp?

Merci

Message édité par kaillros le 20-03-2021 à 16:40:39

Publicité

Ivy gu

3 blobcats dans un trenchcoat

bonjour, pas d'avis sur ton problème, par contre tu as vu qu'iptables est en cours d'obsolescence et est remplacé par nftables ? Si le but est juste d'apprendre ce serait peut être plus utile de commencer par là.

---------------
Our reports showed a massive anomaly in the timespace continuum. Timelines jumping left and right, stopping and starting...

kaillros

Malheureusement le centre ou j'évolue impose Iptables donc pas le choix de faire avec =(

Je@nb

Modérateur
Kindly give dime

Quelle règle tu penses autorise ton lan à accéder à internet ?

o'gure

Multi grognon de B_L

Quelques inputs:
1. Regarder les règles réellement implémentée
iptables -L -v -n

2. As-tu identifier dans tes documents que les règles ont une priorité les unes par rapport aux autres ?

3. Si on veut être pédagogues, je reposerais la même question que Je@nb et je te demanderais de m'expliquer ta compréhension du process iptables/netfilter de la réception du paquet au forward réel sur l'interface de sortie

Message édité par o'gure le 23-03-2021 à 14:25:14

---------------
Relax. Take a deep breath !

Charon_

Hello,

(je ne connais rien à iptables ... , mais en lisant ce que tu as présenté :

- Ca peut être bête, mais as-tu vérifier que ton traffic a une NAT (PAT globale) pour LAN -> Internet ?
- Sinon, par rapport à ton schéma, le traffic explicite INTERNET -> LAN n'est absolument pas nécessaire, voire même déconseillé (à moins qu'un serveur tourne sur le LAN et que l'internet doit y avoir accès ?

becket

Il y a beaucoup de choses à dire.

Tout d'abord, c'est qui est assez révélateur, c'est que tu traces des flèches pour montrer ce qui est autorisé ou interdit.

Bien !

On peut comprendre que tu autorises le trafic à l'initiative du LAN vers la DMZ mais que tu interdis le contraire. Ou sont les règles "new" "established,related" qui concernent ce trafic en particulier ?
Tu crées plusieurs zones ? Mais ou sont les interfaces / sous-interfaces / ranges dans tes règles. Comment pourrait tu être un minimum précis dans les règles, si tu ne précises ni l'origine, ni la destination ?

Et finalement

Code :

iptables -t filter -P FORWARD DROP

Sans aucune règles qui autorise derriere, c'est assez logique que tu bloques tout !

FORUM HardWare.fr

Systèmes & Réseaux Pro

Sécurité

Aide règle firewall iptables linux

Sujets relatifs
RDP à travers firewall zywall	Besoin d'aide : Config VPN, Livebox 5 et Emule/BitTorrent ?
aide pour identifier une prise fibre [résolu]	aide pour un reverse proxy
[Résolu] HTTP, chunked et firewall	Zoom et firewall
Aide infra réseau	Aide à l'achat d'un nouveau routeur
Firewall hardware : comment choisir ?	Modifications Firewall changement d'opérateur
Plus de sujets relatifs à : Aide règle firewall iptables linux

Page générée en 0.046 secondes